証明書管理

概要

• セキュリティの合理化: HDX Direct接続は、環境内で証明書を管理する管理上のオーバーヘッドなしに保護されます。
• 攻撃対象領域の削減: 各ホストは一意のキーと証明書のセットを持つため、攻撃対象領域は単一のホストに限定されます。
• 非永続環境のセキュリティ強化: 非永続セッションホストを持つ環境では、再起動時に新しいキーと証明書が生成されるため、セキュリティがさらに強化されます。

セッションホスト

• 自己署名ルートCA
  • 証明書の発行先: CA-Citrix-Certificate-Manager
  • 証明書の発行元: CA-Citrix-Certificate-Manager
  • 発行者の詳細: 組織はCitrix Systems, Inc.です。
• サーバー証明書
  • 発行先: \<host FQDN\> (例: FTLW11-001.ctxlab.net)
  • 発行元: CA-シトリックス-証明書マネージャー
  • 発行者の詳細: 組織はCitrix Systems, Inc.です。

クライアントデバイス

カスタム証明書の使用

1. マシンでHDX Directが無効になっている場合は、手順2に進みます。HDX Directが有効になっている場合は、以下の手順に従ってください。
   1. レジストリエディター（regedit.exe）を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawdに移動します。
   2. SSLEnabledの値を0に設定します。
   3. HKLM\Software\Citrix\HDX-Directに移動します。
   4. HdxDirectCaInTlsの値を0に設定します。
2. PKIによって発行された適切な証明書をマシンの証明書ストアにインストールします。
3. セッションマネージャーサービスに、証明書の秘密キーへの読み取りアクセス権を付与します。
   1. Microsoft 管理コンソール (MMC) を起動します: > > mmc.exe。
   2. > に移動します。
   3. を選択し、 をクリックします。
   4. を選択し、 をクリックします。
   5. を選択し、 をクリックします。
   6. > > に移動します。
   7. 適切な証明書を右クリックし、 > を選択します。
   8. 以下のいずれかのサービスを追加し、読み取りアクセス権を付与します。
      • シングルセッションVDA の場合: NT SERVICE\PorticaService
      • マルチセッションVDA の場合: NT SERVICE\TermService
   9. をクリックし、次に をクリックします。
4. 証明書をセッションマネージャーサービスにバインドします。
   1. 証明書のサムプリントを取得します (証明書をダブルクリック > > )。
   2. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd に移動します。
   3. 「SSLThumbprint」の値を編集し、証明書のサムプリントを貼り付けます。
5. Citrix TLSリスナーを有効にします。
   1. 同じレジストリの場所で、SSLEnabledの値を1に設定します。
6. HDX Directを有効にします（Citrixポリシー内）。

• 証明書のキーのアクセス許可を設定する
• 証明書をセッションマネージャーサービスにバインドする
• Citrix TLSリスナーを有効にする