アダプティブ認証の問題をトラブルシューティングする

最終公開日 : Oct 24, 2026
問題は、構成のさまざまな段階に基づいて分類されます。
アダプティブ認証CLIを使用して問題をトラブルシューティングすることもできます。CLIに接続するには、次の手順を実行します。
  • お使いのマシンにputty/securecrtのようなSSHクライアントをダウンロードします。
  • 管理IP（プライマリ）アドレスを使用してアダプティブ認証インスタンスにアクセスします。
  • 資格情報を使用してログインします。
詳細については、NetScalerアプライアンスへのアクセスを参照してください。

アダプティブ認証ログのロギングを有効にする

アダプティブ認証ログをキャプチャするために、ログレベルを有効にしてください。
注：
通常の操作中はデバッグログレベルを無効にしておき、必要な場合にのみ有効にしてください。デバッグログレベルが常に有効になっていると、管理CPUの使用率が高くなる可能性があります。これにより、高トラフィック負荷時にシステムクラッシュが発生する可能性があります。詳細については、CTX222945を参照してください。
CLIを使用してログを有効にする：
  1. アダプティブ認証インスタンスのCLIにログインします。
  2. PuTTYを使用して、管理資格情報を入力します。
  3. コマンドset audit syslogParams logLevel ALLを実行します。
GUIを使用してログを有効にする：
  1. ブラウザを使用してアダプティブ認証インスタンスにログインします。
  2. Configuration > System > Auditingに移動します。
  3. ページで、Settingsの下にあるChange Auditing syslog Settingsをクリックします。
  4. Log Levelsで、ALLを選択します。

プロビジョニングの問題

  • アダプティブ認証UIにアクセスできません
    お客様の顧客ID/テナントに対してエンタイトルメントが有効になっているかどうかを確認します。
  • プロビジョニングページで45分以上スタックしている
    エラーのスクリーンショットがあれば収集し、Citrixサポートに連絡して支援を求めてください。
  • VNetピアがダウンしている
    • Azure Portalでこのピアリングに対応するアラートがあるか確認し、推奨されるアクションを実行してください。
    • ピアリングを削除し、Adaptive Authentication UIから再度追加してください。
  • デプロビジョニングが完了していない
    Citrixサポートに連絡して支援を求めてください。

インスタンスのアクセシビリティの問題

  • インスタンスの管理IPアドレスにアクセスできない
    • アクセスに使用されているクライアントのパブリックIPアドレスが、許可された送信元IPアドレスに含まれているか確認してください。
    • クライアントの送信元IPアドレスを変更するプロキシがないか検証してください。
  • インスタンスにログインできない
    プロビジョニング時に入力した資格情報で管理者アクセスが正常に機能していることを確認してください。
  • エンドユーザーが完全な権限を持っていない
    ユーザーを追加する際に、アクセスに適したコマンドポリシーをバインドしていることを確認してください。詳細については、「ユーザー、ユーザーグループ、およびコマンドポリシー」を参照してください。

AD または RADIUS 接続の問題

Azure Vnet ピアリング接続タイプに関する問題:
  • 顧客が管理する Azure VNet がアダプティブ認証インスタンスから到達可能であることを確認します。
  • 顧客が管理する Azure VNet から AD への接続/到達可能性が機能していることを確認します。
  • オンプレミスから Azure VNet へのトラフィックをルーティングするために、適切なルートが追加されていることを確認します。
Windows ベースのコネクタ:
  • すべてのログはディレクトリ /var/log/ns.log にあり、各ログには がプレフィックスとして付加されています。
  • ログの ConnectionID を使用して、異なるトランザクションを関連付けることができます。
  • コネクタ仮想マシンのプライベート IP アドレスが RADIUS サーバーの RADIUS クライアントの1つとして追加されていることを確認してください。その IP アドレスがコネクタのソース IP アドレスとなるためです。
    すべての認証要求に対して、アダプティブ認証インスタンス (NS - AAAD プロセス) と認証サーバー間にトンネルが確立されます。トンネルが正常に確立されると、認証が行われます。
    コネクタ仮想マシンがアダプティブ認証 FQDN を解決できることを確認してください。
  • コネクタはインストールされていますが、オンプレミス接続に失敗します。
    NSAUTH-TUNNEL が確立されているかどうかを検証します。
    cat ns.log | grep -I “tunnel”
    認証要求に対して以下のサンプルログが ns.log ファイルに出力されない場合、トンネルの確立中に問題が発生しているか、コネクタ側に何らかの問題がある可能性があります。
    LDAP:
    [NS_AAUTH_TUNNEL] Entering bitpump for
    Connection1 => Src : 192.168.0.7:28098, Dst : 10.106.103.60:636 , Connection2 => Src : 10.106.103.70:2271, Dst : 10.106.103.80:443"
    RADIUS:
    [NS_AAUTH_UDP_TUNNEL] MUX channel established"
    ログの詳細を確認し、適切に対応します。
    ログの詳細 是正措置
    [NS_AAUTH_TUNNEL] のプレフィックスを持つログがログファイルに含まれていません show cloudtunnel vserver コマンドを実行します。このコマンドは、状態が「UP」のクラウドトンネル仮想サーバー（TCPとUDPの両方）を一覧表示する必要があります。
    [NS_AAUTH_TUNNEL] Waiting for outbound from connector このログの場合、次の応答が受信されない場合: [NS-AAUTH-TUNNEL] Received connect command from connector and client connection lookupsucceeded" コネクタマシンがAdaptive Authentication FQDNに到達できることを確認するか、または Adaptive Authentication FQDNへのアウトバウンド接続についてコネクタ側のファイアウォールを確認します
    [NS_AAUTH_TUNNEL] Server is down or couldn't create connection to ip 0.0.0.0 および [NS_AAUTH_TUNNEL] Connect response code 401 is not 200 OK, bailing out" Citrixサポートにお問い合わせください。
コネクタからの応答なし:
  • Adaptive Authentication FQDNがコネクタ仮想マシンから到達可能であることを確認してください。
  • Adaptive Authenticationインスタンスで、中間証明書がサーバー証明書にバインドされ、リンクされていることを確認してください。
LDAP/RADIUS設定が正しくありません:
AD/RADIUSサーバーのIPアドレスがパブリックIPアドレスである場合、NetScalerの式にサブネットまたはIPアドレスを追加する必要があります。既存の範囲は編集しないでください。
  • CLIを使用してサブネットまたはIPアドレスを追加するには:
    set policy expression aauth_allow_rfc1918_subnets "(CLIENT.IP.DST.BETWEEN(10.0.0.0,10.255.255.255) || CLIENT.IP.DST.BETWEEN(172.16.0.0,172.31.255.255) || CLIENT.IP.DST.BETWEEN(192.168.0.0, 192.168.255.255) || CLIENT.IP.DST.BETWEEN(13.14.0.0, 13.14.255.255)||CLIENT.IP.DST.EQ(1.2.5.4))"
  • GUIを使用してサブネットまたはIPアドレスを追加するには：
    1. Appexpert > Expressions に移動します。
    2. 式 aauth_allow_rfc1918_subnets を追加します。
トンネルが確立されていても認証が失敗する場合は、次の手順で問題をトラブルシューティングしてください。
LDAP:
  • バインドDNの詳細を検証します。
  • テスト接続を使用してエラーを確認します。
  • aaad デバッグを使用してエラーを検証します。
  • CLIを使用してアダプティブ認証インスタンスにログインします。
    shell
    cd /tmp
    cat aaad.debug
一般的なLDAPエラー:
  • サーバータイムアウト – LDAPクエリに対してコネクタからの応答がありません。
  • その他のLDAPエラーについては、CTX138663 を参照してください。
ラディウス:
  • コネクタのIPアドレスは、RADIUSサーバー設定でRADIUSクライアントの送信元IPアドレスとして追加する必要があります。

認証に関する問題

  • OAuth のアサーション後エラー
    • すべてのクレームが AD によって提供されていることを確認してください。これを成功させるには、7つのクレームが必要です。
    • /var/log/ns.log のログを検証して、OAuth 障害のエラーを特定します。
    cat /var/log/ns.log
    • OAuth プロファイルパラメータを検証します。
  • アサーション後に停止する Azure AD 認証
    認証をオフに設定して、AD 認証を次の要素として追加します。これは、認証を成功させるために必要なすべてのクレームを取得するためです。

EPA 関連の問題

  • プラグインは既に存在しますが、ユーザーにプラグインのダウンロードを促すプロンプトが表示されます。
    考えられる原因：バージョン不一致またはファイル破損
    • 開発者ツールを実行し、プラグインリストファイルに NetScaler® およびクライアントマシンと同じバージョンが含まれているかどうかを検証します。
    • NetScaler 上のクライアントバージョンがクライアントマシン上のバージョンと同じであることを確認してください。
      NetScaler 上のクライアントを更新します。
      Adaptive Authentication インスタンスで、Citrix Gateway > Global Settings > Update client libraries に移動します。
      Citrix Downloads の EPA プラグインライブラリページには、詳細情報が記載されています。
    • バージョンが更新されていても、リクエストが NetScaler にキャッシュされることがあります。
      show cache object はキャッシュされたプラグインの詳細を表示します。コマンドを使用して削除できます。
      flush cache object -locator 0x00000023345600000007
    EPAログ収集の詳細については、CTX209148を参照してください。
  • ユーザーがオプションを選択した後で、EPA設定 (常に、はい、いいえ) を元に戻す方法はありますか。
    現在、EPA設定の復元は手動で行われます。
    • クライアントマシンで、C:\Users\<user_name>\AppData\Local\Citrix\AGEE に移動します。
    • config.js ファイルを開き、trustAlways を null に設定します - "trustAlways":null

スマートアクセスタグの問題

  • スマートアクセスを構成した後、アプリケーションが利用できません
    タグがアダプティブ認証インスタンスとCitrix VDAデリバリーグループの両方で定義されていることを確認してください。
    タグがデリバリーグループにすべて大文字で追加されていることを確認してください。
    これが機能しない場合は、ns.log を収集してCitrixサポートに連絡してください。

アダプティブ認証インスタンスの一般的なログ収集

ガイダンスについては、Citrixサポートにお問い合わせください。