既知の問題 | Linux 仮想配信エージェント 2503

回避策 1: ルートレスXorgの無効化

-  以下のコマンドを使用して、一時的な回避策としてルートレスXorgを無効にできます。

```
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "0" --force

-  sudo systemctl restart ctxhdx

<!--NeedCopy--> ```

> **注:**
>
> Red Hatは、Xorgサーバーに影響を与えるセキュリティ脆弱性[CVE-2024-31083](https://access.redhat.com/security/cve/CVE-2024-31083)に対処しました。

回避策 2: ルートレスXorg機能の継続のために、cap_ipc_owner機能を付与

ルートレスXorg機能を維持し、ICA®セッションでMIT-SHMが機能するようにするには、ルートレスXorgを有効にする前に、ラッパースクリプトではなくXorg実行可能ファイルに直接`cap_ipc_owner`機能を適用します。以下のディストリビューション固有のコマンドを使用してください。

-  Ubuntu、Debian: `sudo setcap 'cap_ipc_owner=+ep' /usr/lib/xorg/Xorg`

-  RHEL、Rocky: `sudo setcap 'cap_ipc_owner=+ep'  /usr/libexec/Xorg`

-  SUSE: `sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg /usr/bin/Xorg`

[LNXVDA-19032]

GNOMEの問題により、RHEL 8.X、Rocky Linux 8.x、RHEL 9.x、およびRocky Linux 9.xでsamba-winbindをバージョン4.18.6にアップグレードした後、Linux VDAが期待どおりに動作しません。詳細については、https://issues.redhat.com/browse/RHEL-17122を参照してください。

PostgreSQLで設定された最大接続数が同時セッションを処理するのに不十分な場合、セッション起動の失敗が発生します。この問題を回避するには、postgresql.confファイル内のmax_connections設定を変更して最大接続数を増やします。

/var/log/xdl/jproxy.logで以下のLDAP例外がスローされるため、VDA登録が失敗する可能性があります。

 javax.naming.NamingException: LDAP response read timed out, timeout used: 10000 ms.
 <!--NeedCopy-->

この問題を回避するには、次の操作を行います。

LDAPタイムアウト値を変更します。たとえば、以下のコマンドを使用してLDAPタイムアウト値を60秒に変更します。

 `-    ctxreg create -k "HKLM\Software\Citrix\GroupPolicy\Defaults" -t "REG_DWORD" -v "LDAPTimeout" -d "0x000EA60" --force`
 <!--NeedCopy-->

検索ベースを設定してLDAPクエリを高速化します。ctxsetup.shでCTX_XDL_SEARCH_BASE変数を使用するか、以下のコマンドを使用して検索ベースを設定できます。

 -  ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -t "REG_SZ" -v "LDAPComputerSearchBase" -d "<specify a search base instead of the root of the domain to improve search performance>" --force
 <!--NeedCopy-->

[CVADHELP-20895]

Microsoftは、2022年11月にWindows 10用の累積更新プログラムKB5019966およびKB5019964をリリースしました。これらの更新プログラムにより、ドメイン参加と登録に失敗が発生します。この問題を回避するには、Knowledge Centerの記事CTX474888を参照してください。

KerberosでRC4_HMAC_MD5暗号化タイプが許可されている場合、Linux VDAがコントローラーに登録できず、以下のエラーメッセージが表示されることがあります。

エラー: GSS-APIレベルで指定されていない障害 (メカニズムレベル: HMACを使用したRC4暗号化タイプはサポート/有効になっていません)

この問題に対処するには、Active DirectoryドメインでRC4_HMAC_MD5をグローバルに無効にする（または特定のOUで無効にする）か、Linux VDAで弱い暗号化タイプを許可します。その後、klist -li 0x3e4 purgeコマンドを使用してコントローラーとCitrix Cloud Connector™上のキャッシュされたKerberosチケットをクリアし、Linux VDAを再起動します。

Active DirectoryドメインでRC4_HMAC_MD5をグローバルに無効にするには、以下の手順を実行します。

グループポリシー管理コンソールを開きます。
ターゲットドメインを見つけて、Default Domain Policyを選択します。
Default Domain Policyを右クリックし、編集を選択します。グループポリシー管理エディターが開きます。
コンピューターの構成 > ポリシー > Windowsの設定 > セキュリティの設定 > ローカルポリシー > セキュリティオプションを選択します。
ネットワークセキュリティ: Kerberosで許可される暗号化の種類を構成するをダブルクリックします。
DES_CBC_CRC、DES_CBC_MD5、およびRC4_HMAC_MD5のチェックボックスをオフにし、AES128_HMAC_SHA1、AES256_HMAC_SHA1、および将来の暗号化の種類を選択します。

Linux VDAで弱い暗号化タイプを許可するには、以下の手順を実行します。

注:

弱い暗号化タイプを使用すると、展開が攻撃に対して脆弱になります。

Linux VDA上の/etc/krb5.confファイルを開きます。
[libdefaults]セクションに以下のエントリを追加します。

allow_weak_crypto= TRUE

Linux VDAは、暗号化にSecureICA 1.0をサポートしていません。Linux VDAでSecureICA 1.0を有効にすると、セッション起動の失敗が発生します。

Ubuntuグラフィックス: HDX™ 3D Proで、Desktop Viewerのサイズ変更後、アプリケーションの周囲に黒いフレームが表示されたり、背景が黒く表示されたりすることがあります。

Linux VDA印刷リダイレクトによって作成されたプリンターが、セッションログアウト後に削除されないことがあります。

ディレクトリに多数のファイルとサブディレクトリが含まれている場合、CDMファイルが欠落します。この問題は、クライアント側にファイルまたはディレクトリが多すぎる場合に発生する可能性があります。

非英語言語ではUTF-8エンコーディングのみがサポートされています。

Citrix Workspace™アプリfor AndroidのCAPS LOCK状態が、セッションローミング中に反転することがあります。既存の接続をCitrix Workspaceアプリfor Androidにローミングすると、CAPS LOCK状態が失われる可能性があります。回避策として、拡張キーボードのShiftキーを使用して大文字と小文字を切り替えます。

Citrix Workspaceアプリfor Macを使用してLinux VDAに接続する場合、ALTキーを使用したショートカットキーが常に機能するとは限りません。Citrix Workspaceアプリfor Macは、デフォルトで左右のOption/Altキーの両方に対してAltGrを送信します。この動作はCitrix Workspaceアプリの設定内で変更できますが、結果はアプリケーションによって異なります。

Linux VDAがドメインに再参加すると、登録が失敗します。再参加により、新しいKerberosキーセットが生成されます。しかし、ブローカーは、以前のKerberosキーセットに基づくキャッシュされた古いVDAサービスチケットを使用する可能性があります。VDAがブローカーに接続しようとすると、ブローカーはVDAへのリターンセキュリティコンテキストを確立できない可能性があります。一般的な症状は、VDA登録の失敗です。

この問題は、VDAサービスチケットの有効期限が切れて更新されると、最終的に自然に解決されます。しかし、サービスチケットは有効期間が長いため、解決に時間がかかることがあります。

回避策として、ブローカーのチケットキャッシュをクリアします。ブローカーを再起動するか、管理者としてコマンドプロンプトからブローカーで以下のコマンドを実行します。

 klist -li 0x3e4 purge
 <!--NeedCopy-->

このコマンドは、Citrix Broker Serviceが実行されているNetwork Serviceプリンシパルによって保持されているLSAキャッシュ内のすべてのサービスチケットをパージします。これにより、他のVDAおよび潜在的に他のサービス用のサービスチケットが削除されます。ただし、これらは無害であり、必要に応じてKDCから再取得できます。

Citrix Workspaceアプリfor Windowsで、オーディオ録音中にオーディオの歪みが発生する可能性があります。

この記事の概要

回避策 1: ルートレスXorgの無効化
回避策 2: ルートレスXorg機能の継続のために、cap_ipc_owner機能を付与

この情報は役に立ちましたか?