Citrix Cloud™ Platform のセキュア展開ガイド

最終公開日 : Oct 24, 2026
Citrix Cloud のセキュア展開ガイドでは、Citrix Cloud の使用におけるセキュリティのベストプラクティスの概要と、Citrix Cloud が収集および管理する情報について説明します。
Related information
デプロイメントを計画する

サービスに関する技術セキュリティの概要

Citrix Cloud サービス内のデータセキュリティに関する詳細については、以下の記事を参照してください。

管理者向けガイダンス

  • 強力なパスワードを使用し、定期的にパスワードを変更してください。
  • 顧客アカウント内のすべての管理者は、他の管理者を追加および削除できます。信頼できる管理者のみが Citrix Cloud にアクセスできるようにしてください。
  • 顧客の管理者は、デフォルトで、すべてのサービスへのフルアクセス権を持っています。一部のサービスでは、管理者のアクセスを制限する機能が提供されています。詳細については、サービスごとのドキュメントを参照してください。
  • Citrix Cloud 管理者向けの二要素認証は、デフォルトの Citrix ID プロバイダーを使用して実現されます。管理者が Citrix Cloud にサインアップするか、Citrix Cloud アカウントに招待された場合、多要素認証 (MFA) への登録が求められます。顧客が Microsoft Azure を使用して Citrix Cloud 管理者を認証する場合、多要素認証は Microsoft Web サイトの Configure Microsoft Entra ID Multi-Factor Authentication settings に記載されているとおりに構成できます。
  • デフォルトでは、Citrix Cloud はコンソールアクティビティに関係なく、72 時間後に管理者セッションを自動的に終了します。このタイムアウトは変更できません。
  • 管理者アカウントは最大100の顧客アカウントに関連付けることができます。管理者が100を超える顧客アカウントを管理する必要がある場合、追加の顧客アカウントを管理するために、別のメールアドレスで別の管理者アカウントを作成する必要があります。あるいは、管理する必要がなくなった顧客アカウントから管理者として削除することもできます。

パスワードのコンプライアンス

以下のいずれかの条件に該当する場合、Citrix Cloudは管理者にパスワードの変更を促します。
  • 現在のパスワードが60日以上サインインに使用されていない。
  • 現在のパスワードが、既知の侵害されたパスワードのデータベースにリストされている。
新しいパスワードは、以下のすべての条件を満たす必要があります。
  • 8文字以上（最大128文字）
  • 大文字と小文字をそれぞれ1文字以上含む
  • 数字を1文字以上含む
  • 特殊文字を1文字以上含む: ! @ # $ % \^ * ? + = -
パスワード変更のルール:
  • 現在のパスワードを新しいパスワードとして使用することはできません。
  • 過去5つのパスワードは再利用できません。
  • 新しいパスワードは、アカウントのユーザー名と類似していてはなりません。
  • 新しいパスワードは、既知の侵害されたパスワードのデータベースにリストされていてはなりません。Citrix Cloudは、新しいパスワードがこの条件に違反しているかどうかを判断するために、https://haveibeenpwned.com/が提供するリストを使用します。

暗号化とキー管理

Citrix Cloudコントロールプレーンは、機密性の高い顧客情報を保存しません。代わりに、Citrix Cloudは、管理者パスワードなどの情報をオンデマンドで（管理者に明示的にプロンプトを表示して）取得します。
保存データの場合、Citrix CloudストレージはAES-256ビット以上のキーを使用して暗号化されます。これらのキーはCitrixによって管理されます。
転送データの場合、Citrixは業界標準のTLS 1.2と最強の暗号スイートを使用します。Citrix CloudはCitrixが所有するcloud.comドメインでホストされているため、お客様は使用中のTLS証明書を制御できません。Citrix Cloudにアクセスするには、お客様はTLS 1.2に対応したブラウザを使用し、承認された暗号スイートが構成されている必要があります。
次の強力な暗号が推奨されます: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
注:
TLS 1.2は必須ですが、一部のサービスではセキュリティとパフォーマンスを向上させるためにTLS 1.3をネゴシエートできます。お客様は、クライアントがTLS 1.2とTLS 1.3の両方をネゴシエートできるようにすることをお勧めします。次の強力な暗号が推奨されます:
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
Citrix Cloudサービスのデータがどのように保護されているかについては、Citrix WebサイトのCitrix Cloud Services Data Protection Overviewを参照してください。
各クラウドサービス内の暗号化とキー管理の詳細については、サービスのドキュメントを参照してください。

データ主権

Citrix Cloudコントロールプレーンは、米国、欧州連合、およびオーストラリアでホストされています。お客様はこれを制御できません。
お客様は、Citrix Cloudで使用するリソースの場所を所有および管理します。リソースの場所は、お客様が希望する任意のデータセンター、クラウド、場所、または地理的領域に作成できます。すべての重要なビジネスデータ（ドキュメント、スプレッドシートなど）はリソースの場所に保存され、お客様の管理下にあります。
その他のサービスでは、データを異なるリージョンに保存するオプションがある場合があります。各サービスについては、Geographical ConsiderationsトピックまたはTechnical Security Overviews（この記事の冒頭に記載）を参照してください。

セキュリティ問題に関する洞察

ウェブサイトstatus.cloud.comは、お客様に継続的な影響を与えるセキュリティ問題に関する透明性を提供します。このサイトには、ステータスと稼働時間情報が記録されています。プラットフォームまたは個々のサービスへの更新を購読するオプションがあります。

シトリックス クラウド コネクタ™

Cloud Connectorのインストール

セキュリティとパフォーマンスの理由から、Citrix®は、お客様がCloud Connectorソフトウェアをドメインコントローラーにインストールしないことを推奨しています。
また、Citrixは、Cloud Connectorソフトウェアがインストールされているマシンが、お客様のプライベートネットワーク内にあり、DMZ内にないことを強く推奨しています。ネットワークおよびシステム要件、ならびにCloud Connectorのインストール手順については、Citrix Cloud Connectorを参照してください。

Cloud Connectorの構成

お客様は、Cloud ConnectorがインストールされているマシンをWindowsセキュリティ更新プログラムで最新の状態に保つ責任があります。
お客様は、Cloud Connectorと並行してウイルス対策ソフトウェアを使用できます。Citrixは、業界標準のAV製品を使用するお客様をサポートしています。
お客様のActive Directory (AD) では、CitrixはCloud Connectorのマシンアカウントを読み取り専用アクセスに制限することを強く推奨しています。これはActive Directoryのデフォルト構成です。また、お客様はCloud ConnectorのマシンアカウントでADログ記録と監査を有効にして、ADアクセスアクティビティを監視できます。

Cloud Connectorをホストするマシンへのログオン

Cloud Connectorは、機密性の高いセキュリティ情報がCitrix Cloudサービスの他のプラットフォームコンポーネントに渡されることを許可しますが、以下の機密情報も保存します。
  • Citrix Cloudとの通信用のサービスキー
  • Citrix DaaS (旧Citrix Virtual Apps and Desktops™サービス) における電源管理用のハイパーバイザーサービス資格情報
この機密情報は、Cloud ConnectorをホストするWindowsサーバー上でData Protection API (DPAPI) を使用して暗号化されます。Citrixは、最も特権のある管理者のみがCloud Connectorマシンにログオンすること (たとえば、メンテナンス操作を実行するため) を強く推奨しています。一般的に、管理者がCitrix製品を管理するためにこれらのマシンにログオンする必要はありません。Cloud Connectorはその点で自己管理型です。
エンドユーザーがCloud Connectorをホストするマシンにログオンすることを許可しないでください。

Cloud Connectorマシンへの他のソフトウェアのインストール

お客様は、Cloud Connectorがインストールされているマシンに、アンチウイルスソフトウェアやハイパーバイザーツール（仮想マシンにインストールされている場合）をインストールできます。ただし、Citrixは、これらのマシンに他のソフトウェアをインストールしないことを推奨します。他のソフトウェアは、潜在的なセキュリティ攻撃ベクトルを生み出し、Citrix Cloudソリューション全体のセキュリティを低下させる可能性があります。

インバウンドおよびアウトバウンドポートの設定

Cloud Connectorは、インターネットへのアクセスを伴うアウトバウンドポート443が開いている必要があります。Citrixは、Cloud Connectorがインターネットからアクセス可能なインバウンドポートを持たないことを強く推奨します。
お客様は、Cloud ConnectorをWebプロキシの背後に配置して、そのアウトバウンドインターネット通信を監視できます。ただし、WebプロキシはSSL/TLS暗号化通信をサポートしている必要があります。
Cloud Connectorは、インターネットへのアクセスを伴う他のアウトバウンドポートを持つ場合があります。他のポートが利用可能な場合、Cloud Connectorは広範囲のポート間でネゴシエートし、ネットワーク帯域幅とパフォーマンスを最適化します。
Cloud Connectorは、内部ネットワーク内で広範囲のインバウンドおよびアウトバウンドポートを開いている必要があります。以下の表に、必要なオープンポートの基本セットを示します。
クライアントポート サーバーポート サービス
49152 -65535/UDP 123/UDP W32タイム
49152 -65535/TCP 135/TCP RPC エンドポイントマッパー
49152 -65535/TCP 464/TCP/UDP Kerberos パスワード変更
49152 -65535/TCP 49152-65535/TCP エルエスエー、サム、ネットログオン 用 アールピーシー (*)
49152 -65535/TCP/UDP 389/TCP/UDP LDAP
49152 -65535/TCP 3268/TCP LDAP GC
53, 49152 -65535/TCP/UDP 53/TCP/UDP DNS
49152 -65535/TCP 49152 -65535/TCP FRS RPC (*)
49152 -65535/TCP/UDP 88/TCP/UDP ケルベロス
49152 -65535/TCP/UDP 445/TCP SMB
Cloud Connector は、LDAP 署名とシーリングを使用して、ドメインコントローラーへの接続を保護します。これにより、LDAP over SSL (LDAPS) は不要になります。LDAP 署名の詳細については、Windows Server での LDAP 署名を有効にする方法 および LDAP チャネルバインディングと LDAP 署名を有効にするための Microsoft ガイダンス を参照してください。
Citrix Cloud 内で使用される各サービスは、必要なオープンポートのリストを拡張します。詳細については、以下のリソースを参照してください。

送信通信の監視

Cloud Connectorは、Citrix CloudサーバーとMicrosoft Azure Service Busサーバーの両方に対して、ポート443でインターネットにアウトバウンド通信を行います。
Cloud Connectorは、Cloud Connectorをホストするマシンが存在するActive Directoryフォレスト内のローカルネットワーク上のドメインコントローラーと通信します。
通常の操作中、Cloud Connectorは、Citrix Cloudユーザーインターフェイスの****ページで無効になっていないドメインのドメインコントローラーとのみ通信します。
Citrix Cloud内の各サービスは、Cloud Connectorが通常の操作中に接続する可能性のあるサーバーと内部リソースのリストを拡張します。また、お客様はCloud ConnectorがCitrixに送信するデータを制御できません。サービスの内部リソースとCitrixに送信されるデータに関する詳細については、以下のリソースを参照してください。

Cloud Connectorログの表示

管理者に関連する、または管理者が対処できる情報はすべて、Cloud ConnectorマシンのWindowsイベントログで確認できます。
Cloud Connectorのインストールログは、次のディレクトリで確認できます。
  • %AppData%\\Local\\Temp\\CitrixLogs\\CloudServicesSetup
  • %windir%\\Temp\\CitrixLogs\\CloudServicesSetup
クラウド コネクタがクラウドに送信するログは、%ProgramData%\\Citrix\\WorkspaceCloud\\Logs にあります。
WorkspaceCloud\\Logsディレクトリ内のログは、指定されたサイズしきい値を超えると削除されます。管理者は、レジストリキーHKEY\_LOCAL\_MACHINE\\SOFTWARE\\Citrix\\CloudServices\\AgentAdministration\\MaximumLogSpaceMegabytesの値を調整することで、このサイズしきい値を制御できます。

SSL/TLS構成

Cloud ConnectorをホストするWindows Serverには、暗号化とキー管理に詳述されている暗号が有効になっている必要があります。
Cloud Connectorは、Citrix Cloud SSL/TLS証明書およびMicrosoft Azure Service Bus SSL/TLS証明書が使用する認証局（CA）を信頼する必要があります。CitrixおよびMicrosoftは将来的に証明書とCAを変更する可能性がありますが、常に標準のWindows信頼済み発行元リストの一部であるCAを使用します。
Citrix Cloud内の各サービスには、異なるSSL構成要件がある場合があります。詳細については、各サービスの技術セキュリティ概要（この記事の冒頭に記載）を参照してください。

セキュリティコンプライアンス

セキュリティコンプライアンスを確保するため、Cloud Connectorは自己管理します。再起動を無効にしたり、Cloud Connectorに他の制限を設けたりしないでください。これらの操作は、重要な更新がある場合にCloud Connectorが自身を更新するのを妨げます。
お客様は、セキュリティ問題に対応するために他の措置を講じる必要はありません。Cloud Connectorは、セキュリティ修正を自動的に適用します。

クラウドサービス向けCitrix Connector™ Appliance

Connector Applianceのインストール

Connector Applianceはハイパーバイザー上でホストされます。このハイパーバイザーは、DMZではなくプライベートネットワーク内に配置する必要があります。
Connector Applianceが、デフォルトでアクセスをブロックするファイアウォール内にあることを確認してください。許可リストを使用して、Connector Applianceからの予期されるトラフィックのみを許可してください。
Connector Applianceをホストするハイパーバイザーに、最新のセキュリティ更新プログラムがインストールされていることを確認してください。
ネットワークおよびシステム要件、およびConnector Applianceのインストール手順については、Connector Appliance for Cloud Servicesを参照してください。

Connector Applianceをホストするハイパーバイザーへのログオン

Connector Applianceには、Citrix Cloudと通信するためのサービスキーが含まれています。Connector Applianceをホストするハイパーバイザーへのログオンは、最も特権のある管理者のみに許可してください（例えば、メンテナンス操作を実行するためなど）。一般的に、Citrix製品を管理するために管理者がこれらのハイパーバイザーにログオンする必要はありません。Connector Applianceは自己管理型です。

インバウンドおよびアウトバウンドポートの構成

Connector Applianceは、インターネットにアクセスするためにアウトバウンドポート443が開いている必要があります。Citrixは、Connector Applianceがインターネットからアクセス可能なインバウンドポートを持たないことを強く推奨します。
Connector Appliance を Web プロキシの背後に配置して、そのアウトバウンドインターネット通信を監視できます。ただし、Web プロキシは SSL/TLS 暗号化通信をサポートしている必要があります。
Connector Applianceは、インターネットにアクセスするための他のアウトバウンドポートを持つ場合があります。他のポートが利用可能な場合、Connector Applianceは広範囲のポート間でネゴシエートし、ネットワーク帯域幅とパフォーマンスを最適化します。
Connector Applianceは、内部ネットワーク内で広範囲のインバウンドおよびアウトバウンドポートを開いている必要があります。次の表に、必要なオープンポートの基本セットを示します。
接続方向 コネクタアプライアンス ポート 外部ポート サービス
インバウンド 443/TCP 任意 ローカルWeb UI
アウトバウンド 49152-65535/UDP 123/UDP NTP
送信 53, 49152-65535/TCP/UDP 53/TCP/UDP DNS
送信 67/UDP 68/UDP DHCP とブロードキャスト
送信 49152 -65535/UDP 123/UDP W32タイム
送信 49152 -65535/TCP 464/TCP/UDP Kerberos パスワード変更
送信 49152 -65535/TCP/UDP 389/TCP/UDP LDAP
送信 49152 -65535/TCP 3268/TCP LDAP GC
送信 49152 -65535/TCP/UDP 88/TCP/UDP ケルベロス
送信 49152 -65535/TCP/UDP 445/TCP SMB
送信 137/UDP 137/UDP NetBIOSネームサービス
送信 138/UDP 138/UDP NetBIOSデータグラム
送信 139/TCP 139/TCP NetBIOSセッション
Citrix Cloud内で使用される各サービスは、必要なオープンポートのリストを拡張します。詳細については、以下のリソースを参照してください。
  • 各サービスに関する技術セキュリティ概要（この記事の冒頭に記載）
  • Citrix Cloudサービスに関するシステムおよび接続要件

送信通信の監視

Connector Applianceは、ポート443でCitrix Cloudサーバーにインターネット経由で送信通信を行います。
Citrix Cloud内の各サービスは、通常の操作中にConnector Applianceが接続する可能性のあるサーバーと内部リソースのリストを拡張します。また、お客様はConnector ApplianceがCitrixに送信するデータを制御できません。サービスの内部リソースおよびCitrixに送信されるデータに関する詳細については、以下のリソースを参照してください。
  • 各サービスに関する技術セキュリティ概要（この記事の冒頭に記載）
  • Citrix Cloudサービスに関するシステムおよび接続要件

Connector Applianceログの表示

さまざまなログファイルを含むConnector Applianceの診断レポートをダウンロードできます。このレポートの取得に関する詳細については、Connector Appliance for Cloud Servicesを参照してください。

SSL/TLS構成

コネクタアプライアンスには、特別なSSL/TLS構成は必要ありません。
Connector Applianceは、Citrix Cloud SSL/TLS証明書で使用される認証局（CA）を信頼します。Citrixは将来的に証明書とCAを変更する可能性がありますが、常にConnector Applianceが信頼するCAを使用します。
Citrix Cloud内の各サービスには、異なるSSL構成要件がある場合があります。詳細については、各サービス（この記事の冒頭に記載）の技術セキュリティ概要を参照してください。

セキュリティコンプライアンス

セキュリティコンプライアンスを確保するため、Connector Applianceは自己管理され、コンソールからログインすることはできません。
コネクタのセキュリティ問題に対応するために、他のアクションを実行する必要はありません。Connector Applianceは、セキュリティ修正を自動的に適用します。
Connector Applianceをホストするハイパーバイザーには、最新のセキュリティ更新プログラムがインストールされていることを確認してください。
Active Directory (AD) では、Connector Applianceのマシンアカウントを読み取り専用アクセスに制限することをお勧めします。これはActive Directoryのデフォルト設定です。また、お客様はConnector ApplianceのマシンアカウントでADログ記録と監査を有効にして、ADアクセスアクティビティを監視できます。

侵害されたアカウントを処理するためのガイダンス

  • Citrix Cloudの管理者リストを監査し、信頼できない管理者を削除します。
  • 会社のActive Directory内で侵害されたアカウントを無効にします。
  • Citrixに連絡し、お客様のすべてのCloud Connectorに保存されている認証シークレットのローテーションを要求します。侵害の重大度に応じて、次のアクションを実行します。
    • 低リスク: Citrixは時間をかけてシークレットをローテーションできます。Cloud Connectorは正常に機能し続けます。古い認証シークレットは2〜4週間で無効になります。この期間中、予期しない操作がないことを確認するためにCloud Connectorを監視してください。
    • 継続的な高リスク: Citrixはすべての古いシークレットを取り消すことができます。既存のCloud Connectorは機能しなくなります。通常の操作を再開するには、お客様はすべての該当するマシンでCloud Connectorをアンインストールして再インストールする必要があります。