認証

最終公開日 : Nov 02, 2026
Citrix Endpoint Management展開では、認証を構成する方法を決定する際に、いくつかの考慮事項が発生します。このセクションでは、認証に影響を与えるさまざまな要因について説明します。
  • 認証に関連する主要なMDXポリシー、Citrix Endpoint Managementクライアントプロパティ、およびNetScaler Gateway設定。
  • これらのポリシー、クライアントプロパティ、および設定がどのように相互作用するか。
  • 各選択肢のトレードオフ。
この記事には、セキュリティレベルを高めるための推奨される構成の3つの例も含まれています。
大まかに言えば、セキュリティが強化されると、ユーザーはより頻繁に認証する必要があるため、ユーザーエクスペリエンスは最適ではなくなります。これらの懸念をどのようにバランスさせるかは、組織のニーズと優先順位によって異なります。さまざまな認証オプションの相互作用を理解するために、3つの推奨構成を確認してください。
Related information
Citrix Endpoint Management のデプロイメント

認証モード

オンライン認証: ユーザーをCitrix Endpoint Managementネットワークに許可します。インターネット接続が必要です。
オフライン認証: デバイス上で発生します。ユーザーはセキュアボールトをロック解除し、ダウンロードされたメール、キャッシュされたウェブサイト、メモなどのアイテムにオフラインでアクセスできます。

認証方法

シングルファクター

LDAP: Citrix Endpoint Managementで、Lightweight Directory Access Protocol (LDAP) に準拠する1つ以上のディレクトリへの接続を構成できます。この方法は、企業環境向けにシングルサインオン (SSO) を提供するために一般的に使用されます。LDAPでのユーザーエクスペリエンスを向上させるために、Active Directoryパスワードキャッシュを使用したCitrix PINを選択する場合があります。同時に、登録時の複雑なパスワード、パスワードの有効期限、およびアカウントロックアウトのセキュリティを提供できます。
詳細については、「ドメインまたはドメインとセキュリティトークン認証」を参照してください。
クライアント証明書: Citrix Endpoint Managementは業界標準の認証局と統合し、オンライン認証の唯一の方法として証明書を使用できます。Citrix Endpoint Managementはユーザー登録後にこの証明書を提供します。これにはワンタイムパスワード、招待URL、またはLDAP資格情報のいずれかが必要です。クライアント証明書を主要な認証方法として使用する場合、デバイス上の証明書を保護するために、クライアント証明書のみの環境ではCitrix PINが必要です。
Citrix Endpoint Managementは、サードパーティの認証局に対してのみ証明書失効リスト (CRL) をサポートします。Microsoft CAが構成されている場合、Citrix Endpoint ManagementはNetScaler Gatewayを使用して失効を管理します。クライアント証明書ベースの認証を構成する際は、NetScaler Gatewayの証明書失効リスト (CRL) 設定である「CRL自動更新を有効にする」を構成する必要があるかどうかを検討してください。この手順により、MAMにのみ登録されているデバイスが、デバイス上の既存の証明書を使用して認証できないようにします。Citrix Endpoint Managementは、証明書が失効した場合でもユーザーがユーザー証明書を生成することを制限しないため、新しい証明書を再発行します。この設定は、CRLが期限切れのPKIエンティティをチェックする際に、PKIエンティティのセキュリティを向上させます。
証明書ベースの認証に必要な展開、またはエンタープライズ認証局 (CA) を使用したデバイス証明書の発行を示す図については、アーキテクチャを参照してください。

二要素認証

LDAP + クライアント証明書: この構成は、Citrix Endpoint Managementにとってセキュリティとユーザーエクスペリエンスの最適な組み合わせです。LDAPとクライアント証明書認証の両方を使用すると、次のようになります。
  • NetScaler Gatewayでの二要素認証によって提供されるセキュリティと相まって、最高のSSOの可能性を秘めています。
  • ユーザーが知っているもの（Active Directoryパスワード）と、ユーザーが持っているもの（デバイス上のクライアント証明書）の両方でセキュリティを提供します。
Citrix Secure Mailは、クライアント証明書認証を使用して、シームレスな初回ユーザーエクスペリエンスを自動的に構成および提供できます。この機能には、適切に構成されたExchangeクライアントアクセスサーバー環境が必要です。
最適な使いやすさのために、LDAPとクライアント証明書認証をCitrix PINおよびActive Directoryパスワードキャッシュと組み合わせることができます。
LDAP + トークン: この構成では、RADIUSプロトコルを使用して、LDAP資格情報とワンタイムパスワードの従来の構成が可能です。最適な使いやすさのために、このオプションをCitrix PINおよびActive Directoryパスワードキャッシュと組み合わせることができます。

認証に関する重要なポリシー、設定、およびクライアントプロパティ

以下のポリシー、設定、およびクライアントプロパティは、次の3つの推奨構成で適用されます。

MDXポリシー

アプリのパスコード: オンの場合、アプリの起動時または一定期間の非アクティブ状態からの再開時に、Citrix PINまたはパスコードがアプリのロック解除に必要です。デフォルトはオンです。
すべてのアプリの非アクティブタイマーを構成するには、Citrix Endpoint Managementコンソールの設定タブにあるクライアントプロパティで、INACTIVITY_TIMERの値を分単位で設定します。デフォルトは15分です。非アクティブタイマーを無効にして、アプリの起動時にのみPINまたはパスコードのプロンプトが表示されるようにするには、値をゼロに設定します。
micro VPNセッションが必要: オンの場合、ユーザーはエンタープライズネットワークへの接続とアクティブなセッションを持っている必要があります。デバイス上のアプリにアクセスするには、アクティブなセッションが必要です。オフの場合、デバイス上のアプリにアクセスするためにアクティブなセッションは必要ありません。デフォルトはオフです。
最大オフライン期間（時間）： アプリがCitrix Endpoint Managementからアプリの資格を再確認し、ポリシーを更新することなく実行できる最大期間を定義します。iOSアプリは、以下の条件を満たした後、ユーザーに中断を与えることなく、Citrix Endpoint ManagementからMDXアプリの新しいポリシーを取得します。
  • 最大オフライン期間を設定していること、および
  • iOS版Citrix Secure Hubが有効なNetScaler Gatewayトークンを持っていること。
Citrix Secure Hubが有効なNetScaler Gatewayトークンを持っていない場合、アプリのポリシーを更新する前に、ユーザーはCitrix Secure Hubを介して認証する必要があります。NetScaler Gatewayトークンは、NetScaler Gatewayセッションの非アクティブまたは強制セッションタイムアウトポリシーのために無効になることがあります。ユーザーがCitrix Secure Hubに再度サインオンすると、アプリの実行を継続できます。
期間が終了する30分前、15分前、5分前に、ユーザーにサインオンするよう通知されます。期限切れ後、ユーザーがサインオンするまでアプリはロックされます。デフォルトは**72時間（3日間）**です。最小期間は1時間です。
注：
ユーザーが頻繁に移動し、国際ローミングを使用するシナリオでは、デフォルトの72時間（3日間）では短すぎる可能性があることに留意してください。
バックグラウンドサービスチケットの有効期限： バックグラウンドネットワークサービスチケットが有効である期間。Citrix Secure MailがNetScaler Gatewayを介してActiveSyncを実行しているExchange Serverに接続すると、Citrix Endpoint Managementはトークンを発行します。Citrix Secure Mailはそのトークンを使用して内部Exchange Serverに接続します。このプロパティ設定は、Citrix Secure Mailが認証およびExchange Serverへの接続のために新しいトークンを必要とせずにトークンを使用できる期間を決定します。制限時間が経過すると、ユーザーは新しいトークンを生成するために再度ログオンする必要があります。デフォルトは**168時間（7日間）**です。このタイムアウトが期限切れになると、メール通知は停止します。
micro VPNセッションの猶予期間： オンラインセッションが検証されるまで、ユーザーがアプリをオフラインで使用できる分数。デフォルトは0（猶予期間なし）です。
認証ポリシーの詳細については、以下を参照してください。

Citrix Endpoint Managementクライアントプロパティ

注：
クライアントプロパティは、Citrix Endpoint Managementに接続するすべてのデバイスに適用されるグローバル設定です。
Citrix PIN: シンプルなサインオンエクスペリエンスのために、Citrix PINを有効にすることを選択できます。PINを使用すると、ユーザーはActive Directoryのユーザー名やパスワードなどの他の資格情報を繰り返し入力する必要がありません。Citrix PINは、スタンドアロンのオフライン認証としてのみ構成することも、PINとActive Directoryパスワードキャッシュを組み合わせて、最適な使いやすさのために認証を合理化することもできます。Citrix Endpoint Managementコンソールで、 > > でCitrix PINを構成します。
以下は、いくつかの重要なプロパティの概要です。詳細については、「クライアントプロパティ」を参照してください。
ENABLE_PASSCODE_AUTH
表示名: Citrix PIN認証を有効にする
このキーを使用すると、Citrix PIN機能をオンにできます。Citrix PINまたはパスコードを使用すると、ユーザーはActive Directoryパスワードの代わりにPINを定義するように求められます。ENABLE_PASSWORD_CACHINGが有効になっている場合、またはCitrix Endpoint Managementが証明書認証を使用している場合は、この設定を有効にします。
設定可能な値: true または false
デフォルト値: false
ENABLE_PASSWORD_CACHING
表示名: ユーザーパスワードのキャッシュを有効にする
このキーを使用すると、ユーザーのActive Directoryパスワードをモバイルデバイスにローカルでキャッシュできます。このキーをtrueに設定すると、ユーザーはCitrix PINまたはパスコードを設定するように求められます。このキーをtrueに設定する場合、ENABLE_PASSCODE_AUTHキーもtrueに設定する必要があります。
設定可能な値: true または false
デフォルト値: false
PASSCODE_STRENGTH
表示名: PINの強度要件
このキーは、Citrix PINまたはパスコードの強度を定義します。この設定を変更すると、ユーザーは次回認証を求められたときに新しいCitrix PINまたはパスコードを設定するように求められます。
指定可能な値: 低、中、または高
デフォルト値: 中
INACTIVITY_TIMER
表示名: 非アクティビティタイマー
このキーは、ユーザーがデバイスを非アクティブなままにしておき、Citrix PINまたはパスコードの入力を求められることなくアプリにアクセスできる時間を分単位で定義します。MDXアプリでこの設定を有効にするには、App Passcode設定をOnにする必要があります。App Passcode設定がOffの場合、ユーザーはCitrix Secure Hubにリダイレクトされ、完全な認証を行うことになります。この設定を変更すると、ユーザーが次回認証を求められたときに値が有効になります。デフォルトは15分です。
ENABLE_TOUCH_ID_AUTH
表示名: Touch ID認証を有効にする
オフライン認証に指紋リーダー（iOSのみ）の使用を許可します。オンライン認証には、引き続き主要な認証方法が必要です。
ENCRYPT_SECRETS_USING_PASSCODE
表示名: パスコードを使用してシークレットを暗号化する
このキーを使用すると、機密データをiOSキーチェーンなどのプラットフォームベースのネイティブストアではなく、秘密の保管庫にモバイルデバイスに保存できます。この構成キーは、キーアーティファクトの強力な暗号化を可能にするだけでなく、ユーザーエントロピー（ユーザーのみが知っているユーザー生成のランダムなPINコード）も追加します。
指定可能な値: true または false
デフォルト値: false

NetScaler Gatewayの設定

セッションタイムアウト: この設定を有効にすると、NetScaler Gatewayが指定された間隔でネットワークアクティビティを検出しない場合、NetScaler Gatewayはセッションを切断します。この設定は、NetScaler Gateway Plug-in、Citrix Secure Hub、またはWebブラウザを介して接続するユーザーに適用されます。デフォルトは1440分です。この値をゼロに設定すると、この設定は無効になります。
強制タイムアウト: この設定を有効にすると、ユーザーが何をしていても、タイムアウト間隔が経過するとNetScaler Gatewayはセッションを切断します。タイムアウト間隔が経過すると、ユーザーは切断を防ぐためのいかなる操作もできません。この設定は、NetScaler Gateway Plug-in、Citrix Secure Hub、またはWebブラウザ経由で接続するユーザーに適用されます。Citrix Secure Mailが特別なNetScaler GatewayモードであるSTAを使用している場合、この設定はCitrix Secure Mailセッションには適用されません。デフォルトは値なしで、これは任意のアクティビティでセッションが延長されることを意味します。
NetScaler Gatewayのタイムアウト設定の詳細については、NetScaler Gatewayのドキュメントを参照してください。
ユーザーがデバイスに資格情報を入力してCitrix Endpoint Managementで認証するよう促されるシナリオの詳細については、「認証プロンプトのシナリオ」を参照してください。

デフォルトの構成設定

これらの設定は、以下によって提供されるデフォルトです。
  • NetScaler® for XenMobileウィザード
  • MAM SDKまたはMDX Toolkit
  • シトリックス エンドポイント マネジメント コンソール
設定 設定の場所 デフォルト設定
セッションタイムアウト ネットスケーラー ゲートウェイ 1440分
強制タイムアウト ネットスケーラー ゲートウェイ 値なし (オフ)
最大オフライン期間 MDXポリシー 72時間
バックグラウンドサービスチケットの有効期限 MDXポリシー 168時間 (7日間)
micro VPNセッションが必要 MDXポリシー オフ
micro VPNセッションの猶予期間が必要 MDXポリシー 0
アプリパスコード MDXポリシー オン
パスコードを使用してシークレットを暗号化 Citrix Endpoint Managementクライアントプロパティ いいえ
Citrix PIN認証を有効にする Citrix Endpoint Managementクライアントプロパティ いいえ
PINの強度要件 Citrix Endpoint Managementクライアントプロパティ 中
PINの種類 Citrix Endpoint Managementクライアントプロパティ 数字
ユーザーパスワードのキャッシュを有効にする Citrix Endpoint Management クライアントプロパティ 無効
非アクティビティタイマー Citrix Endpoint Management クライアントプロパティ 15
Touch ID認証を有効にする Citrix Endpoint Management クライアントプロパティ 無効

推奨される構成

このセクションでは、最低限のセキュリティと最適なユーザーエクスペリエンスから、最高のセキュリティとより煩わしいユーザーエクスペリエンスまで、3つのCitrix Endpoint Management構成の例を示します。これらの例は、独自の構成をどのレベルに設定するかを決定するための役立つ参照点となります。これらの設定を変更すると、他の設定も変更する必要がある場合があります。たとえば、最大オフライン期間はセッションタイムアウトを超えてはなりません。

最高のセキュリティ

この構成は最高レベルのセキュリティを提供しますが、使いやすさとの間で大きなトレードオフがあります。
設定 設定の場所 推奨設定 動作への影響
セッションタイムアウト ネットスケーラー ゲートウェイ 1440 ユーザーは、オンライン認証が必要な場合（24時間ごと）にのみCitrix Secure Hubの資格情報を入力します。
強制タイムアウト ネットスケーラー ゲートウェイ 値なし アクティビティがある場合、セッションは延長されます。
最大オフライン期間 MDXポリシー 23 毎日ポリシーの更新が必要です。
バックグラウンドサービスのチケット有効期限 MDXポリシー 72時間 STAのタイムアウト。これにより、NetScaler Gatewayセッショントークンなしで長期間のセッションが可能になります。Citrix Secure Mailの場合、STAタイムアウトをセッションタイムアウトよりも長く設定すると、メール通知が停止するのを防ぐことができます。その場合、ユーザーがセッションの有効期限が切れる前にアプリを開かないと、Citrix Secure Mailはユーザーにプロンプトを表示しません。
マイクロVPNセッションが必要 MDXポリシー オフ アプリを使用するための有効なネットワーク接続とNetScaler Gatewayセッションを提供します。
マイクロVPNセッションの猶予期間が必要 MDXポリシー 0 猶予期間なし（マイクロVPNセッションが必要を有効にした場合）。
アプリのパスコード MDXポリシー オン アプリケーションにパスコードを要求します。
パスコードを使用してシークレットを暗号化 Citrix Endpoint Management クライアントプロパティ はい ユーザーエントロピーから派生したキーがボールトを保護します。
Citrix PIN認証を有効にする Citrix Endpoint Management クライアントプロパティ はい 簡素化された認証エクスペリエンスのためにCitrix PINを有効にします。
PINの強度要件 Citrix Endpoint Management クライアントプロパティ 強 高いパスワードの複雑さの要件。
PINの種類 Citrix Endpoint Management クライアントプロパティ 英数字 PINは英数字のシーケンスです。
パスワードキャッシュを有効にする Citrix Endpoint Management クライアントプロパティ 無効 Active Directory のパスワードはキャッシュされず、オフライン認証には Citrix PIN が使用されます。
非アクティブタイマー Citrix Endpoint Management クライアントプロパティ 15 ユーザーがこの期間中に MDX アプリまたは Citrix Secure Hub を使用しない場合、オフライン認証を要求します。
Touch ID 認証を有効にする Citrix Endpoint Management クライアントプロパティ 無効 iOS のオフライン認証ユースケースで Touch ID を無効にします。

セキュリティの強化

より中道的なアプローチとして、この構成では、ユーザーは（7日ごとではなく）最大3日ごとに、より頻繁に認証を行う必要があり、より強力なセキュリティが提供されます。認証回数が増えることで、コンテナがより頻繁にロックされ、デバイスが使用されていないときのデータセキュリティが確保されます。
設定 設定の場所 推奨設定 動作への影響
セッションタイムアウト ネットスケーラー ゲートウェイ 4320 ユーザーは、オンライン認証が必要な場合（3日ごと）にのみCitrix Secure Hubの資格情報を入力します。
強制タイムアウト ネットスケーラー ゲートウェイ 値なし アクティビティがある場合、セッションは延長されます。
最大オフライン期間 MDXポリシー 71 3日ごとにポリシーの更新が必要です。1時間の差は、セッションタイムアウトより前に更新を許可するためです。
バックグラウンドサービスチケットの有効期限 MDXポリシー 168時間 NetScaler Gatewayセッショントークンなしで長期間のセッションを可能にするSTAのタイムアウト。Citrix Secure Mailの場合、STAタイムアウトをセッションタイムアウトよりも長く設定することで、ユーザーにプロンプトを表示せずにメール通知が停止するのを防ぎます。
micro VPNセッションが必要 MDXポリシー オフ アプリを使用するための有効なネットワーク接続とNetScaler Gatewayセッションを提供します。
micro VPNセッションが必要な猶予期間 MDXポリシー 0 猶予期間なし（micro VPNセッションが必要を有効にした場合）。
アプリのパスコード MDXポリシー オン アプリケーションにパスコードを要求する。
パスコードを使用してシークレットを暗号化する Citrix Endpoint Managementクライアントプロパティ いいえ ボールトを暗号化するためにユーザーエントロピーを要求しない。
Citrix PIN認証を有効にする Citrix Endpoint Managementクライアントプロパティ はい 認証エクスペリエンスを簡素化するためにCitrix PINを有効にする。
PINの強度要件 Citrix Endpoint Managementクライアントプロパティ 中 中程度のパスワード複雑性ルールを適用します。
PINの種類 Citrix Endpoint Managementクライアントプロパティ 数値 PINは数値シーケンスです。
パスワードキャッシュを有効にする Citrix Endpoint Managementクライアントプロパティ 真 ユーザーPINはActive Directoryパスワードをキャッシュし、保護します。
非アクティブタイマー Citrix Endpoint Managementクライアントプロパティ 30 ユーザーがこの期間にMDXアプリまたはCitrix Secure Hubを使用しない場合、オフライン認証を要求します。
Touch ID認証を有効にする Citrix Endpoint Managementクライアントプロパティ 真 iOSでのオフライン認証ユースケースにTouch IDを有効にします。

高セキュリティ

この構成は、ユーザーにとって最も便利であり、ベースレベルのセキュリティを提供します。
設定 設定の場所 推奨設定 動作への影響
セッションタイムアウト ネットスケーラー ゲートウェイ 10080 ユーザーは、オンライン認証が必要な場合（7日ごと）にのみCitrix Secure Hubの資格情報を入力します。
強制タイムアウト ネットスケーラー ゲートウェイ 値なし アクティビティがある場合、セッションは延長されます。
最大オフライン期間 MDXポリシー 167 毎週（7日ごと）ポリシーの更新が必要です。時間差は、セッションタイムアウト前に更新を許可するためです。
バックグラウンドサービスのチケットの有効期限 MDXポリシー 240 STAのタイムアウト。これにより、NetScaler Gatewayセッショントークンなしで長期間のセッションが可能になります。Citrix Secure Mailの場合、STAのタイムアウトをセッションタイムアウトよりも長く設定することで、メール通知が停止するのを防ぎます。その場合、ユーザーがセッションの有効期限が切れる前にアプリを開かなければ、Citrix Secure Mailはユーザーにプロンプトを表示しません。
マイクロVPNセッションが必要 MDXポリシー オフ アプリを使用するための有効なネットワーク接続とNetScaler Gatewayセッションを提供します。
マイクロVPNセッションの猶予期間が必要 MDXポリシー 0 猶予期間なし（マイクロVPNセッションが必要を有効にした場合）。
アプリのパスコード MDXポリシー オン アプリケーションにパスコードを要求する。
パスコードを使用してシークレットを暗号化する Citrix Endpoint Managementクライアントプロパティ いいえ ボールトの暗号化にユーザーエントロピーを要求しない。
Citrix PIN認証を有効にする Citrix Endpoint Managementクライアントプロパティ はい 簡素化された認証エクスペリエンスのためにCitrix PINを有効にする。
PINの強度要件 Citrix Endpoint Managementクライアントプロパティ 低 パスワードの複雑さの要件なし
PINの種類 Citrix Endpoint Managementクライアントプロパティ 数値 PINは数値のシーケンスです。
パスワードキャッシュを有効にする Citrix Endpoint Managementクライアントプロパティ はい ユーザーPINはActive Directoryパスワードをキャッシュして保護します。
非アクティブタイマー Citrix Endpoint Managementクライアントプロパティ 90 ユーザーがこの期間MDXアプリまたはCitrix Secure Hubを使用しない場合、オフライン認証を要求します。
Touch ID認証を有効にする Citrix Endpoint Managementクライアントプロパティ はい iOSでのオフライン認証のユースケースでTouch IDを有効にします。

ステップアップ認証の使用

一部のアプリでは、強化された認証が必要になる場合があります。たとえば、トークンや積極的なセッションタイムアウトなどの二次認証要素です。この認証方法はMDXポリシーを通じて制御します。この方法では、認証方法を制御するための個別の仮想サーバーも必要になります（同じNetScaler Gatewayアプライアンス上でも、別々のアプライアンス上でも可能です）。
設定 設定の場所 推奨設定 動作への影響
代替ネットスケーラー ゲートウェイ MDXポリシー セカンダリNetScaler GatewayアプライアンスのFQDNとポートが必要です。 セカンダリNetScaler Gatewayアプライアンスの認証およびセッションポリシーによって制御される、強化された認証を可能にします。
ユーザーが代替NetScaler Gatewayを使用するアプリを開くと、他のすべてのアプリはそのNetScaler Gatewayインスタンスを使用して内部ネットワークと通信します。セッションは、強化されたセキュリティを持つNetScaler Gatewayインスタンスからのセッションがタイムアウトした場合にのみ、より低いセキュリティのNetScaler Gatewayインスタンスに戻ります。

マイクロVPNセッションの必須化

Citrix Secure Webなどの特定のアプリケーションでは、ユーザーが認証済みセッションを持っている場合にのみアプリを実行するように設定できます。このポリシーはそのオプションを強制し、ユーザーが作業を完了できるように猶予期間を設けます。
設定 設定の場所 推奨設定 動作への影響
micro VPNセッションが必要 MDXポリシー オン デバイスがオンラインであり、有効な認証トークンを持っていることを確認します。
micro VPNセッションが必要な猶予期間 MDXポリシー 15 ユーザーがアプリを使用できなくなるまでに15分間の猶予期間を許可します。