アクティブディレクトリのユーザー名とパスワード認証
ユーザーはアクティブディレクトリのユーザー名とパスワードの入力を求められます。
。
ユーザーのパスワードの有効期限が切れている場合、または期限切れが近い場合、構成によっては、パスワードを変更するオプションがユーザーに提供されることがあります。
Citrix Workspaceアプリを使用しているときにストアのユーザー名とパスワード認証を有効または無効にするには、認証方法ウィンドウで Active Directory ユーザー名とパスワード のチェックボックスをオンまたはオフにします。
ストアのユーザー名とパスワード認証をデフォルトで有効にすると、Webブラウザを使用するユーザー向けに、そのストアのすべてのWebサイトでも有効になります。特定のWebサイトのユーザー名とパスワード認証は、Webサイトの認証方法の管理タブで無効にできます。
信頼済みユーザーのドメイン構成
明示的なドメイン資格情報を使用してログオンするユーザー、またはCitrix Gatewayからのパススルー認証を使用するユーザーに対して、ストアへのアクセスを制限できます。
-
Citrix StoreFront管理コンソールの左ペインで [ストア] ノードを選択し、結果ペインで適切な認証方法を選択します。[操作] ペインで [認証方法の管理] をクリックします。
-
[ユーザー名とパスワード] > [設定] リストから、[信頼済みドメインの構成] を選択します。
-
[信頼済みドメインのみ] を選択し、[追加] をクリックして信頼済みドメインの名前を入力します。そのドメインにアカウントを持つユーザーは、認証サービスを使用するすべてのストアにログオンできます。ドメイン名を変更するには、[信頼済みドメイン] リストのエントリを選択し、[編集] をクリックします。ドメイン内のユーザーアカウントに対するストアへのアクセスを停止するには、リスト内のドメインを選択し、[削除] をクリックします。
ドメイン名の指定方法によって、ユーザーが資格情報を入力する必要がある形式が決まります。ユーザーにドメインユーザー名形式で資格情報を入力させたい場合は、NetBIOS名をリストに追加します。ユーザーにユーザープリンシパル名形式で資格情報を入力させる必要がある場合は、完全修飾ドメイン名をリストに追加します。ユーザーにドメインユーザー名形式とユーザープリンシパル名形式の両方で資格情報を入力させたい場合は、NetBIOS名と完全修飾ドメイン名の両方をリストに追加する必要があります。
-
複数の信頼済みドメインを構成する場合は、[デフォルトドメイン] リストから、ユーザーがログオンするときにデフォルトで選択されるドメインを選択します。
-
ログオンページに信頼済みドメインをリスト表示する場合は、[ログオンページにドメインリストを表示] チェックボックスをオンにします。
PowerShell
構成されているドメインのリストを取得するには、コマンドレット `Get-STFExplicitCommonOptions` を使用します。
信頼済みドメインを更新するには、コマンドレット `Set-STFExplicitCommonOptions` を使用します。
ユーザーによるパスワード変更の有効化
ユーザーがいつでもパスワードを変更できるようにすることができます。または、パスワードの有効期限が切れたユーザーにのみパスワード変更を制限することもできます。これにより、パスワードの有効期限切れによってユーザーがデスクトップやアプリケーションにアクセスできなくなることを確実に防ぐことができます。
パスワード変更機能は、以下のクライアントで利用できます。
| Citrix Workspaceアプリ | StoreFrontで有効になっている場合、ユーザーは期限切れのパスワードを変更できます | パスワードの有効期限が切れることをユーザーに通知 | StoreFrontで有効になっている場合、ユーザーは期限切れ前にパスワードを変更できます |
|---|---|---|---|
| Windows | はい | ||
| Mac | はい | ||
| Android | |||
| iOS | |||
| Linux | はい | ||
| Web | はい | はい | はい |
デフォルトの構成では、Citrix WorkspaceアプリおよびWebブラウザのユーザーは、パスワードの有効期限が切れていてもパスワードを変更できません。この機能を有効にする場合は、サーバーを含むドメインのポリシーがユーザーによるパスワード変更を妨げないことを確認してください。ユーザーがパスワードを変更できるようにすると、認証サービスを使用するストアにアクセスできるすべてのユーザーに機密性の高いセキュリティ機能が公開されます。組織にユーザーパスワード変更機能を内部使用のみに限定するセキュリティポリシーがある場合は、どのストアも社内ネットワーク外からアクセスできないようにしてください。
ユーザーがいつでもパスワードを変更できるようにした場合、パスワードの有効期限が近づいているローカルユーザーは、ログオン時に警告が表示されます。デフォルトでは、ユーザーへの通知期間は適用されるWindowsポリシー設定によって決定されます。または、カスタム通知期間を構成することもできます。
-
[認証方法の管理] ウィンドウで、[Active Directory ユーザー名とパスワード] > [設定] ドロップダウンメニューから [パスワードオプションの管理] を選択します。
-
ユーザーがパスワードを変更できるようにするには、[ユーザーによるパスワード変更を許可する] チェックボックスをオンにします。
注：
このオプションを選択しない場合、パスワードの有効期限切れによりデスクトップやアプリケーションにアクセスできないユーザーをサポートするための独自の対策を講じる必要があります。
-
ユーザーがパスワードを変更できるタイミングを [有効期限が切れた場合のみ] または [いつでも] のいずれにするかを選択します。
-
パスワードの有効期限が切れる前にユーザーに通知するかどうかを選択します。以下のオプションから選択できます。
-
通知しない - UIはパスワードの有効期限切れのリマインダーを表示しません。パスワードの有効期限が切れた時点でユーザーに通知するだけです。
-
Active Directoryグループポリシーからのリマインダー設定を使用する - ログオン後、ユーザーインターフェイスは、グループポリシーで構成された日数以内にパスワードの有効期限が切れるかどうかを通知します。ユーザーにはパスワードを変更するオプションが与えられます。
注：
StoreFrontはきめ細かいパスワードポリシーを考慮しません。したがって、きめ細かいパスワードポリシーを使用している場合は、このオプションを選択しないでください。
-
カスタマイズされたリマインダー設定を使用する - ログオン後、ユーザーインターフェイスは、指定された日数以内にパスワードの有効期限が切れるかどうかをユーザーに通知します。ユーザーにはパスワードを変更するオプションが与えられます。
-
注
注1：
すべてのユーザーのプロファイルを保存するのに十分なディスク容量がStoreFrontサーバーにあることを確認してください。ユーザーのパスワードの有効期限が近づいているかどうかを確認するために、StoreFrontはそのユーザーのローカルプロファイルをサーバー上に作成します。StoreFrontは、ユーザーのパスワードを変更するためにドメインコントローラーに接続できる必要があります。
注2：
ユーザーがいつでもパスワードを変更できるようにする設定を有効または無効にすると、Citrix Gatewayからのパススルー認証の [パスワードオプションの管理] の設定にも影響します。
PowerShell
信頼済みドメインのリストを取得するには、コマンドレット `Get-STFExplicitCommonOptions` を使用します。
信頼済みドメインを更新するには、コマンドレット `Set-STFExplicitCommonOptions` を使用します。
パスワード検証
通常、StoreFrontはWindowsにActive Directory内の資格情報の検証を要求します。これには、Windowsサーバーがユーザーと同じドメインにあるか、2つのドメイン間に信頼関係がある必要があります。Active Directoryの信頼関係を確立できない場合、StoreFrontを構成してCitrix Virtual Apps and Desktopsのデリバリーコントローラーを使用して資格情報を認証できます。これは、HTTP Basic認証およびGatewayパススルー認証にも影響します。
StoreFrontがパスワードを検証する方法を構成するには：
-
[認証方法の管理] ウィンドウで、[ユーザー名とパスワード] > [設定] ドロップダウンメニューから [パスワード検証の構成] を選択します。
-
[パスワードの検証方法] ドロップダウンから、以下を選択します。
- Active Directory - WindowsにActive Directory内の資格情報の検証を要求します。
- デリバリーコントローラー - 構成されたDelivery Controller™に資格情報の検証を要求します。
-
[デリバリーコントローラー] を選択した場合は、[構成] を選択します。[デリバリーコントローラーの構成] 画面で、ユーザー資格情報を検証するための1つ以上の [デリバリーコントローラー] を追加し、[OK] をクリックします。
-
[OK] を選択します。
PowerShell
パスワードがどのように検証されるかを取得するには、コマンドレット `Get-STFExplicitAuthenticator` を使用します。
デリバリーコントローラーを介してパスワード検証を行うには、コマンドレット `Set-STFExplicitAuthenticator` を使用してバリデーターを `xmlServiceAuthenticator` に設定します。資格情報を認証するために使用するデリバリーコントローラーを設定するには、コマンドレット Enable-STFXmlServiceAuthentication を使用します。
VDAへのシングルサインオン
ユーザーがリソースを起動すると、StoreFrontはユーザーがストアにログオンするために使用した資格情報をVDAへのシングルサインオンのためにパススルーします。
ストアでフェデレーション認証サービス (FAS)が有効になっている場合、StoreFrontはFASサーバーに接続して、ストアへのシングルサインオン用の証明書を提供します。この証明書は、資格情報の代わりにVDAにパススルーされます。StoreFrontがFASサーバーに接続できない場合、VDAへのシングルサインオンは行われません。
ログオン画面のカスタマイズ
ログオン画面は、通常 `C:\inetpub\wwwroot\Citrix[ストア名]Auth\App_Data\Templates\UsernamePassword.tfrm` にあるテンプレートから生成されます。このテンプレートは、フォームテンプレート言語を使用して定義されます。
次の例では、タイトルを追加し、Citrix Workspaceアプリ for Windowsがパスワードをキャッシュしないようにします。
タイトルテキスト
ユーザーがストアにログオンするとき、デフォルトではログオンダイアログボックスにタイトルテキストは表示されません。「ログオンしてください」というテキストを表示するか、独自のカスタムメッセージを作成できます。
-
テキストエディターを使用して、認証サービスの `UsernamePassword.tfrm` ファイルを開きます。
-
ファイル内で次の行を見つけます。
@* @Heading("ExplicitAuth:AuthenticateHeadingText") *@ <!--NeedCopy--> -
先頭と末尾の `@` および `@` を削除して、ステートメントのコメントを解除します。
@Heading("ExplicitAuth:AuthenticateHeadingText") <!--NeedCopy-->Citrix Workspaceアプリのユーザーは、この認証サービスを使用するストアにログオンするときに、デフォルトのタイトルテキスト「ログオンしてください」またはこのテキストの適切なローカライズ版が表示されます。
-
タイトルテキストを変更するには、テキストエディターを使用して、認証サービスの `ExplicitFormsCommon.xx.resx` ファイルを開きます。このファイルは通常、`C:\inetpub\wwwroot\Citrix[ストア名]Auth\App_Data\resources` ディレクトリにあります。
-
ファイル内で次の要素を見つけます。
<value>要素内に囲まれたテキストを編集して、この認証サービスを使用するストアにアクセスするときにユーザーがログオンダイアログボックスで見るタイトルテキストを変更します。<data name="AuthenticateHeadingText" xml:space="preserve"> <value>My Company Name</value> </data> <!--NeedCopy-->他のロケールのユーザー向けにログオンダイアログボックスのタイトルテキストを変更するには、ローカライズされたファイル ExplicitAuth.languagecode.resx を編集します。ここで languagecode はロケール識別子です。
Citrix Workspaceアプリ for Windowsによるパスワードとユーザー名のキャッシュ防止
デフォルトでは、Citrix Workspaceアプリ for Windowsは、ユーザーがStoreFrontストアにログオンするときにユーザーのパスワードを保存します。Citrix Workspaceアプリ for Windowsがユーザーのパスワードをキャッシュしないようにするには、認証サービスのファイルを編集します。
-
テキストエディターを使用して、ファイル inetpub\wwwroot\Citrix\[ストア名]Auth\App_Data\Templates\UsernamePassword.tfrm を開きます。
-
ファイル内で次の行を見つけます。
@SaveCredential(id: @GetTextValue("saveCredentialsId"), labelKey: "ExplicitFormsCommon:SaveCredentialsLabel", initiallyChecked: ControlValue("SaveCredentials")) <!--NeedCopy--> -
次に示すように、ステートメントをコメントアウトします。
<!-- @SaveCredential(id: @GetTextValue("saveCredentialsId"), labelKey: "ExplicitFormsCommon:SaveCredentialsLabel", initiallyChecked: ControlValue("SaveCredentials")) --> <!--NeedCopy-->ユーザーは、この認証サービスを使用するストアにログオンするたびにパスワードを入力する必要があります。
デフォルトでは、Citrix Workspaceアプリ for Windowsは最後に入力されたユーザー名を自動的に入力します。ユーザー名フィールドの自動入力を抑制したり、パスワードのキャッシュを抑制する別のメカニズムについては、Citrix Workspaceアプリ for Windowsがパスワードとユーザー名をキャッシュしないようにするを参照してください。
Citrix Gatewayを介したリモートアクセス
Citrix Gatewayを構成して、ユーザーがドメインのユーザー名とパスワード、およびオプションで第2要素を使用してゲートウェイにログオンできるようにすることができます。これらの資格情報は、ストアにサインオンするためにStoreFrontにパススルーされます。LDAPユーザー名とパスワード認証用にCitrix Gatewayを構成するには、NetScalerドキュメント - LDAP認証を参照してください。StoreFrontを構成するには、Citrix Gatewayからのパススルーを参照してください。