汎用USBリダイレクトとクライアントドライブに関する考慮事項
HDX™テクノロジーは、ほとんどの一般的なUSBデバイスに対して最適化されたサポートを提供します。最適化されたサポートは、WAN経由でのパフォーマンスと帯域幅効率を向上させ、ユーザーエクスペリエンスを改善します。最適化されたサポートは、特に高遅延またはセキュリティに敏感な環境において、通常最適なオプションです。
HDXテクノロジーは、最適化されたサポートがない、または不適切な特殊なデバイスに対して汎用USBリダイレクトを提供します。例:
-
USBデバイスが、最適化されたサポートの一部ではないより高度な機能（たとえば、マウスやWebカメラにボタンが多い場合など）を持つ。
-
ユーザーが、最適化されたサポートの一部ではない機能を必要とする。
-
USBデバイスが、テストおよび測定機器や産業用コントローラーなどの特殊なデバイスである。
-
アプリケーションが、USBデバイスとしてデバイスへの直接アクセスを必要とする。
-
USBデバイスにWindowsドライバーしか利用できない。たとえば、スマートカードリーダーには、Android版Citrix Workspace™アプリ用のドライバーが利用できない場合がある。
-
Citrix Workspaceアプリのバージョンが、この種類のUSBデバイスに対して最適化されたサポートを提供しない。
汎用USBリダイレクトを使用する場合:
-
ユーザーはユーザーデバイスにデバイスドライバーをインストールする必要がない。
-
USBクライアントドライバーはVDAマシンにインストールされる。
重要:
-
汎用USBリダイレクトは、最適化されたサポートと組み合わせて使用できます。汎用USBリダイレクトを有効にする場合、汎用USBリダイレクトと最適化されたサポートの両方に対してCitrix USBデバイスポリシー設定を構成します。
-
クライアントUSBデバイス最適化ルールのCitrixポリシー設定は、特定のUSBデバイスに対する汎用USBリダイレクトに固有の設定です。ここで説明されている最適化されたサポートには適用されません。
-
Citrix®ソフトウェアを使用してAzure仮想マシンへのセッションを仲介する場合、CitrixはAzure仮想マシンへのUSBリダイレクトに対してベストエフォートサポートを提供します。Citrixソフトウェアの問題の修正はサポートしますが、基盤となるAzure仮想マシンはサポートしません。
-
ディスク書き込み機能を備えたCD/DVDデバイスはリダイレクトできますが、これらのデバイスの書き込み機能は使用できません。これは、セッションのバッファ制限によるものです。
USBデバイスのパフォーマンスに関する考慮事項
一部の種類のUSBデバイスで汎用USBリダイレクトを使用する場合、ネットワークの遅延と帯域幅がユーザーエクスペリエンスとUSBデバイスの動作に影響を与える可能性があります。たとえば、タイミングに敏感なデバイスは、高遅延で低帯域幅のリンクでは正しく動作しない場合があります。可能な場合は、代わりに最適化されたサポートを使用してください。
一部のUSBデバイスは、使用可能にするために高帯域幅を必要とします。たとえば、3Dマウス（通常、高帯域幅を必要とする3Dアプリで使用されます）などです。帯域幅を増やすことができない場合でも、帯域幅ポリシー設定を使用して他のコンポーネントの帯域幅使用量を調整することで、問題を軽減できる可能性があります。詳しくは、「クライアントUSBデバイスリダイレクトの帯域幅ポリシー設定」および「マルチストリーム接続ポリシー設定」を参照してください。
USBデバイスのセキュリティに関する考慮事項
一部のUSBデバイスは、スマートカードリーダー、指紋リーダー、署名パッドなど、本質的にセキュリティに敏感です。USBストレージデバイスなどの他のUSBデバイスは、機密データを送信するために使用される可能性があります。
USBデバイスはマルウェアの配布によく使用されます。Citrix WorkspaceアプリとCitrix Virtual Apps and Desktops™の設定により、これらのUSBデバイスからのリスクを軽減できますが、排除することはできません。この状況は、汎用USBリダイレクトを使用する場合でも、最適化されたサポートを使用する場合でも当てはまります。
重要:
セキュリティに敏感なデバイスやデータの場合、HDX接続は常にTLSまたはIPsecのいずれかを使用して保護してください。
必要なUSBデバイスのサポートのみを有効にしてください。このニーズを満たすために、汎用USBリダイレクトと最適化されたサポートの両方を構成してください。
USBデバイスを安全に使用するためのユーザーへのガイダンス：
-
信頼できる情報源から入手したUSBデバイスのみを使用してください。
-
オープンな環境でUSBデバイスを放置しないでください。たとえば、インターネットカフェでのフラッシュドライブなどです。
-
複数のコンピューターでUSBデバイスを使用するリスクを説明してください。
汎用USBリダイレクトとの互換性
汎用USBリダイレクトは、USB 2.0以前のデバイスでサポートされています。汎用USBリダイレクトは、USB 2.0またはUSB 3.0ポートに接続されたUSB 3.0デバイスでもサポートされています。汎用USBリダイレクトは、スーパースピードなど、USB 3.0で導入されたUSB機能をサポートしていません。
次のCitrix Workspaceアプリは、汎用USBリダイレクトをサポートしています。
-
Windows向けCitrix Workspaceアプリ。詳しくは、アプリケーション配信の構成を参照してください。
-
Mac向けCitrix Workspaceアプリ。詳しくは、Citrix Workspace app for Macを参照してください。
-
Linux向けCitrix Workspaceアプリ。詳しくは、最適化を参照してください。
-
Chrome OS向けCitrix Workspaceアプリ。詳しくは、Citrix Workspace app for Chromeを参照してください。
Citrix Workspaceアプリのバージョンについては、Citrix Workspaceアプリの機能マトリックスを参照してください。
以前のバージョンのCitrix Workspaceアプリを使用している場合は、汎用USBリダイレクトがサポートされていることを確認するために、Citrix Workspaceアプリのドキュメントを参照してください。サポートされているUSBデバイスの種類に関する制限については、Citrix Workspaceアプリのドキュメントを参照してください。
汎用USBリダイレクトは、VDA for Single-session OSバージョン7.6以降のデスクトップセッションでサポートされています。
汎用USBリダイレクトは、VDA for Multi-session OSバージョン7.6以降のデスクトップセッションでサポートされていますが、次の制限があります。
-
VDAは、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、またはWindows Server 2022を実行している必要があります。
-
USBデバイスドライバーは、VDA OS (Windows 2012 R2) のRemote Desktop Session Host (RDSH) と完全に互換性があり、完全な仮想化サポートを含む必要があります。
一部の種類のUSBデバイスは、リダイレクトしても有用ではないため、汎用USBリダイレクトではサポートされていません。
-
USBモデム。
-
USB ネットワークアダプター。
-
USB ハブ。USB ハブに接続されている USB デバイスは個別に処理されます。
-
USB 仮想 COM ポート。汎用 USB リダイレクトではなく、COM ポートリダイレクトを使用してください。
汎用 USB リダイレクトでテスト済みの USB デバイスについては、「Citrix Ready Marketplace」を参照してください。一部の USB デバイスは、汎用 USB リダイレクトで正しく動作しません。
汎用 USB リダイレクトを構成する
汎用 USB リダイレクトを使用する USB デバイスの種類を制御し、個別に構成できます。
-
VDA で、Citrix ポリシー設定を使用します。詳しくは、「ポリシー設定リファレンス」の「クライアントドライブとユーザーデバイスのリダイレクト」および「USB デバイスのポリシー設定」を参照してください。
-
Citrix Workspace アプリで、Citrix Workspace アプリに依存するメカニズムを使用します。たとえば、管理用テンプレートは、Windows 向け Citrix Workspace アプリを構成するレジストリ設定を制御します。デフォルトでは、USB リダイレクトは特定のクラスの USB デバイスでは許可され、他のデバイスでは拒否されます。詳しくは、Windows 向け Citrix Workspace アプリのドキュメントの「構成」を参照してください。
この個別の構成により、柔軟性が向上します。例：
-
2つの異なる組織または部門が Citrix Workspace アプリと VDA を担当している場合、それぞれ個別に制御を適用できます。この構成は、ある組織のユーザーが別の組織のアプリケーションにアクセスする場合に適用されます。
-
Citrix ポリシー設定は、特定のユーザーのみに許可される USB デバイス、または LAN 経由でのみ接続するユーザー（Citrix Gateway を使用しない場合）に許可される USB デバイスを制御できます。
汎用 USB リダイレクトを有効にする
汎用 USB リダイレクトを有効にし、ユーザーによる手動リダイレクトを不要にするには、Citrix ポリシー設定と Citrix Workspace アプリの接続設定の両方を構成します。
Citrix ポリシー設定で：
-
ポリシーにクライアント USB デバイスリダイレクトを追加し、その値を Allowed に設定します。クライアントUSBデバイスリダイレクト画像(/en-us/citrix-daas/media/client-usb-device-redirection-policy-setting.png)
-
(オプション) リダイレクトに利用可能なUSBデバイスのリストを更新するには、クライアントUSBデバイスリダイレクト規則設定をポリシーに追加し、USBポリシー規則を指定します。Citrix Workspaceアプリで:
-
デバイスが手動リダイレクトなしで自動的に接続されるように指定します。これは、管理用テンプレートを使用するか、Citrix Workspaceアプリ for Windows > > で行うことができます。接続画像(/en-us/citrix-daas/media/connections-generic-usb-devices-receiver.png)
前のステップでVDAのUSBポリシー規則を指定した場合は、Citrix Workspaceアプリにも同じポリシー規則を指定します。
シンクライアントについては、USBサポートの詳細と必要な構成について製造元にお問い合わせください。
汎用USBリダイレクトに利用可能なUSBデバイスの種類を構成する
USBサポートが有効になっており、USBユーザー設定でUSBデバイスを自動的に接続するように設定されている場合、USBデバイスは自動的にリダイレクトされます。接続バーが表示されていない場合も、USBデバイスは自動的にリダイレクトされます。
ユーザーは、USBデバイスリストからデバイスを選択することで、自動的にリダイレクトされないデバイスを明示的にリダイレクトできます。詳しくは、Citrix Workspaceアプリ for Windowsのユーザーヘルプ記事「Desktop Viewerにデバイスを表示する」を参照してください。
デバイス画像(/en-us/citrix-daas/media/usb-device-list-receiver.png)
最適化されたサポートではなく、汎用USBリダイレクトを使用するには、次のいずれかの方法があります。
-
USBデバイスの種類（例: AutoRedirectStorage=1）の自動リダイレクトを構成し、USBユーザー設定でUSBデバイスを自動的に接続するように設定することで、汎用USBリダイレクトを使用するUSBデバイスを自動的に選択します。詳しくは、「USBデバイスの自動リダイレクトを構成する」を参照してください。
注:
ウェブカメラがHDXマルチメディアリダイレクトと互換性がないと判明した場合にのみ、ウェブカメラで使用するために汎用USBリダイレクトを構成してください。
USBデバイスが一覧表示されたりリダイレクトされたりするのを防ぐには、Citrix WorkspaceアプリとVDAのデバイスルールを指定できます。
汎用USBリダイレクトの場合、少なくともUSBデバイスクラスとサブクラスを知る必要があります。すべてのUSBデバイスが、その見た目から明らかなUSBデバイスクラスとサブクラスを使用するわけではありません。例：
-
ペンはマウスデバイスクラスを使用します。
-
スマートカードリーダーは、ベンダー定義またはHIDデバイスクラスを使用できます。
より正確な制御を行うには、ベンダーID、製品ID、およびリリースIDを知る必要があります。この情報はデバイスベンダーから入手できます。
重要：
悪意のあるUSBデバイスは、意図された用途と一致しないUSBデバイス特性を示す可能性があります。デバイスルールは、この動作を防ぐことを目的としていません。
デフォルトのUSBポリシー規則を上書きするために、VDAとCitrix Workspaceアプリの両方でUSBデバイスリダイレクト規則を指定することにより、汎用USBリダイレクトで利用可能なUSBデバイスを制御します。
VDAの場合：
-
グループポリシー規則を通じて、マルチセッションOSマシンの管理者上書き規則を編集します。グループポリシー管理コンソールはインストールメディアに含まれています。
-
x64の場合：dvd root \os\lang\x64\Citrix Policy\ CitrixGroupPolicyManagement_x64.msi
-
x86の場合：dvd root \os\lang\x86\Citrix Policy\ CitrixGroupPolicyManagement_x86.msi
-
Windows向けCitrix Workspaceアプリの場合：
-
ユーザーデバイスレジストリを編集します。Active Directoryグループポリシーを通じてユーザーデバイスを変更できるように、管理用テンプレート（ADMファイル）がインストールメディアに含まれています。 dvd root \os\lang\Support\Configuration\icaclient_usb.adm
警告:
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題を引き起こす可能性があります。レジストリエディターの誤った使用によって生じる問題が解決されることを、Citrixは保証できません。レジストリエディターの使用は、お客様ご自身の責任において行ってください。編集する前に、必ずレジストリをバックアップしてください。
製品のデフォルトルールは、HKLM\SOFTWARE\Citrix\PortICA\GenericUSB\DeviceRules に保存されています。これらの製品のデフォルトルールを編集しないでください。代わりに、この記事の後半で説明する管理者オーバーライドルールを作成するためのガイドとして使用してください。GPOオーバーライドは、製品のデフォルトルールよりも前に評価されます。
管理者オーバーライドルールは、HKLM\SOFTWARE\Policies\Citrix\PortICA\GenericUSB\DeviceRules に保存されています。GPOポリシーのルールは、{Allow:
|Deny:} の形式で、その後に空白で区切られた tag=value 式のセットが続きます。
以下のタグがサポートされています。
| タグ | 説明 |
|---|---|
| VID | デバイス記述子からのベンダーID |
| PID | デバイス記述子からの製品ID |
| REL | デバイス記述子からのリリースID |
| クラス | デバイス記述子またはインターフェイス記述子のいずれかからのクラス。利用可能なUSBクラスコードについては、<http://www.usb.org/> のUSBウェブサイトを参照してください。 |
| SubClass | デバイス記述子またはインターフェイス記述子のいずれかからのサブクラス |
| プロトコル | デバイス記述子またはインターフェイス記述子のいずれかからのプロトコル |
ポリシー規則を作成する際は、次の点に注意してください。
-
規則では大文字と小文字は区別されません。
-
規則の末尾には、
#で始まるオプションのコメントを付けることができます。区切り文字は不要で、コメントは照合目的では無視されます。 -
空白行と純粋なコメント行は無視されます。
-
空白は区切り文字として使用されますが、数値または識別子の中央に表示することはできません。たとえば、Deny: Class = 08 SubClass=05 は有効な規則ですが、Deny: Class=0 Sub Class=05 は有効ではありません。
-
タグは一致演算子 = を使用する必要があります。たとえば、VID=1230 です。
-
各規則は新しい行で開始するか、セミコロン区切りのリストの一部である必要があります。
注記：
ADMテンプレートファイルを使用している場合は、規則をセミコロン区切りのリストとして1行で作成する必要があります。
例：
-
次の例は、ベンダーおよび製品識別子に対する管理者定義のUSBポリシー規則を示しています。
Allow: VID=046D PID=C626 # Allow Logitech SpaceNavigator 3D Mouse Deny: VID=046D # Deny all Logitech products -
以下に、管理者によって定義された、特定のクラス、サブクラス、プロトコルに対するUSBポリシー規則の例を示します。
Deny: Class=EF SubClass=01 Prot=01 # Deny MS Active Sync devices Allow: Class=EF SubClass=01 # Allow Sync devices Allow: Class=EF # Allow all USB-Miscellaneous devices
USBデバイスの使用と取り外し
ユーザーは、仮想セッションを開始する前または開始した後にUSBデバイスを接続できます。
Windows向けCitrix Workspaceアプリを使用する場合、以下が適用されます。
-
セッション開始後に接続されたデバイスは、Desktop ViewerのUSBメニューにすぐに表示されます。
-
USBデバイスが適切にリダイレクトされない場合は、仮想セッションが開始されるまでデバイスの接続を待つことで、問題を解決できる場合があります。
-
データ損失を避けるため、USBデバイスを取り外す前にWindowsの「ハードウェアを安全に取り外す」アイコンを使用してください。
USB大容量記憶装置のセキュリティ制御
USB大容量記憶装置には最適化されたサポートが提供されます。このサポートは、Citrix Virtual Apps and Desktopsのクライアントドライブマッピングの一部です。ユーザーがログオンすると、ユーザーデバイス上のドライブは仮想デスクトップ上のドライブ文字に自動的にマッピングされます。これらのドライブは、マッピングされたドライブ文字を持つ共有フォルダーとして表示されます。クライアントドライブマッピングを構成するには、Client removable drives設定を使用します。この設定は、ICAポリシー設定のファイルリダイレクトポリシー設定セクションにあります。
USB大容量記憶装置では、クライアントドライブマッピング、汎用USBリダイレクト、またはその両方を使用できます。これらはCitrixポリシーを使用して制御します。主な違いは次のとおりです。
| 機能 | クライアントドライブマッピング | 汎用USBリダイレクト |
|---|---|---|
| 既定で有効 | はい | いいえ |
| 読み取り専用アクセスを構成可能 | はい | いいえ |
| 暗号化されたデバイスへのアクセス | はい、デバイスにアクセスする前に暗号化が解除されている場合 | はい |
| BitLocker To Goデバイス | いいえ | いいえ |
| セッション中にデバイスを安全に削除できる | いいえ | はい、ユーザーが安全な取り外しに関するオペレーティングシステムの推奨事項に従う場合 |
汎用USBリダイレクトとクライアントドライブマッピングポリシーの両方が有効になっており、セッションの開始前または開始後にマスストレージデバイスが挿入された場合、それはクライアントドライブマッピングを使用してリダイレクトされます。汎用USBリダイレクトとクライアントドライブマッピングポリシーの両方が有効になっており、デバイスが自動リダイレクト用に構成されていて、セッションの開始前または開始後にマスストレージデバイスが挿入された場合、それは汎用USBリダイレクトを使用してリダイレクトされます。詳細については、Knowledge Centerの記事CTX123015を参照してください。
注:
USBリダイレクトは、たとえば50 Kbpsのような低帯域幅接続でもサポートされています。ただし、大きなファイルのコピーは機能しません。