Citrix Virtual Apps and Desktops

Log Server のインストールと構成

Log Server は、個別の Linux または Windows サーバーにセットアップすることも、Citrix Connector Appliance でホストして常時更新を利用することもできます。各オプションのインストールおよび構成手順については、関連するセクションを参照してください。

インストールに関する注意

  • セキュリティ強化のため、展開では HTTPS を推奨します。

  • 選択したポートがすでに使用されていないことを確認してください。

  • 管理者またはシステムレベルの権限が必要なため、特権ポート (0~1023) の使用は避けてください。

  • ファイアウォールルールが選択したポートでのトラフィックを許可していることを確認してください。

  • 有効な範囲 (0~65535) 内のポート番号を使用しますが、競合を避けるためにシステムサービスで一般的に使用されるポートは避けてください。

  • Citrix Connector Appliance を使用して Log Server を展開する場合は、ポート 443 のみが構成されていることを確認してください。

  • 例で使用されているポート番号 (HTTP の場合は 8080、HTTPS の場合は 8443) は参照用です。これらのポートを厳密に使用する必要はありません。環境に基づいて適切なポート番号を選択し、AOT Log Server を構成する際には上記のインストールガイドラインに従ってください。

Citrix Connector Appliance を介した Log Server のインストール

Log Server は Citrix Connector Appliance 内に展開できます。このアプローチにより、ホスト VM を展開および管理したり、イメージを手動でダウンロードしたり、コンテナコマンドを実行したりする必要がなくなります。Log Server は Connector Appliance のアップグレード中に自動的にオンボーディングされ、継続的なコネクタ更新によって常に最新の状態に保たれ、常に最新バージョンが提供されます。詳細については、「Connector appliance updates」を参照してください。

Citrix Connector Appliance を介して Log Server を展開する手順

  1. 環境に Connector Appliance がまだない場合は、ハイパーバイザーまたはパブリッククラウドマーケットプレイスからアプライアンスを展開します。必要な最小限の Citrix Connector Appliance は 11.4.1.444 です。インポート後、アプライアンスを Citrix Cloud に登録します。詳細については、「Obtain the connector appliance」を参照してください。

  2. デフォルトでは、Connector Appliance には 2 vCPU と 4GB のメモリが搭載されています。ログサーバーの要求を処理するために、リソースを少なくとも 4 vCPU と 16GB のメモリに増やしてください。

  3. サポートされているコンポーネントがログサーバーのホスト名を解決できるように、Connector Appliance FQDN の DNS「A」レコードを作成します。Connector Appliance を Active Directory ドメインに参加させることはオプションです。

  4. Cloud Monitor は、リソースロケーション内のサポートされている Windows Cloud Connector で実行されている Monitor Connector サービスを介して AOT ログを取得します。Log Server が Citrix Connector Appliance に展開されている場合、サポートされている Windows Cloud Connector も同じリソースロケーションに存在する必要があります。Connector Appliance だけでは、Cloud Monitor が AOT トレースを取得するのに十分ではありません。Cloud Connector は、バージョン 6.141.0.13739 (または 4.420.0.13739) 以降を実行している必要があります。以前のバージョンでは、GetAotTraces API 呼び出しが失敗し、Monitor で HTTP 500 エラーが発生します。

  5. Connector Appliance は、Connector Appliance 管理ページに接続するブラウザに提供される自己署名証明書を提供します。HTTPs 経由でログサーバーに接続できるようにするには、この自己署名証明書を、組織によって署名された、または組織の信頼チェーンを使用して生成された独自の証明書に置き換える必要があります。詳細については、証明書の管理 または サーバー証明書の置き換え を参照してください。

  6. アップグレードが完了したら、https://<connector-appliance-FQDN>/?enable=logserver で Connector Appliance UI にログインし、「?enable=logserver」があることを確認して、ログサーバー UI を表示できるようにします。新しいログサーバータブには、ストレージと認証キー管理オプションが表示されます。

    AOTコネクタ管理

  7. Connector Appliance のブートディスクの容量は 20GB です。ログサーバーでの効率的なログストレージをサポートするために、ハイパーバイザーまたはクラウド管理プラットフォームを使用して、別の仮想ディスクを Connector Appliance に追加する必要があります。この追加ディスクには、ログストレージのニーズを満たすのに十分なスペースが必要です(前のセクションで説明したとおり)。

    以下の XenServer スクリーンショットは、追加ディスクが構成された Connector Appliance の例を示しています。

    AOT 仮想ディスク

    注:

    VMware ESXi の既知の要件: ユーザーは、追加のデータディスクを、ルートディスクで使用されているものとは異なる SCSI コントローラに接続する必要があります。

  8. キーディスクを追加すると、ログサーバー UI が自動的にそれを検出し、Connector Appliance 上のログサーバーコンテナにフォーマットしてマウントできるようになります。

    ストレージの場所を追加

  9. 「ディスクの接続」ボタンをクリックすると、ディスクはログサーバーコンテナにマウントされます。

    ストレージの場所が正常に追加されました

  10. メインページには、ディスクサイズと、使用されているスペースの量、残りのスペースの量に関する情報が表示されます。

    コネクタの概要

  11. ディスクがアタッチされた後、pingエンドポイントを呼び出してログサーバーが実行されていることを確認します: https://<connector-appliance-FQDN>/ctxlogserver/Ping。pong応答は、ログサーバーが正常に起動したことを確認します。

  12. [管理]ボタンをクリックし、「キーの生成」をクリックします。次に、ロール名を入力し、認証キーをコピーまたはダウンロードします。ウィンドウを閉じると、キーは再度表示されません。

    AOT管理

    認証キーの管理

    認証キーの生成

Linuxへのインストール

  1. ログサーバーのDockerコンテナイメージをCitrixダウンロードからダウンロードします。
  2. ダウンロードしたファイルを同じディレクトリに配置します。
  3. ターミナル (Linux) またはコマンドプロンプト (Windows) を使用して、そのディレクトリでインストーラーを実行し、指示に従います。
chmod +x ./InstallLogServer

#Install with https mode with port 8443 with default path
./InstallLogServer --https --cert </path/your_private_cert_key.pfx> --port 8443

#Install with http mode, with port 8080 with default path
./InstallLogServer --port 8080

#Command to change the config path and data path of your choice with https mode
./InstallLogServer --https --cert </path/your_private_cert_key.pfx> --port 8443 --config /Path/LogServer/Config --database /Path/LogServer/Data

#Command to change the config path and data path of your choice with http mode
./InstallLogServer --port 8080 --config /Path/LogServer/Config --database /Path/LogServer/Data

#To support CWA client uploading AOT logs, some additional parameters need to be added after the install log server command.
--sta-server http://STA_SERVER_FQDN:port --log-server LOG_SERVER_FQDN:PORT
<!--NeedCopy-->

ここで、,

  • STA_SERVER_FQDN は、STAサーバーのホスト名またはIPアドレスです (オンプレミスインストールでは、STAサーバーは通常DDCとともにインストールされます)。

  • LOG_SERVER_FQDN と PORT は、ログサーバー自体のホスト名と、指定されたポート (8080、8443、またはインストールパラメーターの –port 値) です。

  • ログサーバー証明書 your_private_cert_key.pfx は、他のCitrixコンポーネントによって信頼されている必要があります。AOTクライアントはTLS接続を使用してログをアップロードします。

STA_SERVER アドレスにより、ログサーバーは、StoreFrontがそれらを提供できない場合 (セッションタイムアウト後など) に、Citrix Workspaceアプリ (CWA) クライアントに再接続STAチケットを発行できます。これにより、接続が切断された場合、CWAクライアントはログサーバーと直接接続を再確立できます。

LOG_SERVERアドレスは、ログサーバーが構成済みのSTAサーバーからSTAチケットを要求する際に使用されます。STAサーバーは、ログサーバーエンドポイントへの接続を特別に承認するチケットを返します。

CWAクライアントが再接続STAチケットを必要としない場合、またはゲートウェイなしでLogServerに直接接続する場合は、これらのパラメータはオプションです。

Linuxでのインストール後

インストール後、いくつかの便利なスクリプトファイルが生成されます。

# In Linux, sh scripts will be generated
DownloadLogsByTime.sh
DownloadLogsByWords.sh
GetAuthKey.sh
ListMachines.sh  
StartLogServer.sh  
<!--NeedCopy-->

LogServerが正常に起動したことを確認するには、./StartLogServer.sh to start the server. Check your configpath/weblogs.txtを使用します。

LogServerが正常に起動すると、weblogsファイルに以下のメッセージが表示されます。ポート5000は、選択されたhttpまたはhttpsプロトコルで、dockerコンテナ内のLogServerによって内部的に使用されます。

Now listening on https://[::]:5000
<!--NeedCopy-->

ログサーバーがHTTPモードでインストールされた場合、成功したログには以下が表示されるはずです。

Now listening on http://[::]:5000
<!--NeedCopy-->

LogServerがHTTPSを使用する場合、その証明書がAOTログをアップロードするすべてのマシンで信頼されていることを確認してください。

注:

  • インストール手順で構成されたポート(8080または8443、または指定された任意のポート)は、DDC、Storefront、VDAなどでLogServerのURLを構成する際に使用する必要があります。

  • 通常、Linuxでの起動には30秒から60秒かかります。

Windowsへのインストール

  1. ログサーバーのDockerコンテナイメージをCitrix downloadsからダウンロードします。
  2. ダウンロードしたファイルを同じディレクトリに配置します。
  3. ターミナル(Linux)またはコマンドプロンプト(Windows)を使用して、そのディレクトリでインストーラーを実行し、指示に従います。

ステップ 1

ログサーバーVMにWindows版Docker Desktopをインストールします(サブスクリプションが必要な場合があります)。WSL 2に依存するWindowsシステムでDocker Desktopが正しくインストールされ、起動することを確認するために、以下の手順に従ってください。

  1. Docker Desktopの設定でメモリ制限を12GB以上に設定します

  2. Docker Desktopには以下のWindows機能が必要です。これらの機能が有効になっていることを確認してください。

    • ハイパーV
    • 仮想マシン プラットフォーム
    • Linux用Windowsサブシステム (WSL)
  3. いずれかの機能が不足している場合は、それらをインストールし、VMを再起動して変更を適用してください。

  4. システムの再起動後、PowerShellを(管理者として実行で)開き、コマンド wsl --update を実行してWSLを更新します。

  5. Docker DesktopにはWSL 2が必要です。コマンド wsl --set-default-version 2 を実行して、WSL 2をデフォルトとして構成します。

  6. WSLが更新され、必要なWindows機能が有効になると、Docker Desktop Engineは正常に起動するはずです。

ステップ 2

以下のコマンドを実行してインストールを続行します。

注:

コンフィグおよびデータベース (データ) フォルダーのデフォルトの場所は、C:\Users<username>\LogServer に作成されます。これらは以下のコマンドで変更できます。

#Install with https mode with port 8443 with default path
InstallLogServer.exe --https --cert <c:\path\cert.pfx> --port 8443

#Install with http mode, with port 8080 with default path
InstallLogServer.exe --port 8080

#Command to change the config path and data path of your choice with https mode
InstallLogServer.exe --https --cert <c:\path\cert.pfx> --port 8443 --config C:\LogServer\Config --database C:\LogServer\Datacmd

#Install with specific config path and data path
InstallLogServer.exe --port 8080 --config C:\LogServer\Config --database C:\LogServer\Datacmd

#To support CWA client uploading AOT logs, some additional parameters need to be added after the install log server command.
--sta-server http://STA_SERVER_FQDN:port --log-server LOG_SERVER_FQDN:PORT
<!--NeedCopy-->

ここで、,

  • STA_SERVER_FQDN は STA サーバーのホスト名または IP アドレスです (オンプレミスインストールでは、STA サーバーは通常 DDC とともにインストールされます)。

  • LOG_SERVER_FQDN と PORT は、ログサーバー自体のホスト名と、指定されたポート (8080、8443、またはインストールパラメーターの –port 値) です。

  • ログサーバー証明書 your_private_cert_key.pfx は、AOT クライアントがログをアップロードするために TLS 接続を使用する他の Citrix コンポーネントによって信頼されている必要があります。

STA_SERVER アドレスにより、LogServer は、セッションタイムアウトのために StoreFront が再接続 STA チケットを提供できない場合に、CWA クライアントに再接続 STA チケットを供給できます。その結果、CWA クライアントは接続障害が発生した場合に LogServer から直接再接続チケットを取得できます。

LOG_SERVER アドレスは、ログサーバーが STA_SERVER から STA チケットを要求するときに使用されます。STA_SERVER は、LOG_SERVER アドレスへの接続のみを承認する STA チケットを発行します。

CWA クライアントが再接続 STA チケットを必要としない場合、またはゲートウェイなしで LogServer に直接接続する場合は、これらのパラメーターはオプションです。

Windows でのインストール後

インストール後、インストーラーファイルを保存したのと同じディレクトリに、いくつかの便利なスクリプトファイルが生成されます。

注:

これらのファイルを別の場所に移動できます。ただし、ログサーバーを構成する際に再度必要になるため、新しい場所を覚えておいてください。

#In Windows, bat scripts will be generated in the same directory where you saved the installer files.
DownloadLogsByTime.bat
DownloadLogsByWords.bat
GetAuthKey.bat
ListMachines.bat
StartLogServer.bat
<!--NeedCopy-->

ログサーバーを起動するには StartLogServer.bat を使用します。

LogServer が正常に起動したことを確認するには、configpath\weblogs.txt を確認してください。

ログに以下が表示されている場合、ログサーバーが正常に起動したことを意味します。LogServer が正常に起動すると、weblogs ファイルに以下のメッセージが表示されます。ポート 5000 は、LogServer が Docker コンテナ内で選択された HTTP または HTTPS プロトコルで内部的に使用します。

Now listening on: https://[::]:5000
<!--NeedCopy-->

ログサーバーが HTTP モードでインストールされた場合、成功したログには以下が表示されるはずです。

Now listening on: http://[::]:5000
<!--NeedCopy-->

LogServerがHTTPSを使用する場合、AOTログをアップロードするすべてのマシンでその証明書が信頼されていることを確認してください。

注:

  • インストール手順で設定されたポート(8080または8443、あるいは指定された任意のポート)は、DDC、Storefront、VDAなどでログサーバーのURLを設定する際に使用する必要があります。

  • 通常、Windowsではハードウェアによって1~10分かかります。

相互TLS認証(オプション)

相互TLS (mTLS) は、ログサーバーとクライアント (VDA、DDC、StoreFront、CWA) の間にセキュリティの追加レイヤーを提供します。mTLSが有効になっている場合、クライアントとサーバーの両方が、エンタープライズPKIによって発行された証明書を使用して相互に認証します。

mTLSは、次のような環境で役立ちます。

  • ネットワークセグメントが信頼されていないか、共有されている
  • ログサーバーだけでなく、各AOTログクライアントも認証する必要がある
  • 顧客が不正なシステムからのログデータの送信を防止したい
  • 規制またはコンプライアンスポリシーにより、証明書ベースの認証が必要である。

mTLSはオプションですが、信頼できるCitrixコンポーネントのみがログサーバーと通信できるようにし、ログサーバーがテレメトリデータを受け入れる前にすべての着信接続を検証できるようにすることで、セキュリティを強化します。

証明書の要件

mTLSを構成するには、次の証明書を生成する必要があります。

  • aotclient.pfx – AOTログクライアント (VDA、DDC、StoreFront、CWA) で使用される証明書
  • logserver.pfx – Log Serverが使用する証明書
  • enterprise-ca.cer – 両方の.pfxファイルを署名するために使用されるルートまたは中間証明書

  • Citrix Connector Applianceを使用している場合、相互TLSはこのセクションをスキップしてください。これはサポートされていません。

  • enterprise-ca.cerファイルは、Log Serverとテレメトリクライアントの両方の信頼されたルート証明機関ストアにインポートする必要があります。

  • aotclient.pfxおよびlogserver.pfx証明書はパスワードで保護しないでください。

  • aotclient.pfxのサブジェクトはCitrixAOTClientである必要があります。これにより、テレメトリクライアントは実行時に証明書を自動的に見つけることができます。

mTLSを有効にするには、Log Serverのインストールコマンドに–caパラメーターを含めます。 このパラメーターは、enterprise-ca.cer証明書へのパスを指定します。

# with default path
./InstallLogServer --https --cert logserver.pfx --ca enterprise-ca.cer --port 8443

# with customized path
./InstallLogServer --config /YourPath/LogServer/Config --database /YourPath/LogServer/Data --cert /YourPath/logserver.pfx --ca /YourPath/enterprise-ca.cer --port 8443

# delete temp certificate logserver.pfx in current install directory
sudo rm -rf /YourPath/logserver.pfx

# keep logserver.pfx accessed only by the container process user 'ubuntu'.
sudo chmod 400 LogServer/Config/logserver.pfx
sudo chown ubuntu:ubuntu LogServer/Config/logserver.pfx
<!--NeedCopy-->

相互TLS認証が必要な場合は、DDC、Storefront、VDA、およびその他のCVADコンポーネントで、管理者権限で次のPowerShellコマンドを実行します。

# import client cert at the machine aot client
Import-PfxCertificate -CertStoreLocation Cert:\LocalMachine\My\ -FilePath c:\aotclient.pfx

# Verify successful import
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*AOTclient*" }

# delete temp certificate aotclient.pfx
Remove-Item -Path "C:\aotclient.pfx" -Force
# Ensure LogServer’s certificate is trusted on all machines uploading AOT logs.
<!--NeedCopy-->

注:

テレメトリサービスは「ネットワークサービス」アカウントで実行されているため、certlm.mscグラフィカルインターフェイスを使用して、CitrixAOTClient証明書の秘密キーに対するNETWORK SERVICEのフルコントロールを手動で付与する必要があります。

  1. Win + Rを押して「certlm.msc」と入力し、Enterキーを押して「証明書 (ローカルコンピューター)」コンソールを開きます。

  2. 「証明書 (ローカルコンピューター)」>「個人」>「証明書」を展開します。

  3. 右側のペインで、CitrixAOTClientに発行された証明書を見つけます。

  4. 「秘密キーの管理」を開きます

  5. 証明書を右クリックし、「すべてのタスク」>「秘密キーの管理」を選択します。

  6. 権限ダイアログで、「追加」を選択し、「NETWORK SERVICE」と入力して「名前の確認」をクリックします(NT AUTHORITY\NETWORK SERVICE に解決されるはずです)。

  7. 「OK」をクリックして権限を適用します。

顧客が自己署名証明書を提供する場合、次のようにします。

  • ログサーバー側では、logserver.pfx と aotclient.cer が前述のとおりインストールされます。aotclient.cer は enterprise-ca.cer の役割を果たします。
  • クライアント側では、aotclient.pfx と logserver.cer が前述のとおりインポートされます。logserver.cer は enterprise-ca.cer の役割を果たします。
  • 詳細については、新しい証明書の作成を参照してください。

ログサーバーの確認

ログサーバー、VDA、またはDDCでブラウザを開き、http://YourLogServerFQDN:8080/Ping にアクセスします。

ブラウザに「Pong UTC:08/19/2025 01:03:29 Version: 2511.1.6」という応答文字列が表示されます。UTC時刻はログサーバーのUTC時刻である必要があります。バージョン文字列にはリリース名とビルド番号が含まれます。

注:

デフォルトポートを使用していない場合はポート8080を構成済みのポートに変更し、HTTPSモードでインストールされている場合はhttpをhttpsに変更します。

ログサーバーの検証に失敗した場合は、次のログを確認してください。

  • docker logs logserver を実行してDockerログを確認します。
  • Linuxの場合 - $HOME/LogServer/Config/weblogs.txt ($HOME/LogServer をデフォルトを使用していない場合は実際のインストールパスに変更してください)
  • Windowsの場合 - C:\Users\YourUserName\LogServer\Config\weblogs.txt (YourUserNameを実際のユーザー名に変更してください。C:\Users\YourUserName\LogServerを、デフォルトを使用しない場合は実際のインストールパスに変更してください)

ログサーバーの高度な構成

LinuxまたはWindowsの場合

ログサーバーを停止するには、docker stop logserver を実行します

デフォルトでは、ログサーバーは以下の値で構成されています。変更を行うには、Windowsにインストールされている場合は StartLogServer.sh または StartLogServer.bat を編集してください。

-e MAX_RESERVE_DAYS=7
-e MAX_DISK_USAGE_PERCENTAGE=85
-e LOCAL_DOWN_ONLY=true
-e OPENSEARCH_JAVA_OPTS="-Xms2G -Xmx2G"
<!--NeedCopy-->
LogServer構成オプション デフォルト値 値の範囲 説明
LOG_LEVEL 2 0-4 0=トレース, 1=デバッグ, 2=情報, 3=警告, 4=エラー
CORS_ORIGINS   “Url” または “url1;url2;url3” この値を変更して、CWA H5/Chrome クライアントが AOT ログをアップロードできるようにします。複数の URL を「;」で区切ってサポートします。
MAX_RESERVE_DAYS 7 1~30 ログサーバーは、TimeStamp フィールドに基づいてログエントリを最大日数保存します。7日前に挿入されたログは削除されます。10分ごとに確認します。
MAX_DISK_USAGE_PERCENTAGE 85 10~90 ログサーバーはデータストレージの使用率を監視します。使用率が90%を超えると、ログサーバーは使用率が90%未満になるまで古いログを毎日削除します。10分ごとに確認します。
LOCAL_DOWN_ONLY true/false trueの場合、ログサーバーがインストールされているマシンのみが /Download/APIs にアクセスできます。falseの場合、AuthKey を持つ他のマシンが /Download/ APIs にアクセスできます。
OPENSEARCH_JAVA_OPTS “-Xms2G -Xmx2G” 2G ~ MaxMem/2 Opensearchのメモリ構成。ログサーバーにログを送信するマシンが多い場合は、より多くのメモリを割り当ててください。例:0~999台のマシン: 2GB、1000~1999台のマシン: 4GB、2000~9999台のマシン: 6GB

Linuxで./StartLogServer.shを実行し、変更が更新されたことを確認します。

WindowsでStartLogServer.batを実行し、変更が更新されたことを確認します。

シトリックス コネクタ アプライアンスで

以下は、Citrix Connector ApplianceでローカルAPIを介してログサーバーの詳細設定を構成するための手順です。

これはPostman、Curl、またはPowerShellのいずれかで実行できます。以下はPostmanで実行された手順の例です。

  1. 認証: JWTの生成

すべてのAPI呼び出しは、JSON Web Token (JWT) を使用して認証される必要があります。まずトークンを生成し、そのトークンを後続のリクエストのヘッダーに含める必要があります。

ステップ 1.1: トークンの生成

トークンを生成するには、$loginエンドポイントにPOSTリクエストを実行します。

  • エンドポイント: POST https://[ip]/$login

  • 本文: 認証に必要なJSONペイロード(例:ユーザー名とパスワード)を含める必要があります。 資格情報が正しい場合、APIはトークンを返します。

トークンを生成 1

トークンを生成 2

このトークン値をコピーして、次の手順で使用します。

ステップ1.2: API呼び出しを承認する

生成されたトークンを、以降のすべてのAPI呼び出しのAuthorizationヘッダーに含めます。トークンにはBearerをプレフィックスとして付ける必要があります。

認証:Bearer abCD.efGH.ijKL

APIを承認する(/en-us/citrix-virtual-apps-desktops/media/aot-install3.png)

有効なトークンはAPI呼び出しの続行を許可します。無効なトークンまたは期限切れのトークンは、エラーメッセージとともに拒否されます。

  1. 詳細設定の追加

認証後、logserverのようなターゲットコンテナの設定を構成できます。MAX_RESERVE_DAYSを構成する

このアクションは、logserverのMAX_RESERVE_DAYSを構成します。

  • エンドポイント: https://[ip]/providers/logserver-provider/environment
  • メソッド: PATCH

リクエストボディ

{ “MAX_RESERVE_DAYS”: “7” }

フィールド

  • MAX_RESERVE_DAYS (string, required): デフォルト値は7日です。ログサーバーは、TimeStampフィールドに基づいてログエントリを最大日数保存します。7日前に挿入されたログは削除されます。10分ごとにチェックします。

この例では、10日に変更しています。

フィールド 2

フィールド 2

フィールド 3

応答

✅ 成功 (204 OK) 設定が適切に構成されていることを示します

応答 1

同様に、最大ディスク使用率をデフォルトの85から調整することもできます。ここでは90に変更しています。ディスク使用率が90%に達すると、新しいログのためのスペースを確保するために古いログが削除されます。

応答 2

応答

✅ 成功 (204 OK) 設定が適切に構成されていることを示します

Log Server のインストールと構成