製品ドキュメント
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR

Web StudioとDirectorでTLSを有効にする

May 14, 2025
寄稿者: 
C

HTTPSを有効にして、Web StudioおよびDirectorへの接続をセキュリティで保護するために、常にTLSを使用することをお勧めします。 この記事では、信頼できる証明書を使用してHTTPS経由の安全なアクセスを確保するようにWeb StudioとDirectorを構成する方法について説明します。

デフォルトの動作

Web Studioをインストールすると、インストーラーによって自己署名証明書が作成され、現在のサーバーのポート443にバインドされます。 ローカルサーバー上のHTTPS経由でWebブラウザーからWeb StudioおよびDirectorにアクセスできます。

ただし、別のマシンからHTTPS経由でWeb StudioまたはDirectorにアクセスしようとすると、証明書が信頼されないため、ブラウザーにセキュリティエラーが表示されます。

注意:

Web Studioを使用せずにDirectorをインストールすると、インストーラーは自己署名証明書を作成しません。

HTTPS経由のセキュアなアクセスを有効にする

Web Studioサーバー以外のマシンからHTTPS経由でWeb StudioまたはDirectorにアクセスできるようにするには、次の手順を実行します：

  1. 信頼された機関からの証明書を作成またはインポートします。

  2. 証明書をIISのポート443にバインドします。

  3. （オプション）HTTP厳密なトランスポートセキュリティ（HSTS）を有効にします。

  4. Web Studioがプロキシとして構成されていない場合（クライアントマシンがWeb StudioとDelivery Controllerの両方に接続する場合）、Delivery ControllerでTLSを有効にします。

注意:

自己署名証明書の使用は、各マシンで手動で構成する必要があるため、お勧めしません。 詳しくは、「自己署名証明書を使用する」を参照してください。

信頼された機関からの証明書を作成またはインポートする

サーバーに接続するマシンによって信頼されている、エンタープライズ証明機関または公的証明機関からの証明書を使用することをお勧めします。

詳しくは、「新しい証明書を作成する」および「既存の証明書をインポートする」を参照してください。 証明書の共通名またはサブジェクトの別名は、ユーザーがWeb StudioまたはDirectorに接続するために使用する完全修飾ドメイン名と一致する必要があります。 サーバーの前にロードバランサーが配置されている場合は、ロードバランサーの完全修飾ドメイン名を使用します。

証明書をポート443にバインドする

信頼された機関からの証明書を作成またはインポートした後、それをIISのポート443にバインドします。 これはインストール前でもインストール後でも実行できます。 ポート443に対して証明書のバインドがすでに構成されている場合、インストーラーは変更を加えません。

注意:

デフォルトでは、Web StudioとDirectorは安全なHTTPSアクセスにポート443を使用します。 必要に応じてポート番号を変更できます。 詳しくは、「デフォルトのポート番号を変更する」を参照してください。

証明書をポート443にバインドするには、次の手順を実行します：

  1. 管理者としてサーバーにログオンします。

  2. IISマネージャーを開き、［サイト］>［既定のWebサイト］>［バインド］を参照します。

  3. 種類が httpsの既存のバインディングがある場合は、それを選択し、［編集…］をクリックします。 httpsのバインディングがない場合は、［追加］をクリックします。

    サイトバインディングを開く方法を強調表示したスクリーンショット

  4. サイトバインディングを作成または編集します：

    1. 新しいバインディングの場合は、種類をhttpsに、ポートを443に設定します。

    2. 適切なSSL証明書を選択します。

    3. Windows Server 2022以降では、オプションで［Disable Legacy TLS］を選択して、ユーザーが最新のTLSバージョンのみを使用して接続できるようにします。

    4. ［OK］ をクリックします。

    サイトのバインドの追加

または、PowerShellを使用して証明書を変更することもできます。 たとえば、次のスクリプトは、指定された共通名を持つ証明書を検索し、それをすべてのIPアドレス、ポート443にバインドし、従来のTLSバージョンを無効にします。

  $certSName = 'CN=whpdevddc0.bvttree.local'  # The subject name of the certificate
$certificate = Get-ChildItem -Path Cert:\LocalMachine\My\ | ?   {$_.Subject -eq $certSName}
netsh http add sslcert ipport=0.0.0.0:443 certhash=$($certificate.Thumbprint) certstorename=My appid="{91fe7386-e0c2-471b-a252-1e0a805febac}" disablelegacytls=enable
<!--NeedCopy-->

appidは、どのアプリケーションが証明書を追加したかを識別するために使用できる任意のGUIDであることに注意してください。

自己署名証明書を使用する

既存の自己署名証明書を使用することもできますが、サーバーにアクセスする各マシンを手動で構成する必要があるため、お勧めしません。

Web Studioに接続する必要があるマシンに自己署名証明書をインストールするには：

  1. Web StudioおよびDelivery Controllerサーバーから、既存の自己署名証明書をエクスポートします。
  2. サーバーにアクセスする必要があるマシンの［信頼された証明書］ストアに、証明書をインポートします。

（オプション）HTTP厳密なトランスポートセキュリティ（HSTS）を有効にする

HTTP厳密なトランスポートセキュリティ（HSTS）は、Webブラウザーに、サイトにアクセスするときにHTTPSのみを使用するように指示します。 ユーザーがHTTPを使用してURLにアクセスしようとすると、ブラウザーは自動的にHTTPSの使用に切り替わります。 この設定により、クライアント側とサーバー側の両方で安全な接続の検証が保証されます。 ブラウザーは、構成された期間、この検証を提供し続けます。

Windows Server 2019以降では、IISでHSTSを構成できます：

  1. インターネットインフォメーションサービス（IIS）マネージャーを開きます。
  2. ［Default Web Site］（または適切なWebサイト） を選択します。
  3. 右側の［Actions］ペインで、［HSTS…］をクリックします。
  4. ［Enable］を選択し、最大経過期間を入力します（例：1年の場合は31536000）。
  5. ［Redirect HTTP to HTTPS］を選択します。 > 注： > >Web Studioは、Studio WebサイトにアクセスするときにHTTPをHTTPSにリダイレクトするURL書き換え規則を自動的に構成します。 ただし、このオプションはDirectorおよびIISサイト上の他のアプリケーションにも適用されます。

  6. ［OK］ をクリックします。

    HSTS設定のスクリーンショット

（オプション）デフォルトのポート番号を変更する

デフォルトでは、Web StudioとDirectorは安全なHTTPSアクセスにポート443を使用します。 このポート番号を変更するには、次の手順に従って、［Default Web Site］で目的のポートのサイトバインドを作成します。

手順：

  1. Web Studioをホストしているサーバーで、インターネットインフォメーションサービス（IIS）マネージャーを開きます。

  2. ［Connections］ペインで、サーバーノードを展開し、［Site］の下の［Default Web Site］を選択します。

  3. 右側の［Actions］ペインで、［Bindings］をクリックします。

    新しいポートを設定する

  4. ［Site Bindings］ウィンドウで、［Add］をクリックします。

  5. ［Add Site Binding］ウィンドウで、新しいバインドに対して以下を設定します：

    1. Type：httpsを選択します。
    2. IP address：適切なIPアドレスを選択するか、該当する場合は［All Unassigned］のままにします。
    3. Port：希望する ポート番号を入力します（例：444）。
    4. SSL certificate：安全な通信のために、適切なSSL証明書を選択します。

    注意:

    Delivery ControllerとWeb Studioが別のマシンにインストールされており、サーバーに他のサービスやWebサイトが展開されていない場合は、ポート443を削除できます。 それ以外の場合は、Orchestration Serviceやその他のFMAサービスとの通信の問題を回避するために、このポートを保持します。

  6. ［OK］をクリックしてバインドを保存し、［Site Bindings］ウィンドウを閉じます。

  7. IISマネージャーで、サーバーノードをクリックし、［Actions］ペインで［Restart］をクリックして、新しいバインドを適用します。

（オプション）HTTPSリダイレクトを無効にする

Web Studioをインストールすると、デフォルトでは、すべてのHTTPアクセスがHTTPSに自動的にリダイレクトされます。 このリダイレクトを無効にしてHTTPアクセスを許可することもできます。 この方法は、HTTPアクセスをブロックするための他の手段を使用している場合にのみ推奨されます。 Web Studioの前にTLS終了ロードバランサーがある場合でも、ロードバランサーとWeb Studioの間ではHTTPSを使用することをお勧めします。

  1. Web Studioサーバーにログオンします。
  2. インターネットインフォメーションサービス（IIS）マネージャーを開き、サーバー名 >サイト>既定のWebサイト>URL書き換えに移動します。

  3. 次のスクリーンショットのように、Redirection to httpsの［Inbound Rules］を無効にします。

    HTTPSリダイレクトを無効にする

IISでHSTSを有効にしている場合は、［Redirect Http to Https］もオフにする必要があります。

Web StudioとDirectorでTLSを有効にする
May 14, 2025
寄稿者: 
C
May 14, 2025
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.