フェデレーション認証サービス

Citrixフェデレーション認証サービスは、Active Directory証明書サービスと統合するように設計されている、権限が付与されたコンポーネントです。 Citrix Federated Authentication Serviceではユーザー向けの証明書が動的に発行され、ユーザーはスマートカードを持っている場合と同じようにActive Directory環境にログオンできます。 これにより、StoreFrontで、SAML（Security Assertion Markup Language）アサーションなどの広範な認証オプションを使用できます。SAMLは、インターネット上で従来のWindowsユーザーアカウントに代わるものとして一般的に使用されています。

以下の図に、Microsoft証明機関と統合したフェデレーション認証サービスによる、StoreFrontとXenAppおよびXenDesktop Virtual Delivery Agent（VDA）へのサポートサービスの提供について示します。

ユーザーがCitrix環境へのアクセスを要求すると、信頼済みのStoreFrontサーバーがフェデレーション認証サービス （FAS）にアクセスします。 FASは、単一のXenAppまたはXenDesktopセッションがそのセッションの証明書で認証できるようにするチケットを付与します。VDAでユーザーを認証する必要がある場合、VDAはFASにアクセスしてチケットを使用します。ユーザー証明書の秘密キーにアクセスできるのはFASだけです。VDAは、証明書を使用して実行する必要のあるすべての署名処理および暗号化解除処理を、FASに送信しなければなりません。

要件

フェデレーション認証サービスはWindowsサーバー（Windows Server 2008 R2以降）でサポートされます。

• FASは、ほかのCitrixコンポーネントを含まないサーバーにインストールすることをお勧めします。
• Windowsサーバーはセキュリティ保護されている必要があります。 Windowsサーバーには登録機関の証明書および秘密キーへのアクセス権限があり、ドメインユーザーに対して自動的に証明書を発行できます。また、これらのユーザー証明書および秘密キーへのアクセス権限もあります。
• FAS PowerShell SDKを使用するには、Windows PowerShell 64ビットがFASサーバーにインストールされている必要があります。
• ユーザー証明書を発行するには、Microsoftエンタープライズ証明機関が必要です。

XenAppまたはXenDesktopのサイトでの要件は次のとおりです：

• Delivery Controllerのバージョンは7.15以上である必要があります。
• VDAのバージョンは7.15以上である必要があります。マシンカタログを通常どおりに作成する前に、フェデレーション認証サービスのグループポリシー構成が適切にVDAに適用されていることを確認してください。詳しくは、「グループポリシーの構成」セクションを参照してください。
• StoreFrontサーバーのバージョンは3.12（XenAppおよびXenDesktop 7.15 ISOで提供されるバージョン）以上である必要があります。

このサービスの展開を計画する場合は、「セキュリティに関する注意事項」セクションを参照してください。

参照先ドキュメント：

• Active Directory証明書サービス

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831740(v=ws.11)?redirectedfrom=MSDN

• 証明書ログオン用のWindowsの構成

https://support.citrix.com/article/CTX206156

インストールとセットアップの順序

1. フェデレーション認証サービスのインストール
2. StoreFrontサーバーでのフェデレーション認証サービスプラグインの有効化
3. グループポリシーの構成
4. フェデレーション認証サービスの管理コンソールを使用した作業：（a）提供されたテンプレートの展開、（b）証明機関のセットアップ、（c）フェデレーション認証サービスへの証明機関の使用権限の付与
5. ユーザールールの構成

フェデレーション認証サービスのインストール

セキュリティ上の理由により、FASは、ドメインコントローラーや証明機関と同様にセキュリティ保護されている専用サーバーにインストールすることをお勧めします。 FASは、ISOの挿入時に自動実行されるスプラッシュスクリーンの ［フェデレーション認証サービス］ ボタンからインストールできます。

以下のコンポーネントがインストールされます。

• フェデレーション認証サービス
• Federated Authentication Serviceをリモートで構成するPowerShellスナップインコマンドレット
• Federated Authentication Serviceの管理コンソール
• フェデレーション認証サービスのグループポリシーテンプレート（CitrixFederatedAuthenticationService.admx/adml）
• 証明機関の簡易構成用の証明書テンプレートファイル
• パフォーマンスカウンターおよびイベントログ

StoreFrontストアでのフェデレーション認証サービスプラグインの有効化

StoreFrontストアでフェデレーション認証サービスの統合を有効にするには、管理者アカウントで以下のPowerShellコマンドレットを実行します。複数のストアがある場合、またはストアの名前が異なる場合は、以下のパスのテキストが異なる可能性があります。

```
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module

$StoreVirtualPath = "/Citrix/Store"

$store = Get-STFStoreService -VirtualPath $StoreVirtualPath

$auth = Get-STFAuthenticationService -StoreService $store

Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"

Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
<!--NeedCopy--> ```

FASの使用を停止するには、以下のPowerShellスクリプトを使用します：

```
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module

$StoreVirtualPath = "/Citrix/Store"

$store = Get-STFStoreService -VirtualPath $StoreVirtualPath

$auth = Get-STFAuthenticationService -StoreService $store

Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"

Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
<!--NeedCopy--> ```

Delivery Controllerの構成

フェデレーション認証サービスを使用するには、それに接続可能なStoreFrontサーバーを信頼するようにXenAppまたはXenDesktop Delivery Controllerを構成します。PowerShellコマンドレットSet-BrokerSite -TrustRequestsSentToTheXmlServicePort $trueを実行します。

グループポリシーの構成

フェデレーション認証サービスのインストール後は、インストールで提供されたグループポリシーテンプレートを使用して、グループポリシー内のFASサーバーの完全なDNSアドレスを指定する必要があります。

重要：チケットを要求するStoreFrontサーバーおよびチケットを使用するVDAに、グループポリシーオブジェクトによって適用されるサーバーの自動番号設定を含む、同じDNSアドレス構成を行う必要があります。

説明をシンプルにするために、以下の例ではすべてのマシンに適用されるドメインレベルで単一のポリシーを構成していますが、これは必須ではありません。 StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンで同じDNSアドレスの一覧が参照されている限り、FASは機能します。グループポリシーオブジェクトによって各エントリにインデックス番号が追加されることに注意してください。このインデックス番号は、複数のオブジェクトを使用する場合も一致する必要があります。

手順1：FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admxファイルおよびen-USフォルダーを見つけます。

手順2：これらをドメインコントローラーにコピーして、C:\Windows\PolicyDefinitionsおよびen-USサブフォルダーに配置します。

手順3：コマンドラインからMicrosoft管理コンソールを実行します（mmc.exe）。メニューバーから、［ファイル］>［スナップインの追加と削除］の順に選択します。 グループポリシー管理エディターを追加します。

グループポリシーオブジェクトを入力するための画面が開いたら、［参照］を選択してから［既定のドメインポリシー］を選択します。 または、任意のツールを使用して、環境に応じたポリシーオブジェクトを作成して選択することもできます。 このポリシーは、影響を受けるCitrixソフトウェア（VDA、StoreFrontサーバー、管理ツール）を実行しているすべてのマシンに適用する必要があります。

手順4：Computer Configuration/Policies/Administrative Templates/Citrix Components/Authenticationにあるフェデレーション認証サービスポリシーに移動します。

手順5：フェデレーション認証サービスポリシーを開き、［有効］を選択します。これにより、FASサーバーのDNSアドレスを構成する［表示］ボタンを選択できるようになります。

手順6：フェデレーション認証サービスをホストしているサーバーのDNSアドレスを入力します。

注意：複数のアドレスを入力する場合は、StoreFrontサーバーとVDA間で一覧の順番が統一されている必要があります。 これには、空白や使用されないエントリも含まれます。

手順7：［OK］をクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。 変更を反映させるには、マシンを再起動（またはコマンドラインからgpupdate /forceを実行）する必要がある場合があります。

セッション内証明書サポートおよびロック時の切断を有効にする

セッション内証明書サポート

グループポリシーテンプレートには、セッション内証明書についてのシステムの構成のサポートが含まれます。これにより、ログオン後に、アプリケーションが使用できるようにユーザーの個人証明書ストアに証明書が配置されます。たとえば、VDAセッション内でWebサーバーへのTLS認証が必要な場合、証明書はInternet Explolerによって使用されます。デフォルトで、VDAはログオン後の証明書へのアクセスを許可しません。

ロック時の切断

このポリシーを有効にすると、ユーザーが画面をロックしたときにセッションが自動的に切断されます。この機能では「スマートカードの取り出し時の切断」ポリシーと同様の動作になるため、ユーザーがActive Directoryログオン資格情報を持っていない場合に便利です。

注：

ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。

フェデレーション認証サービス管理コンソールの使用

フェデレーション認証サービス管理コンソールは、フェデレーション認証サービスの一部としてインストールされます。 ［スタート］メニューにアイコン（Citrix Federated Authentication Service）が配置されます。

この管理コンソールは、グループポリシー構成を使用して、環境内のFASサーバーを自動的に検出します。 この検出に失敗した場合は、「グループポリシーの構成」セクションを参照してください。

ユーザーアカウントが、フェデレーション認証サービスを実行しているマシンの管理者グループのメンバーでない場合は、資格情報を入力するための画面が開きます。

管理コンソールの初回使用時は、証明書テンプレートの展開、証明機関のセットアップ、およびフェデレーション認証サービスへの証明機関の使用権限の付与を行う3段階の手順が表示されます。 一部の手順は、OS構成ツールを使用して手動で完了することもできます。

証明書テンプレートの展開

他のソフトウェアとの相互運用性の問題を避けるため、フェデレーション認証サービスでは、独自の目的で使用する3つのCitrix証明書テンプレートが用意されています。

• Citrix_RegistrationAuthority_ManualAuthorization
• Citrix_RegistrationAuthority
• Citrix_SmartcardLogon

これらのテンプレートは、Active Directoryで登録する必要があります。 コンソールでこれらのテンプレートが見つからない場合は、証明書テンプレートの展開ツールでインストールできます。 このツールは、Enterpriseフォレストの管理権限があるアカウントとして実行する必要があります。

テンプレートの構成は、以下のフォルダーにフェデレーション認証サービスと一緒にインストールされた、拡張子「.certificatetemplate」のXMLファイル内にあります。

C:\Program Files\Citrix\Federated Authentication Service\CertificateTemplates

これらのテンプレートファイルをインストールする権限がない場合は、テンプレートファイルをActive Directory管理者に渡してください。

以下のPowerShellコマンドを使用すると、テンプレートを手動でインストールできます。

```
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")

 $CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService

 $CertEnrol.InitializeImport($template)

 $comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable

 $writabletemplate.Initialize($comtemplate)

 $writabletemplate.Commit(1, $NULL)
 <!--NeedCopy--> ```

Active Directory証明書サービスのセットアップ

Citrix証明書テンプレートのインストール後は、これらのテンプレートを1つまたは複数のMicrosoft証明機関サーバーで公開する必要があります。Active Directory証明書サービスの展開方法について詳しくは、Microsoft社のドキュメントを参照してください。

どのサーバーでもテンプレートが公開されていない場合は、証明書機関のセットアップツールによって公開できます。このツールは、証明機関の管理権限のあるユーザーとして実行する必要があります。

（証明書テンプレートは、Microsoft証明機関コンソールを使用して公開することもできます。）

フェデレーション認証サービスへの権限付与

コンソールでの最終セットアップ手順では、フェデレーション認証サービスへの権限付与が開始されます。 管理コンソールは、Citrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書の要求生成し、この要求をテンプレートを公開する証明機関のいずれかに送信します。

要求は、送信後、Microsoft証明機関コンソールの［保留中の要求］リストに表示されます。フェデレーション認証サービスの構成を続行するには、証明機関の管理者が要求の［発行］または［拒否］を選択する必要があります。承認要求は、FASマシンアカウントからの［保留中の要求］として表示されます。

［すべてのタスク］を右クリックしてから、証明書要求に対して［発行］または［拒否］を選択します。フェデレーション認証サービス管理コンソールにより、このプロセスの完了が自動的に検出されます。この処理には数分かかることがあります。

ユーザールールの構成

ユーザールールにより、StoreFrontの指示に従って、VDAログオンおよびセッション中の使用に関する証明書発行の権限が付与されます。各ルールでは、証明書の要求を信頼するStoreFrontサーバー、証明書を要求できる一連のユーザー、および証明書の使用を許可する一連のVDAマシンを指定します。

フェデレーション認証サービスのセットアップを完了するには、管理者がFAS管理コンソールの［ユーザールール］タブに切り替え、Citrix_SmartcardLogonテンプレートの公開先となる証明機関を選択し、StoreFrontサーバーの一覧を編集して、デフォルトのルールを定義する必要があります。デフォルトでは、VDAの一覧には各ドメインコンピューターが含まれ、ユーザーの一覧には各ドメインユーザーが含まれます。デフォルトが適切でない場合は、これらを変更できます。

フィールド：

［証明機関および証明書テンプレート］：ユーザー証明書の発行に使用される証明書テンプレートおよび証明機関。これは、Citrix_SmartcardLogonテンプレートまたはこれのコピーを変更したものであり、いずれかの証明機関にはこのテンプレートが公開されている必要があります。

FASでは、フェールオーバーおよび負荷分散のために、PowerShellを使用して複数の証明機関の追加することができます。同様に、コマンドラインと構成ファイルを使用して、より詳細な証明書生成オプションを構成できます。詳しくは、「PowerShell」セクションおよび「ハードウェアセキュリティモジュール」セクションを参照してください。

［セッション内証明書］：［ログオン後に使用可能］チェックボックスで、証明書をセッション内証明書としても使用可能かどうかを制御します。 このチェックボックスがオフの場合、証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後、証明書にアクセスできなくなります。

［このルールを使用できるStoreFrontサーバーの一覧］： ユーザーのログオンまたは再接続用に証明書を要求する権限が付与された、信頼済みStoreFrontサーバーの一覧。 この設定はセキュリティ上非常に重要であり、慎重に管理する必要があります。

［このルールによってログインできるVDAデスクトップおよびサーバーの一覧］：フェデレーション認証サービスシステムを使用してユーザーをログオンさせることができるVDAマシンの一覧。

［このルールを使用してStoreFrontがログインさせることのできるユーザーの一覧］：フェデレーション認証サービスを通じて証明書の発行を受けられるユーザーの一覧。

高度な使用方法

追加のルールを作成して、各種プロパティや権限が含まれるように構成されたさまざまな証明書テンプレートおよび証明機関を参照することができます。これらのルールは、名前別に新しいルールを要求するように構成する必要がある、各StoreFrontサーバーでの使用に合わせて構成できます。デフォルトでは、StoreFrontはフェデレーション認証サービスにアクセスするときにデフォルトを要求します。これは、グループポリシー構成オプションを使って変更できます。

新しい証明書テンプレートを作成するには、Microsoft証明機関コンソールでCitrix_SmartcardLogonテンプレートを複製して名前を（Citrix_SmartcardLogon2などに）変更し、必要に応じて変更を加えます。［追加］ をクリックして新しい証明書テンプレートを参照し、新しいユーザールールを作成します。

アップグレードに関する考慮事項

• インプレースアップグレードを行った場合、フェデレーション認証サービスサーバーの設定はすべて保持されます。
• フェデレーション認証サービスのアップグレードは、XenAppおよびXenDesktopの全製品インストーラーで行ってください。
• フェデレーション認証サービスを7.15 LTSRから7.15 LTSR CU2（またはそれ以降のサポート対象CU）にアップグレードする前に、Delivery ControllerとVDA（およびその他のコアコンポーネント）を所定のバージョンにアップグレードしてください。
• フェデレーション認証サービスのアップグレード前に、フェデレーション認証サービスコンソールを必ず閉じてください。
• 1台以上のフェデレーション認証サービスサーバーを常に利用可能な状態に維持してください。フェデレーション認証サービスに対応したStoreFrontサーバーから到達可能なサーバーがない場合、ユーザーはログオンやアプリケーションの起動を行えなくなります。

セキュリティに関する注意事項

フェデレーション認証サービスには、フェデレーション認証サービスがドメインユーザーの代わりに自律的に証明書を発行できるようにする、登録機関の証明書があります。このため、セキュリティポリシーを作成および実装してFASサーバーを保護し、権限を制限することは重要です。

委任された登録エージェント

FASは登録エージェントとして機能することによってユーザー証明書を発行します。Microsoft証明機関では、FASサーバーが使用可能なテンプレートの管理、およびFASサーバーが証明書を発行可能な対象ユーザーの制限を行うことができます。

フェデレーション認証サービスが必要なユーザーにのみ証明書を発行できるように、これらのオプションを構成することを強くお勧めします。 たとえば、管理グループまたは保護されたユーザーのグループに属するユーザーにフェデレーション認証サービスが証明書を発行できないようにすることをお勧めします。

アクセス制御リストの構成

「ユーザー規則の構成」セクションで説明しているように、証明書が発行された場合のフェデレーション認証サービスに対するユーザーIDの承認を信頼するStoreFrontサーバーの一覧を構成する必要があります。 同様に、証明書の発行対象となるユーザー、およびユーザーが認証可能なVDAマシンを制限することができます。 この操作は、標準で構成を行うActive Directoryまたは証明機関のセキュリティ機能に追加で行います。

ファイアウォールの設定

FASサーバーへのすべての通信では、相互認証されたWindows Communication Foundation（WCF）Kerberosネットワーク接続がポート80で使用されます。

イベントログの監視

フェデレーション認証サービスおよびVDAは、Windowsイベントログに情報を書き込みます。 これは、情報の監視および監査に使用できます。 「イベントログ」セクションに、生成される可能性のあるイベントログの一覧を示します。

ハードウェアセキュリティモジュール

フェデレーション認証サービスによって発行されたユーザー証明書の秘密キーを含むすべての秘密キーは、Network Serviceアカウントによってエクスポート不可の秘密キーとして保存されます。 フェデレーション認証サービスは、セキュリティポリシーで暗号化ハードウェアセキュリティモジュールが必要とされる場合、このモジュールの使用をサポートします。

FederatedAuthenticationService.exe.configファイルでは、低レベルの暗号化構成が使用可能です。これらの設定は、秘密キーが最初に作成されたときに適用されます。 そのため、登録機関の秘密キー（4096ビット、TPM保護など）およびランタイムのユーザー証明書には異なる設定が使用されることがあります。

PowerShell SDK

シンプルな展開にはフェデレーション認証サービス管理コンソールが適していますが、PowerShellインターフェイスにはより詳細なオプションもあります。 コンソールでは使用できないオプションを使用する場合は、CitrixではPowerShellのみを使用して構成を行うことをお勧めします。

次のコマンドによってPowerShellコマンドレットが追加されます。

Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1

Get-Help <cmdlet name>を使用すると、コマンドレットのヘルプが表示されます。 次の表にいくつかのコマンドの一覧を示します。「*」は標準のPowerShellの動詞を表します（New、Get、Set、Removeなど）。

PowerShellコマンドレットは、FASサーバーのアドレスを指定することによってリモートで使用できます。

FAS PowerShellコマンドレットのすべてのヘルプファイルを含むzipファイルをダウンロードすることもできます。PowerShell SDKの記事を参照してください。

パフォーマンスカウンター

フェデレーション認証サービスには、負荷の追跡用の一連のパフォーマンスカウンターが含まれます。

次の表は、使用可能なカウンターの一覧です。ほとんどのカウンターは、5分間の移動平均値です、

イベントログ

次の表は、フェデレーション認証サービスで生成されるイベントログエントリの一覧です。

管理イベント

［イベントソース：Citrix.Authentication.FederatedAuthenticationService］

これらのイベントは、フェデレーション認証サービスサーバーでの構成変更に応じて記録されます。

IDアサーションの作成［フェデレーション認証サービス］

これらのイベントは、信頼済みのサーバーがユーザーログオンをアサートすると、ランタイム時にフェデレーション認証サービスサーバーに記録されます。

証明書利用者としての機能［フェデレーション認証サービス］

これらのイベントは、VDAにユーザーがログオンすると、ランタイム時にフェデレーション認証サービスサーバーに記録されます。

セッション内証明書サーバー［フェデレーション認証サービス］

これらのイベントは、ユーザーはセッション内証明書を使用すると、フェデレーション認証サービスサーバーで記録されます。

ログオン［VDA］

［イベントソース：Citrix.Authentication.IdentityAssertion］

これらのイベントは、ログオン時にVDAで記録されます。

セッション内証明書［VDA］

これらのイベントは、ユーザーがセッション内証明書を使用しようとすると、VDAに記録されます。

証明書要求および生成コード［フェデレーション認証サービス］

［イベントソース：Citrix.TrustFabric］

これらの低レベルイベントは、フェデレーション認証サービスサーバーがログレベルの暗号化操作を実行すると記録されます。

関連情報

• 一般的なFAS環境については、「フェデレーション認証サービスのアーキテクチャの概要」を参照してください。
• 「フェデレーション認証サービスの構成と管理」では「方法」の記事を紹介しています。