PKIエンティティ

最終公開日 : Oct 21, 2026
XenMobile®の公開鍵インフラストラクチャ (PKI) エンティティ構成は、実際のPKI操作 (発行、失効、ステータス情報) を行うコンポーネントを表します。これらのコンポーネントは、XenMobileの内部または外部にあります。内部コンポーネントは裁量的と呼ばれます。外部コンポーネントは、企業のインフラストラクチャの一部です。
XenMobileは、以下の種類のPKIエンティティをサポートしています。
  • Microsoft 証明書サービス
  • 裁量的な認証局 (CA)
XenMobileは以下のCAサーバーをサポートしています。
  • ウィンドウズ サーバー 2019
  • ウィンドウズ サーバー 2016
注記:
Windows Server 2012 R2、2012、および2008 R2は、サポート終了に達したため、サポートされなくなりました。詳細については、Microsoft製品のライフサイクルに関するドキュメントを参照してください。
Related information
証明書と認証

一般的なPKIの概念

種類にかかわらず、すべてのPKIエンティティは以下の機能の一部を備えています。
  • 署名: 証明書署名要求 (CSR) に基づいて新しい証明書を発行します。
  • 取得: 既存の証明書とキーペアを回復します。
  • 失効: クライアント証明書を失効させます。

CA証明書について

PKIエンティティを構成する際、そのエンティティによって発行された（または回復された）証明書の署名者であるCA証明書をXenMobileに示します。そのPKIエンティティは、任意の数の異なるCAによって署名された証明書（取得済みまたは新規署名済み）を返すことができます。
これらの各CAの証明書をPKIエンティティ構成の一部として提供します。そのためには、証明書をXenMobileにアップロードし、PKIエンティティでそれらを参照します。裁量CAの場合、証明書は暗黙的に署名CA証明書です。外部エンティティの場合、証明書を手動で指定する必要があります。
重要:
Microsoft Certificate Servicesエンティティテンプレートを作成する際、登録済みデバイスでの認証の問題を回避するため、テンプレート名に特殊文字を使用しないでください。たとえば、! : $ ( ) # % + * ~ ? | { } [ ]は使用しないでください。

マイクロソフト証明書サービス

XenMobileは、Web登録インターフェイスを介してMicrosoft Certificate Servicesと連携します。XenMobileは、そのインターフェイスを介した新しい証明書の発行のみをサポートします。Microsoft CAがCitrix Gatewayユーザー証明書を生成する場合、Citrix Gatewayはそれらの証明書の更新と失効をサポートします。
XenMobileでMicrosoft CA PKIエンティティを作成するには、Certificate Services WebインターフェイスのベースURLを指定する必要があります。必要に応じて、SSLクライアント認証を使用して、XenMobileとCertificate Services Webインターフェイス間の接続を保護します。

Microsoft Certificate Servicesエンティティを追加する

  1. XenMobileコンソールで、コンソールの右上隅にある歯車アイコンをクリックし、次にPKIエンティティをクリックします。
  2. PKIエンティティページで、追加をクリックします。
    PKIエンティティタイプのメニューが表示されます。
  3. Microsoft Certificate Servicesエンティティをクリックします。
    Microsoft Certificate Servicesエンティティ: 一般情報ページが表示されます。
  4. Microsoft Certificate Servicesエンティティ: 一般情報ページで、これらの設定を構成します。
    • 名前: 新しいエンティティの名前を入力します。この名前は後でそのエンティティを参照するために使用します。エンティティ名は一意である必要があります。
    • Web登録サービスルートURL: Microsoft CA Web登録サービスのベースURLを入力します。例: https://192.0.2.13/certsrv/。URLは、プレーンHTTPまたはHTTP-over-SSLを使用できます。
    • certnew.cerページ名: certnew.cerページの名称。何らかの理由で名前を変更した場合を除き、デフォルト名を使用します。
    • certfnsh.asp: certfnsh.aspページの名称。何らかの理由で名前を変更した場合を除き、デフォルト名を使用します。
    • 認証の種類: 使用する認証方法を選択します。
      • なし
      • HTTP Basic: 接続に必要なユーザー名とパスワードを入力します。
      • クライアント証明書: 正しいSSLクライアント証明書を選択します。
  5. 接続のテストをクリックして、サーバーにアクセスできることを確認します。アクセスできない場合は、接続に失敗したことを示すメッセージが表示されます。構成設定を確認してください。
  6. 次へをクリックします。
    Microsoft Certificate Servicesエンティティ: テンプレートページが表示されます。このページでは、Microsoft CAがサポートするテンプレートの内部名を指定します。資格情報プロバイダーを作成するときは、ここで定義されているリストからテンプレートを選択します。このエンティティを使用するすべての資格情報プロバイダーは、そのようなテンプレートを1つだけ使用します。
    Microsoft Certificate Servicesのテンプレート要件については、お使いのMicrosoft ServerバージョンのMicrosoftドキュメントを参照してください。XenMobileは、証明書に記載されている証明書形式以外に、配布する証明書に関する要件はありません。
  7. Microsoft Certificate Servicesエンティティ: テンプレートページで、追加をクリックし、テンプレート名を入力してから保存をクリックします。追加する各テンプレートについて、この手順を繰り返します。
  8. 次へをクリックします。
    Microsoft Certificate Servicesエンティティ: HTTPパラメーターページが表示されます。このページでは、XenMobileがMicrosoft Web登録インターフェイスへのHTTPリクエストに追加するカスタムパラメーターを指定します。カスタムパラメーターは、CAで実行されているカスタマイズされたスクリプトに対してのみ役立ちます。
  9. 「Microsoft Certificate Services Entity: HTTP parameters」ページで、「Add」をクリックし、追加するHTTPパラメーターの名前と値を入力して、「Next」をクリックします。
    「Microsoft Certificate Services Entity: CA Certificates」ページが表示されます。このページで、このエンティティを通じてシステムが取得する証明書の署名者をXenMobileに通知する必要があります。CA証明書が更新されたら、XenMobileで更新します。XenMobileは、変更をエンティティに透過的に適用します。
  10. 「Microsoft Certificate Services Entity: CA Certificates」ページで、このエンティティに使用する証明書を選択します。
  11. 「Save」をクリックします。
    エンティティがPKIエンティティテーブルに表示されます。

Citrix ADC証明書失効リスト (CRL)

XenMobileは、サードパーティの認証局 (CA) に対してのみ証明書失効リスト (CRL) をサポートします。Microsoft CAが構成されている場合、XenMobileはCitrix ADCを使用して失効を管理します。
クライアント証明書ベースの認証を構成する際は、Citrix ADCの証明書失効リスト (CRL) 設定「Enable CRL Auto Refresh」を構成するかどうかを検討してください。この手順により、MAM専用モードのデバイスのユーザーが、デバイス上の既存の証明書を使用して認証できないようにします。
XenMobileは、証明書が失効した後でもユーザーがユーザー証明書を生成することを制限しないため、新しい証明書を再発行します。この設定は、CRLが期限切れのPKIエンティティをチェックする際に、PKIエンティティのセキュリティを向上させます。

裁量CA

裁量CAは、XenMobileにCA証明書と関連する秘密鍵を提供すると作成されます。XenMobileは、指定されたパラメーターに従って、証明書の発行、失効、およびステータス情報を内部的に処理します。
裁量CAを構成する際、そのCAのオンライン証明書ステータスプロトコル (OCSP) サポートを有効にできます。OCSPサポートを有効にした場合にのみ、CAはCAが発行する証明書に拡張機能 id-pe-authorityInfoAccess を追加します。この拡張機能は、次の場所にあるXenMobile内部OCSPレスポンダーを指します。
https://<server>/<instance>/ocsp
OCSPサービスを構成する際、該当する裁量エンティティのOCSP署名証明書を指定します。CA証明書自体を署名者として使用できます。CA秘密鍵の不必要な露出を避けるため (推奨): CA証明書によって署名された委任OCSP署名証明書を作成し、この拡張機能 id-kp-OCSPSigning extendedKeyUsage を含めます。
XenMobile OCSPレスポンダーサービスは、基本的なOCSP応答と、要求における次のハッシュアルゴリズムをサポートしています。
  • SHA-1
  • SHA-224
  • SHA-256
  • SHA-384
  • SHA-512
応答はSHA-256と署名証明書キーアルゴリズム (DSA、RSA、またはECDSA) で署名されます。

裁量CAを追加する

  1. XenMobileコンソールで、コンソールの右上隅にある歯車アイコンをクリックし、次にその他 > PKIエンティティをクリックします。
  2. PKIエンティティページで、追加をクリックします。
    PKIエンティティタイプのメニューが表示されます。
  3. 裁量CAをクリックします。
    裁量CA: 一般情報ページが表示されます。
  4. 裁量CA: 一般情報ページで、次の操作を行います。
    • 名前: 裁量CAのわかりやすい名前を入力します。
    • 証明書要求に署名するCA証明書: 裁量CAが証明書要求に署名するために使用する証明書をクリックします。
      この証明書リストは、XenMobileの** > > **でアップロードした秘密鍵を持つCA証明書から生成されます。
  5. をクリックします。
    ページが表示されます。
  6. ページで、次の操作を行います。
    • シリアル番号ジェネレーター: 裁量CAは、発行する証明書のシリアル番号を生成します。このリストから、 または をクリックして、番号の生成方法を決定します。
    • 次のシリアル番号: 発行される次の番号を決定する値を入力します。
    • 証明書の有効期間: 証明書が有効な日数を入力します。
    • キー使用法: 裁量CAによって発行される証明書の目的を、適切なキーを****に設定して特定します。設定すると、CAはその目的の証明書の発行に限定されます。
    • 拡張キー使用法: パラメーターを追加するには、 をクリックし、キー名を入力して、 をクリックします。
  7. をクリックします。
    ページが表示されます。
  8. ページで、配布モードを選択します。
    • 集中型: サーバー側キー生成。Citrixは集中型オプションを推奨しています。秘密鍵はサーバー上で生成および保存され、ユーザーデバイスに配布されます。
    • 分散型: デバイス側キー生成。秘密鍵はユーザーデバイス上で生成されます。この分散モードではSCEPを使用し、keyUsage keyEncryption 拡張機能を持つRA暗号化証明書と、keyUsage digitalSignature 拡張機能を持つRA署名証明書が必要です。同じ証明書を暗号化と署名の両方に使用できます。
  9. をクリックします。
    「裁量的CA: オンライン証明書ステータスプロトコル (OCSP)」ページが表示されます。
    「裁量的CA: オンライン証明書ステータスプロトコル (OCSP)」ページで、次の操作を行います。
    • このCAによって署名された証明書にAuthorityInfoAccess (RFC2459) 拡張機能を追加する場合は、「このCAのOCSPサポートを有効にする」を「オン」に設定します。この拡張機能は、https://<server>/<instance>/ocspにあるCA OCSPレスポンダーを指します。
    • OCSPサポートを有効にした場合は、OCSP署名CA証明書を選択します。この証明書リストは、XenMobileにアップロードしたCA証明書から生成されます。
  10. 「保存」をクリックします。
    裁量的CAがPKIエンティティテーブルに表示されます。