資格情報プロバイダー

最終公開日 : Nov 02, 2026

資格情報プロバイダーは、Citrix Endpoint Managementシステムのさまざまな部分で使用する実際の証明書構成です。資格情報プロバイダーは、証明書のソース、パラメーター、およびライフサイクルを定義します。これらの操作は、証明書がデバイス構成の一部であるか、スタンドアロンであるか（つまり、そのままデバイスにプッシュされるか）にかかわらず実行されます。

デバイスの登録は、証明書のライフサイクルを制約します。つまり、Citrix Endpoint Managementは登録前に証明書を発行しませんが、登録の一部として一部の証明書を発行する場合があります。また、1つの登録のコンテキスト内で内部PKIから発行された証明書は、登録が取り消されると失効します。管理関係が終了すると、有効な証明書は残りません。

1つの資格情報プロバイダー構成を多くの場所で使用でき、1つの構成で任意の数の証明書を同時に管理できます。その場合の一体性は、展開リソースと展開にあります。たとえば、資格情報プロバイダーPが構成Cの一部としてデバイスDに展開される場合：Pの発行設定によってDに展開される証明書が決定されます。同様に、Cが更新されるとDの更新設定が適用されます。また、Cが削除されるかDが取り消されると、Dの失効設定も適用されます。

これらのルールに従って、Citrix Endpoint Managementの資格情報プロバイダー構成は以下を決定します。

証明書のソース。
証明書を取得する方法：新しい証明書に署名するか、既存の証明書とキーペアをフェッチ（回復）します。
発行または回復のパラメーター：たとえば、キーサイズ、キーアルゴリズム、証明書拡張機能などの証明書署名要求（CSR）パラメーター。
証明書がデバイスに配信される方法。
失効条件：管理関係が切断されるとCitrix Endpoint Management内のすべての証明書が失効しますが、構成でより早い失効を指定できます。たとえば、関連するデバイス構成が削除されたときに証明書を失効させるように構成で指定できます。また、特定の条件下では、Citrix Endpoint Management内の関連する証明書の失効がバックエンドの公開鍵インフラストラクチャ（PKI）に送信される場合があります。つまり、Citrix Endpoint Managementでの証明書の失効がPKIでの証明書の失効を引き起こす可能性があります。
更新設定：特定の資格情報プロバイダーを介して取得された証明書は、有効期限が近づくと自動的に更新できます。または、その状況とは別に、有効期限が近づいたときに通知を発行することもできます。

構成オプションの可用性は、主に資格情報プロバイダーに選択するPKIエンティティのタイプと発行方法によって異なります。

証明書の発行方法

署名によって証明書を取得できます。これは発行方法として知られています。

この方法では、発行には新しい秘密鍵の作成、CSRの作成、および署名のためにCSRを認証局（CA）に提出することが含まれます。Citrix Endpoint Managementは、MS証明書サービスエンティティと裁量CAエンティティの両方で署名方法をサポートしています。

資格情報プロバイダーは、署名発行方法を使用します。

証明書の配信

Citrix Endpoint Managementでは、証明書の配信モードとして、集中型と分散型の2種類が利用可能です。分散モードは、Simple Certificate Enrollment Protocol (SCEP) を使用し、クライアントがプロトコルをサポートしている状況 (iOSのみ) でのみ利用できます。分散モードは、一部の状況で必須です。

資格情報プロバイダーが分散型（SCEP支援）配信をサポートするには、特別な構成手順が必要です。それは、登録機関（RA）証明書の設定です。SCEPプロトコルを使用する場合、Citrix Endpoint Managementは実際の証明機関に対するデリゲート（登録者）として機能するため、RA証明書が必要です。Citrix Endpoint Managementは、そのように機能する権限があることをクライアントに証明する必要があります。その権限は、前述の証明書をCitrix Endpoint Managementにアップロードすることで確立されます。

2つの異なる証明書ロールが必要です（ただし、1つの証明書で両方の要件を満たすことができます）。RA署名とRA暗号化です。これらのロールの制約は次のとおりです。

RA署名証明書には、X.509キー使用法「デジタル署名」が必要です。
RA暗号化証明書には、X.509キー使用法「キー暗号化」が必要です。

資格情報プロバイダーのRA証明書を構成するには、証明書をCitrix Endpoint Managementにアップロードし、資格情報プロバイダーでそれらにリンクします。

資格情報プロバイダーが証明書ロール用に構成された証明書を持っている場合にのみ、分散配信をサポートすると見なされます。各資格情報プロバイダーを、集中モードを優先するか、分散モードを優先するか、または分散モードを必須とするように構成できます。実際の結果はコンテキストによって異なります。コンテキストが分散モードをサポートしていないが、資格情報プロバイダーがこのモードを要求する場合、展開は失敗します。同様に、コンテキストが分散モードを要求しているが、資格情報プロバイダーが分散モードをサポートしていない場合、展開は失敗します。その他のすべての場合において、優先設定が尊重されます。

次の表は、Citrix Endpoint Management全体でのSCEPの配布を示しています。

コンテキスト	SCEPサポート	SCEP必須
iOSプロファイルサービス	はい	はい
iOSモバイルデバイス管理登録	はい	いいえ
iOS構成プロファイル	はい	いいえ
SHTP登録	いいえ	いいえ
SHTP構成	いいえ	いいえ
Windowsタブレット登録	いいえ	いいえ
Windowsタブレットの構成	いいえ。ただし、Windows 10およびWindows 11リリースでサポートされているネットワークデバイスポリシーは除きます。	いいえ

証明書の失効

失効には3つの種類があります。

内部失効: 内部失効は、Citrix Endpoint Managementによって維持される証明書の状態に影響します。Citrix Endpoint Managementは、提示された証明書を評価する際、または証明書のOCSPステータス情報を提供する際に、この状態を考慮します。資格情報プロバイダーの構成は、さまざまな条件下でこの状態がどのように影響されるかを決定します。たとえば、資格情報プロバイダーは、証明書がデバイスから削除されたときに、証明書を失効済みとしてフラグ付けするように指定する場合があります。
外部伝播失効: Citrix Endpoint Management失効とも呼ばれるこの種類の失効は、外部PKIから取得した証明書に適用されます。資格情報プロバイダーの構成で定義された条件の下で、Citrix Endpoint Managementが内部的に証明書を失効させると、PKI上で証明書が失効します。
外部誘発失効: PKI失効とも呼ばれるこの種類の失効も、外部PKIから取得した証明書にのみ適用されます。Citrix Endpoint Managementが特定の証明書の状態を評価するたびに、Citrix Endpoint Managementはその状態についてPKIに問い合わせます。証明書が失効している場合、Citrix Endpoint Managementは内部的に証明書を失効させます。このメカニズムはOCSPプロトコルを使用します。

これら3つの種類は排他的ではなく、むしろ組み合わせて適用されます。外部失効または独立した検出が内部失効を引き起こす可能性があります。内部失効は、外部失効に影響を与える可能性があります。

証明書の更新

証明書の更新とは、既存の証明書の失効と、別の証明書の発行を組み合わせたものです。

Citrix Endpoint Managementは、発行が失敗した場合のサービス中断を避けるため、以前の証明書を失効させる前に新しい証明書を取得しようとします。分散型（SCEP対応）配信の場合、失効は証明書がデバイスに正常にインストールされた後にのみ発生します。それ以外の場合、失効は新しい証明書がデバイスに送信される前に発生します。その失効は、証明書のインストールの成否とは無関係です。

失効構成では、特定の期間（日数）を指定する必要があります。デバイスが接続すると、サーバーは証明書のNotAfter日付が現在の日付から指定された期間を引いた日付よりも後であるかどうかを確認します。証明書がその条件を満たしている場合、Citrix Endpoint Managementは証明書の更新を試みます。