Federated Authentication Service

Windowsログオンの問題のトラブルシューティング

September 15, 2026

寄稿者:

C C

この記事では、ユーザーが証明書またはスマートカード、あるいはその両方を使用してログオンする際にWindowsが提供するログとエラーメッセージについて説明します。これらのログは、認証の失敗をトラブルシューティングするために使用できる情報を提供します。

証明書および公開鍵インフラストラクチャ

Windows Active Directoryは、ログオンするユーザーの証明書を管理するいくつかの証明書ストアを維持しています。

NTAuth証明書ストア: Windowsに認証するには、ユーザー証明書を直接発行する証明機関（つまり、チェーンはサポートされていません）をNTAuthストアに配置する必要があります。これらの証明書を表示するには、certutilプログラムから次のように入力します: certutil –viewstore –enterprise NTAuth
ルートおよび中間証明書ストア: 通常、証明書ログオンシステムは単一の証明書しか提供できないため、チェーンが使用されている場合、すべての中間証明書ストアにはこれらの証明書が含まれている必要があります。ルート証明書は信頼されたルートストアにあり、最後から2番目の証明書はNTAuthストアにある必要があります。
ログオン証明書拡張機能とグループポリシー: Windowsは、EKUおよびその他の証明書ポリシーの検証を強制するように構成できます。Microsoftのドキュメントを参照してください: https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)。

レジストリポリシー	説明文
EKUのない証明書を許可する	無効にすると、証明書にはスマートカードログオン拡張キー使用法 (EKU) を含める必要があります。
署名専用キーを許可する	既定では、WindowsはRSA復号化を許可しない証明書の秘密鍵を除外します。このオプションはそのフィルターを上書きします。
時間的に無効な証明書を許可する	既定では、Windowsは期限切れの証明書を除外します。このオプションはそのフィルターを上書きします。
ECC証明書の列挙	楕円曲線認証を有効にします。
X509ヒントが必要	証明書に一意のユーザープリンシパル名 (UPN) が含まれていない場合、または曖昧な場合、このオプションを使用すると、ユーザーは手動で Windows ログオンアカウントを指定できます。
キャッシュされたCRLのみを使用、失効不明エラーを無視	失効チェックを無効にします (ドメインコントローラーで設定)。

ドメインコントローラー証明書: Kerberos 接続を認証するには、すべてのサーバーが適切な「ドメインコントローラー」証明書を持っている必要があります。これらは、「ローカルコンピューター証明書個人ストア」MMC スナップインメニューを使用して要求できます。

UPN 名と証明書のマッピング

ユーザー証明書には、サブジェクト代替名拡張に一意のユーザープリンシパル名 (UPN) を含めることをお勧めします。

Active Directory のユーザープリンシパル名

デフォルトでは、Active Directory のすべてのユーザーは、<samUsername>@<domainNetBios> および <samUsername>@<domainFQDN> のパターンに基づいた暗黙的な UPN を持っています。利用可能なドメインと FQDN は、フォレストの RootDSE エントリに含まれています。単一のドメインは、RootDSE に複数の FQDN アドレスを登録できます。

また、Active Directory のすべてのユーザーは、明示的な UPN と altUserPrincipalNames を持っています。これらは、ユーザーの UPN を指定する LDAP エントリです。

UPN でユーザーを検索する場合、Windows はまず現在のドメイン (UPN を検索するプロセスの ID に基づく) で明示的な UPN を探し、次に代替 UPN を探します。一致するものがない場合、暗黙的な UPN を検索します。これは、フォレスト内の異なるドメインに解決される可能性があります。

証明書マッピングサービス

証明書に明示的な UPN が含まれていない場合、Active Directory には、各用途の正確な公開証明書を「x509certificate」属性に保存するオプションがあります。このような証明書をユーザーに解決するには、コンピューターがこの属性を直接クエリできます (デフォルトでは、単一ドメイン内)。

ユーザーがこの検索を高速化するユーザーアカウントを指定するオプションが提供されており、この機能はクロスドメイン環境でも使用できます。

フォレスト内に複数のドメインがあり、ユーザーがドメインを明示的に指定しない場合、Active Directory rootDSEは証明書マッピングサービスの場所を指定します。これはグローバルカタログマシンにあり、フォレスト内のすべてのx509証明書属性のキャッシュされたビューを持っています。このコンピューターは、証明書のみに基づいて、任意のドメイン内のユーザーアカウントを効率的に見つけるために使用できます。

ログオンドメインコントローラーの選択を制御する

環境に複数のドメインコントローラーが含まれている場合、認証に使用されるドメインコントローラーを確認および制限して、ログを有効にして取得できるようにすると便利です。

ドメインコントローラーの選択を制御する

Windowsがログオンに特定のWindowsドメインコントローラーを使用するように強制するには、lmhostsファイルを構成することで、Windowsマシンが使用するドメインコントローラーのリストを明示的に設定できます: \Windows\System32\drivers\etc\lmhosts。

通常、その場所に「lmhosts.sam」という名前のサンプルファイルがあります。次の行を含めるだけです。

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

ここで、「1.2.3.4」は「mydomain」ドメイン内の「dcnetbiosname」という名前のドメインコントローラーのIPアドレスです。

再起動後、Windowsマシンはその情報を使用してmydomainにログオンします。デバッグが完了したら、この構成を元に戻す必要があります。

使用中のドメインコントローラーを特定する

ログオン時に、Windowsはユーザーをログオンさせたドメインコントローラーを含むMSDOS環境変数を設定します。これを確認するには、コマンドプロンプトを次のコマンドで起動します: echo %LOGONSERVER%。

認証に関連するログは、このコマンドによって返されるコンピューターに保存されます。

アカウント監査イベントを有効にする

デフォルトでは、Windowsドメインコントローラーは完全なアカウント監査ログを有効にしません。これは、グループポリシーエディターのセキュリティ設定にある監査ポリシーを通じて制御できます。グループポリシーエディターを開くには、ドメインコントローラーで gpedit.msc を実行します。監査ポリシーが有効になると、ドメインコントローラーはセキュリティログに追加のイベントログ情報を生成します。

アカウント監査イベントを有効にする

証明書検証ログ

証明書の有効性を確認する

スマートカード証明書がDER証明書としてエクスポートされている場合（秘密鍵は不要）、certutil –verify user.cer コマンドで検証できます。

CAPIログを有効にする

ドメインコントローラーとユーザーのマシンで、イベントビューアーを開き、Microsoft/Windows/CAPI2/Operational Logs のログ記録を有効にします。

ドメインコントローラーとVDAマシンで、イベントビューアーを開き、アプリケーションとサービスログ > Microsoft > Windows > CAPI2 > Operational に移動します。Operational を右クリックし、ログの有効化 を選択します。

さらに、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32 にあるレジストリ値を使用してCAPIログを微調整します。以下の値はデフォルトでは存在しないため、作成する必要があります。デフォルトのCAPI2ログ設定に戻したい場合は、これらの値を削除してください。

値	説明文
診断レベル (DWORD)	詳細レベル (0～5)
DiagMatchAnyMask (QUADWORD)	イベントフィルター (すべてに 0xffffff を使用)
診断プロセス名 (複数文字列)	プロセス名でフィルタリング (例: LSASS.exe)

CAPI のログ

メッセージ	説明内容
チェーンの構築	LSA が CertGetCertificateChain を呼び出しました (結果も含まれています)
失効の検証	LSA が CertVerifyRevocation を呼び出しました (結果が含まれます)
X509オブジェクト	詳細モードでは、証明書および証明書失効リスト (CRL) がAppData\LocalLow\Microsoft\X509Objectsにダンプされます
チェーンポリシーの検証	LSA が CertVerifyChainPolicy を呼び出しました (パラメーターを含む)

エラーメッセージ

エラーコード	説明内容
証明書が信頼されていません	スマートカード証明書を、コンピューターの中間証明書ストアおよび信頼されたルート証明書ストアにある証明書を使用して構築できませんでした。
証明書失効確認エラー	スマートカードのCRLを、証明書のCRL配布ポイントで指定されたアドレスからダウンロードできませんでした。失効確認が必須の場合、これによりログオンが成功しなくなります。「証明書と公開キーインフラストラクチャ」セクションを参照してください。
証明書使用エラー	この証明書はログオンに適していません。たとえば、サーバー証明書または署名証明書である可能性があります。

ケルベロスログ

Kerberosログを有効にするには、ドメインコントローラーとエンドユーザーマシンで、次のレジストリ値を作成します。

ハイブ	値の名前	値 [DWORD]
CurrentControlSet\Control\Lsa\Kerberos\Parameters	ログレベル	0x1
カレントコントロールセット\コントロール\Lsa\Kerberos\パラメーター	カーブデバッグレベル	0xffffffff
CurrentControlSet\Services\Kdc	Kdcデバッグレベル	0x1
CurrentControlSet\Services\Kdc	Kdcエクストラログレベル	0x1f

Kerberos ログはシステムイベントログに出力されます。

「信頼されていない証明書」などのメッセージは診断が容易であるはずです。
2つのエラーコードは情報提供目的であり、安全に無視できます。
- KDC_ERR_PREAUTH_REQUIRED (古いドメインコントローラーとの下位互換性のために使用されます)
- 不明なエラー 0x4b

ドメインコントローラーとワークステーションのログ

このセクションでは、ユーザーが証明書でログオンしたときにドメインコントローラーとワークステーションで予想されるログエントリについて説明します。

ドメインコントローラー CAPI2 ログ
ドメインコントローラーセキュリティログ
仮想配信エージェント (VDA) セキュリティログ
VDA 暗号化API ログ
VDA システムログ

ドメインコントローラー CAPI2 ログ

ログオン中、ドメインコントローラーは呼び出し元の証明書を検証し、次の形式で一連のログエントリを生成します。

ドメインコントローラー CAPI2 ログ

最終的なイベントログメッセージは、ドメインコントローラー上の lsass.exe が VDA から提供された証明書に基づいてチェーンを構築し、その有効性（失効を含む）を検証していることを示しています。結果は「”ERROR_SUCCESS”」として返されます。

ドメインコントローラー CAPI2 ログ 2

ドメインコントローラーセキュリティログ

ドメインコントローラーは一連のログオンイベントを表示します。主要なイベントは4768で、証明書がKerberos Ticket Granting Ticket (krbtgt) の発行に使用されます。

これより前のメッセージは、サーバーのマシンアカウントがドメインコントローラーに対して認証を行っていることを示しています。これに続くメッセージは、新しい krbtgt に属するユーザーアカウントがドメインコントローラーに対して認証に使用されていることを示しています。

ドメインコントローラーセキュリティログ

VDA セキュリティログ

ログオンイベントに対応するVDAセキュリティ監査ログは、winlogon.exeを発生源とするイベントID 4648のエントリです。

VDAセキュリティログ

ブイディーエーキャピログ

このVDA CAPIログの例は、lsass.exeからの単一のチェーン構築および検証シーケンスを示しており、ドメインコントローラー証明書 (dc.citrixtest.net) を検証しています。

ブイディーエーキャピログ

VDA CAPI のログのスクリーンショット 2(/ja-jp/federated-authentication-service/2402-ltsr/media/fas-troubleshoot-logon-capi-chainpolicy.png)

VDAシステムログ

Kerberosログが有効になっている場合、システムログにはエラーKDC_ERR_PREAUTH_REQUIRED (無視可能) と、Kerberosログオンが成功したことを示すWinlogonからのエントリが表示されます。

VDAシステムログ

Windowsイベントログを使用したFASの監視

すべてのFASイベントはWindowsアプリケーションイベントログに書き込まれます。System Center Operations Manager (SCOM) などの製品を使用して、ここで説明されているプロセスとイベントを使用してFASサービスの正常性を監視できます。

FASサービスは実行中ですか

フェデレーション認証サービスが実行されているかどうかを判断するには、Citrix.Authentication.FederatedAuthenticationService.exeプロセスを監視します。

このセクションでは、FASサービスを監視するための最も重要なイベントのみを説明します。FASイベントコードの完全なリストについては、「FASイベントログ」を参照してください。

FASヘルスイベント

以下のイベントは、FASサービスが正常であるかどうかを示します。

The event source is Citrix.Authentication.FederatedAuthenticationService.

イベント	イベントテキスト	説明文	注
[S003]	管理者 [{0}] がメンテナンスモードを [{1}] に設定	FASサービスがメンテナンスモードに移行したか、メンテナンスモードから解除されました。	メンテナンスモード中は、FASサーバーはシングルサインオンに使用できません。
[S022]	管理者 [{0}] がメンテナンスモードをオフに設定	FASサービスがメンテナンスモードから解除されました。	この機能は、FAS 10.7 および Citrix Virtual Apps and Desktops 2109 の各製品バージョンでご利用いただけます。
[S023]	管理者 [{0}] がメンテナンスモードをオンに設定	FASサービスがメンテナンスモードに設定されました。	この機能は、FAS 10.7 および Citrix Virtual Apps and Desktops 2109 の各製品バージョンでご利用いただけます。
[S123]	[upn: {0} role: {1}] [exception: {2}] の証明書の発行に失敗しました	このイベントは、FASが構成されているCAのいずれもユーザー証明書の発行に成功しなかった場合に、[S124] の後に発生します。そのユーザーのシングルサインオンは失敗します。	このイベントは、構成されているすべてのCAが機能していないことを示します。FASがHSMを使用するように構成されている場合、HSMが機能していないことも示している可能性があります。
[S124]	[certificate authority: {2}] [exception: {3}] で [upn: {0} role: {1}] の証明書の発行に失敗しました	FASが指定されたCAからユーザー証明書を要求しようとしたときに、エラーが発生しました。FASが複数のCAで構成されている場合、FASは別のCAで要求を試行します。	このイベントは、CAが機能していないか、連絡できない状態であることを示している可能性があります。FASがHSMを使用するように構成されている場合、HSMが機能していないことも示している可能性があります。例外は、問題の原因を特定するのに役立ちます。
[S413]	承認証明書の有効期限が間もなく切れます（残り{0}日）。証明書の詳細: {1}	このイベントは、FAS承認証明書の有効期限が近づくと定期的に生成されます。デフォルトでは、承認証明書の有効期限が30日以内である場合、イベントは毎日生成されます。	デフォルト設定は、cmdlet Set-FasRaCertificateMonitor を使用して調整できます。詳細については、PowerShell cmdlets を参照してください。
[S414]	認証証明書の有効期限が切れました。証明書の詳細: {0}	FAS認証証明書の有効期限が切れると、このイベントが定期的に生成されます。デフォルトでは、このイベントは毎日生成されます。	有効期限が切れると、FASは新しいユーザー証明書を生成できなくなり、シングルサインオンが失敗し始めます。

クラウド接続FASイベント

Citrix Cloud™でFASを使用している場合、以下のイベントは、FASサービスが正常であるかどうかを示します。

イベントソースは Citrix.Fas.Cloud となっています。

イベント	イベントテキスト	説明文	注
[S012]	FASサービスはCitrix Cloudからのシングルサインオンに利用可能です	このイベントは、Workspace（つまりCitrix Cloud）からのシングルサインオンが機能しているはずであることを示します。	このイベントを発行する前に、FASは(1)構成されていること、(2)メンテナンスモードではないこと、および(3)Citrix Cloudに接続されていることを確認します。
[S013]	FASサービスはCitrix Cloudからのシングルサインオンに利用できません。[{0}] 詳細については、管理コンソールで確認できます。	このイベントは、FASがWorkspace（つまりCitrix Cloud）からのシングルサインオンを提供できないことを示します。メッセージには、シングルサインオンが機能しない理由が含まれています。	FASはCitrix Cloudへの永続的な接続を維持します。この接続は、ネットワークの不具合やプロキシサーバーの接続寿命ポリシーなど、さまざまな理由で時折切断されることがあります。このような場合、イベントテキストには「Service is not connected to the cloud」と表示されます。これは通常の動作であり、FASはCitrix Cloudへの接続を直ちに再確立しようとします。

セキュリティイベント

次のイベントは、不正なエンティティがFASを使用しようとしたことを示します。

The event source is Citrix.Authentication.FederatedAuthenticationService.

イベント	イベントテキスト	説明内容
[S001]	アクセス拒否: ユーザー [{0}] はAdministratorsグループのメンバーではありません	FASの設定を表示または変更しようとしましたが、呼び出し元はFAS管理者ではありませんでした。
[S002]	アクセス拒否: ユーザー [{0}] は役割 [{1}] の管理者ではありません	FASルールの構成を表示または変更しようとしましたが、呼び出し元がFAS管理者ではありませんでした。
[S101]	サーバー [{0}] は、ロール [{1}] でIDをアサートする権限がありません。	ユーザーIDをアサートしようとしましたが、呼び出し元にはその権限がありません。FASルール構成で許可されているStoreFront™サーバー（および該当する場合はWorkspace）のみが、ユーザーIDをアサートできます。
[S104]	サーバー [{0}] はUPN [{1}] のアサートに失敗しました（UPNはロール [{2}] で許可されていません）。	ユーザーIDをアサートしようとしましたが、FASルール構成により、そのユーザーアカウントは許可されていません。
[S205]	証明書利用者アクセスが拒否されました - 呼び出し元アカウント [{0}] は、ルール [{1}] の許可された証明書利用者ではありません。	VDAがFASでシングルサインオンを実行しようとしましたが、FASルール構成により、そのVDAは許可されていません。