HTTPSでストアフロントを保護する
Citrixは、StoreFrontとユーザーデバイス間の通信をHTTPSを使用して保護することを強く推奨します。これにより、クライアントとStoreFront間で送信されるパスワードやその他のデータが暗号化されます。さらに、特に公共のWi-Fiホットスポットなどの安全でない場所から接続が行われる場合、プレーンなHTTP接続は、中間者攻撃などのさまざまな攻撃によって危険にさらされる可能性があります。適切なIIS構成がない場合、StoreFrontは通信にHTTPを使用します。
構成によっては、ユーザーはゲートウェイまたはロードバランサーを介してStoreFrontにアクセスする場合があります。HTTPS接続はゲートウェイまたはロードバランサーで終端できます。ただし、この場合でもCitrixは、ゲートウェイ、ロードバランサー、およびStoreFront間でHTTPSを使用して安全な接続を確立することを推奨します。NetScalerロードバランサーを使用する場合の証明書要件については、リンクADCアプライアンスでのサーバー証明書サポートマトリックスを参照してください。
StoreFrontがHTTPS用に構成されていない場合、次の警告が表示されます。
証明書の作成またはインポート
-
StoreFrontのベースURLが、DNSフィールドに共通名またはサブジェクト代替名 (SAN) として含まれていることを確認してください。StoreFrontサーバーの前にロードバランサーを使用している場合は、サーバーのFQDNとロードバランサーのFQDNの両方をSANとして含めることをお勧めします。これにより、トラブルシューティングのために特定のStoreFrontサーバーに直接接続できます。
-
組織のエンタープライズルートCAまたはパブリックCAを使用して証明書に署名します。
-
ユーザーがロードバランサーまたはゲートウェイを介してStoreFrontにアクセスする場合、証明書はロードバランサーまたはゲートウェイによってのみ信頼される必要があります。ユーザーがStoreFrontサーバーに直接接続する場合、クライアントは証明書を信頼する必要があります。
Windows内の個人証明書ストアに証明書を作成またはインポートする必要があります。インストールされている証明書を表示するには：
- IIS (インターネット インフォメーション サービス) マネージャーを開きます。
- 接続ペインで、サーバーを選択します。
- サーバー証明書を開きます。
証明書の管理の詳細については、証明書の管理を参照してください。
HTTPS用にIISを構成する
StoreFrontサーバーでHTTPS用にマイクロソフト インターネット インフォメーション サービス (IIS) を構成するには:
-
左側のツリービューで、Default Web Site (または適切なWebサイト) を選択します。
-
アクションペインで、バインド… をクリックします。
IIS管理サーバーのDefault Web Siteホーム画面でバインドリンクが強調表示されているスクリーンショット(/ja-jp/storefront/current-release/media/secure/iis-default-web-site-highlight-bindings.png)
-
バインドウィンドウで、追加… をクリックします。
-
種類 ドロップダウンで https を選択します。
-
Windows Server 2022以降では、TLS 1.2より古いTLSを無効にするには、レガシーTLSを無効にする をクリックします。
以前のWindows Serverバージョンでは、Windowsレジストリ設定を使用してレガシーTLSバージョンを無効にできます。Windows Serverドキュメントを参照してください。
-
以前にインポートした証明書を選択します。OKを押します。
サイトバインドの追加ウィンドウのスクリーンショット(/ja-jp/storefront/current-release/media/secure/iis-add-site-binding.png)
-
HTTPアクセスを削除するには、HTTPを選択し、削除 をクリックします。
サイトバインドウィンドウのスクリーンショット(/ja-jp/storefront/current-release/media/secure/iis-site-bindings.png)
-
httpsプロトコルを使用するようにベースURLを更新します。
エイチエスティーエス
サーバー側でHTTPSを有効にした後でも、ユーザーのクライアントデバイスは脆弱です。たとえば、中間者攻撃者はStoreFrontサーバーを偽装し、ユーザーをだましてプレーンHTTP経由で偽装サーバーに接続させることができます。これにより、ユーザーの資格情報などの機密情報にアクセスされる可能性があります。この解決策は、ユーザーのブラウザがHTTP経由でサーバーにアクセスしようとしないようにすることです。これは、HTTP Strict Transport Security (HSTS)を使用して実現できます。
HSTSが有効な場合、サーバーはWebブラウザに対し、Webサイトへのリクエストは常にHTTPS経由で行われるべきであることを示します。ユーザーがHTTPを使用してURLにアクセスしようとすると、ブラウザは自動的にHTTPSを使用するように切り替えます。これにより、安全な接続のクライアント側検証と、IISでのサーバー側検証の両方が保証されます。Webブラウザは、設定された期間、この検証を維持します。
注:
HSTSを有効にすると、同じドメイン上のすべてのWebサイトに影響します。たとえば、Webサイトが
https://www.company.com/Citrix/StoreWebでアクセス可能な場合、HSTSポリシーはhttps://www.company.com以下のすべてのWebサイトに適用され、これは望ましくない場合があります。
HSTSを有効にするにはいくつかのオプションがあります。同じヘッダーを複数回設定しないように、1つのオプションのみを選択してください。
オプション 1 - IIS
Windows Server 2019以降のバージョンでは、IISでHSTSを設定できます。
- インターネット インフォメーション サービス (IIS) マネージャーを開きます。
- 既定の Web サイト (または適切な Web サイト) を選択します。
- 右側の「操作」ペインで、HSTS… をクリックします。
- 有効にするを選択します。
- 最大有効期間を入力します。例: 1年の場合は31536000。
- オプションで、HTTP を HTTPS にリダイレクトを選択します。
- OK を押します。
オプション 2 - StoreFront™ 管理コンソール
各ストアWebサイトについて：
- ストアを選択し、Webサイトの管理をクリックします。
- Webサイトを選択し、構成…をクリックします。
- 詳細設定タブに移動します。
- 厳格なトランスポートセキュリティを有効にするを選択します。
- 厳格なトランスポートセキュリティポリシーの期間を必要な値に更新します。
- OKをクリックします。
- サーバーグループ内の他のサーバーに構成を伝達します。
オプション3 - NetScaler®ロードバランサー
StoreFrontサーバーの前にNetScalerロードバランサーを使用している場合、仮想サーバーでHSTSを構成できます。詳細については、NetScalerドキュメントを参照してください。
オプション4 - ネットスケーラー ゲートウェイ
ユーザーがNetScaler Gateway経由でStoreFrontに接続する場合、VPN仮想サーバーでHSTSを構成できます。これにより、NetScalerログオンフォームだけでなく、StoreFrontによってホストされるページにも適用されるという利点があります。