証明書のアップロード、更新、および再発行
Citrix Endpoint Managementの展開に必要な証明書を一覧表示することをお勧めします。このリストを使用して、証明書の有効期限とパスワードを追跡します。この記事は、証明書のライフサイクル全体にわたる管理に役立ちます。
環境には、以下の証明書が含まれる場合があります。
-
シトリックス エンドポイント マネジメント サーバー
-
MDM FQDN用SSL証明書（XenMobile ServerからCitrix Endpoint Managementに移行した場合に必要です。それ以外の場合、Citrixがこの証明書を管理します。）
-
SAML証明書（Citrix Files用）
-
前述の証明書およびその他の内部リソース（StoreFront/Proxyなど）用のルートおよび中間CA証明書
-
iOSデバイス管理用APNs証明書
-
PKIへの接続用PKIユーザー証明書（環境で証明書ベースの認証が必要な場合に必須）
-
-
MDX ツールキット
-
Apple開発者証明書
-
Appleプロビジョニングプロファイル（アプリケーションごと）
-
Apple APNs証明書（Citrix Secure Mailで使用）
-
Androidキーストアファイル
MAM SDKはアプリをラップしないため、証明書は不要です。 -
-
ネットスケーラー ゲートウェイ
-
MDM FQDN用のSSL証明書
-
Gateway FQDN用のSSL証明書
-
ShareFile SZC FQDN用のSSL証明書
-
Exchangeロードバランシング用のSSL証明書 (オフロード構成)
-
StoreFrontロードバランシング用のSSL証明書
-
前述の証明書用のルートおよび中間CA証明書
-
注:
クライアントデバイスは、サーバー証明書を発行した認証局との信頼を確立するために、必要なルート/中間証明書を持っている必要があります。そうしないと、SSLエラー61が表示される場合があります。この問題を解決するには:
-
SSL証明書プロバイダーによって発行されたSSLルート/中間証明書ファイル (.crtまたは.cer) をダウンロードまたは取得します。通常、ルート/中間/サーバー証明書は、SSLサービスプロバイダーが提供する証明書バンドルに含まれています。
-
クライアントデバイスにルート/中間証明書をインストールします。
-
クライアントデバイスにウイルス対策ソフトウェアがインストールされている場合、そのウイルス対策ソフトウェアが証明書を信頼していることを確認してください。
証明書のアップロード
アップロードする各証明書には、その内容の概要を含む証明書テーブルのエントリがあります。証明書を必要とするPKI統合コンポーネントを構成する場合、条件を満たすサーバー証明書を選択します。たとえば、Citrix Endpoint ManagementをMicrosoft認証局 (CA) と統合するように構成したい場合があります。Microsoft CAへの接続は、クライアント証明書を使用して認証される必要があります。
Citrix Endpoint Managementは、特定の証明書の秘密キーを持っていない場合があります。同様に、Citrix Endpoint Managementは、アップロードされた証明書に秘密キーを必要としない場合があります。
このセクションでは、証明書をアップロードするための一般的な手順について説明します。クライアント証明書の作成、アップロード、および構成の詳細については、「クライアント証明書または証明書とドメイン認証」を参照してください。
証明書をアップロードするには、次の2つのオプションがあります。
-
証明書を個別にコンソールにアップロードします。
-
REST APIを使用して証明書を一括アップロードします。このオプションはiOSデバイスでのみ利用可能です。
証明書をコンソールにアップロードする際、次のことができます。
-
キーストアをインポートします。PKCS #12形式をアップロードする場合を除き、インストールするキーストアリポジトリ内のエントリを特定します。
-
証明書をインポートします。
CAが要求の署名に使用するCA証明書（秘密鍵なし）をアップロードできます。また、クライアント認証のためにSSLクライアント証明書（秘密鍵あり）をアップロードすることもできます。
Microsoft CAエンティティを構成する際、CA証明書を指定します。CA証明書であるすべてのサーバー証明書のリストからCA証明書を選択します。同様に、クライアント認証を構成する際、Citrix Endpoint Managementが秘密鍵を持つすべてのサーバー証明書のリストから選択できます。
キーストアをインポートするには
キーストアは、セキュリティ証明書のリポジトリです。設計上、キーストアには多数のエントリを含めることができます。キーストアからロードする場合、ロードしたいエントリを識別するエントリアリアスを指定する必要があります。エイリアスを指定しない場合、ストアの最初のエントリがロードされます。PKCS #12ファイルは通常1つのエントリしか持たないため、キーストアタイプとしてPKCS #12を選択した場合、エイリアスフィールドは表示されません。
-
Citrix Endpoint Managementコンソールで、コンソールの右上隅にある歯車アイコンをクリックします。検索バーを使用して、証明書設定を見つけて開きます。
-
インポートをクリックします。インポートダイアログボックスが表示されます。
-
次の設定を構成します。
-
インポート: キーストアを選択します。
証明書構成ページ(/en-us/citrix-endpoint-management/media/settings-certificates-import-keystore.png)-
キーストアの種類: ドロップダウンリストで PKCS #12 をクリックします。
-
用途: リストで、証明書の使用方法をクリックします。利用可能なオプションは次のとおりです。
-
サーバー: サーバー証明書は、Citrix Endpoint Managementによって機能的に使用される証明書です。サーバー証明書はCitrix Endpoint Management Webコンソールにアップロードします。これらの証明書には、CA証明書、RA証明書、およびインフラストラクチャの他のコンポーネントとのクライアント認証用の証明書が含まれます。また、サーバー証明書をデバイスに展開する証明書のストレージとして使用することもできます。この用途は、特にデバイスで信頼を確立するために使用されるCAに適用されます。
-
SAML: Security Assertion Markup Language (SAML) 認証により、サーバー、Webサイト、およびアプリへのSSOアクセスを提供できます。
-
APNs: AppleからのAPNs証明書は、Apple Push Networkを介したモバイルデバイス管理を可能にします。
-
SSLリスナー: Secure Sockets Layer (SSL) リスナーは、SSL暗号化アクティビティをCitrix Endpoint Managementに通知します。
-
-
キーストアファイル: インポートするキーストアを参照して見つけます。キーストアは.p12または.pfxファイルです。ファイルを選択し、開くをクリックします。
-
パスワード: 証明書に割り当てられているパスワードを入力します。
-
説明: オプションで、他のキーストアと区別するために、キーストアの説明を入力します。
-
-
インポートをクリックします。キーストアが証明書テーブルに追加されます。
証明書をインポートするには
証明書をインポートすると、Citrix Endpoint Managementは入力から証明書チェーンを構築しようとします。Citrix Endpoint Managementは、チェーン内のすべての証明書をインポートして、各証明書のサーバー証明書エントリを作成します。この操作は、ファイルまたはキーストアエントリ内の証明書がチェーンを形成している場合にのみ機能します。チェーン内の後続の各証明書は、前の証明書の発行者である必要があります。
インポートされた証明書には、オプションの説明を追加できます。説明はチェーン内の最初の証明書にのみ添付されます。残りの証明書の説明は後で更新できます。
-
Citrix Endpoint Managementコンソールで、コンソールの右上隅にある歯車アイコンをクリックします。検索バーを使用して、Certificates設定を見つけて開きます。
-
Certificatesページで、Importをクリックします。Importダイアログボックスが表示されます。以下を構成します。
-
Import: Certificateをクリックします。
-
Use as: 証明書の使用方法を選択します。利用可能なオプションは次のとおりです。
-
Server: サーバー証明書は、Citrix Endpoint Managementによって機能的に使用される証明書です。サーバー証明書はCitrix Endpoint Management Webコンソールにアップロードします。これらの証明書には、CA証明書、RA証明書、およびインフラストラクチャの他のコンポーネントとのクライアント認証用の証明書が含まれます。また、サーバー証明書をデバイスに展開する証明書のストレージとして使用することもできます。このオプションは、特にデバイス上で信頼を確立するために使用されるCAに適用されます。
-
SAML: Security Assertion Markup Language (SAML) 認証により、サーバー、Webサイト、およびアプリへのシングルサインオン (SSO) アクセスを提供できます。
-
SSL Listener: Secure Sockets Layer (SSL) リスナーは、SSL暗号化アクティビティをCitrix Endpoint Managementに通知します。
-
-
Certificate import: インポートする証明書を参照して見つけます。ファイルを選択し、Openをクリックします。
-
Private key file: 証明書用のオプションの秘密鍵ファイルを参照して見つけます。秘密鍵は、証明書とともに暗号化と復号化に使用されます。ファイルを選択し、Openをクリックします。
-
Description: オプションで、他の証明書と区別できるように、証明書の説明を入力します。
-
-
Importをクリックします。証明書が証明書テーブルに追加されます。
REST APIを使用して証明書を一括アップロードする
証明書を一度に1つずつアップロードするのは現実的でない場合があります。そのような場合は、REST APIを使用して証明書を一括アップロードします。この方法では、.p12形式の証明書がサポートされます。REST APIの詳細については、「REST API」を参照してください。
-
各証明書ファイルを
device_identity_value.p12の形式で名前変更します。device_identity_valueは、各デバイスのIMEI、シリアル番号、またはMEIDにすることができます。例として、識別方法としてシリアル番号を使用することを選択したとします。あるデバイスのシリアル番号がA12BC3D4EFGHである場合、そのデバイスにインストールする予定の証明書ファイルの名前をA12BC3D4EFGH.p12とします。 -
.p12証明書のパスワードを保存するためのテキストファイルを作成します。そのファイルに、各デバイスのデバイス識別子とパスワードを新しい行に入力します。
device_identity_value=passwordの形式を使用します。以下を参照してください。A12BC3D4EFGH.p12=password1!
A12BC3D4EFIJ.p12=password2@
A12BC3D4EFKL.p12=password3# -
作成したすべての証明書とテキストファイルを.zipファイルにまとめます。
-
REST APIクライアントを起動し、Citrix Endpoint Managementにログインして、認証トークンを取得します。
-
証明書をインポートし、メッセージ本文に以下を記述していることを確認します。
{
"alias": "",
"useAs": "device",
"uploadType": "keystore",
"keystoreType": "PKCS12",
"identityType":"SERIAL_NUMBER", # identity type can be "SERIAL_NUMBER","IMEI","MEID"
"credentialFileName":"credential.txt" # The credential file name in .zip
}
-
資格情報タイプをAlways on IKEv2に設定し、デバイス認証方法をDevice Certificate Based on Device Identityに設定して、VPNポリシーを作成します。証明書ファイル名で使用したデバイスIDタイプを選択します。VPNデバイスポリシーを参照してください。
-
iOSデバイスを登録し、VPNポリシーが展開されるのを待ちます。デバイスのMDM構成を確認して、証明書のインストールを確認します。Citrix Endpoint Managementコンソールでデバイスの詳細を確認することもできます。
削除する各証明書について
device_identity_valueをリストしたテキストファイルを作成することで、証明書を一括削除することもできます。REST APIで、削除APIを呼び出し、device_identity_valueを適切な識別子に置き換えて次のリクエストを使用します。
```
{
"identityType"="device_identity_value"
}
```
証明書の更新
Citrix Endpoint Managementでは、システム内に同時に存在する公開鍵ごとの証明書は1つのみです。既にインポートされている証明書と同じキーペアの証明書をインポートしようとすると、次のことができます。
-
既存のエントリを置き換えます。
-
エントリを削除します。
古い証明書を置き換えるために新しい証明書をアップロードした後、古い証明書を削除することはできません。PKIエンティティ設定を構成すると、両方の証明書がSSLクライアント証明書メニューに存在します。新しい証明書は、古い証明書よりもリストの下に表示されます。
証明書を更新するには
-
クライアント証明書または証明書とドメイン認証の手順に従って、代替証明書を作成します。重要：既存の秘密キーで証明書を作成するオプションは使用しないでください。期限切れの証明書を更新するために証明書を作成する場合、秘密キーも新しいものである必要があります。
-
Citrix Endpoint Managementコンソールで、コンソールの右上隅にある歯車アイコンをクリックします。検索バーを使用して、証明書設定を見つけて開きます。
-
インポートダイアログボックスで、新しい証明書をインポートします。
サーバー証明書を更新すると、以前の証明書を使用していたコンポーネントは自動的に新しい証明書を使用するように切り替わります。同様に、デバイスにサーバー証明書を展開している場合、証明書は次回の展開時に自動的に更新されます。
APNs証明書を更新するには、証明書を作成する手順を実行し、Apple Push Certificates Portalにアクセスします。詳しくは、APNs証明書を更新するを参照してください。
NetScaler GatewayがSSLオフロード用に設定されている場合は、新しいcacert.pemでロードバランサーを更新していることを確認してください。
注：
XenMobileオンプレミスからCitrix Endpoint Managementに移行し、証明書を更新している場合は、上記の手順を完了した後、Citrixサポートに連絡してください。新しい証明書のコピー（PFX形式）と証明書のパスワードを提供する必要があります。CitrixサポートがクラウドNetScalerを更新し、テナントノードを再起動して証明書の更新プロセスを完了します。
PKIサービス証明機関（CA）を更新するには
Citrix Cloud Operationsに、Citrix Endpoint Management展開内の内部PKI証明機関（CA）を更新または再生成するよう要求できます。これらの要求については、テクニカルサポートケースを開いてください。
When the new CAs are available, Cloud Operations lets you know that you can proceed with renewing the device certificates for your users.
デバイス証明書を更新する
デバイス上の証明書の有効期限が切れると、その証明書は無効になります。環境で安全なトランザクションを実行できなくなり、Citrix Endpoint Managementリソースにアクセスできなくなります。認証局 (CA) は、有効期限が切れる前にSSL証明書を更新するように促します。証明書を更新するには、前述の手順を実行し、登録済みデバイスで証明書の更新を開始します。
サポートされているiOS、macOS、およびAndroidデバイスの場合、セキュリティアクションの「証明書の更新」を通じて証明書の更新を開始できます。Citrix Endpoint ManagementコンソールまたはパブリックREST APIからデバイス証明書を更新します。登録済みのWindowsデバイスの場合、ユーザーは新しいデバイス認証局 (CA) を受け取るためにデバイスを再登録する必要があります。
デバイスが次回Citrix Endpoint Managementに接続するときに、Citrix Endpoint Managementサーバーは新しいCAに基づいて新しいデバイス証明書を発行します。
REST APIを使用してデバイス証明書を更新するには
Citrix Endpoint Managementは、PKIのために内部的に次の認証局 (CA) を使用します: ルートCA、デバイスCA、およびサーバーCA。これらのCAは論理グループであり、グループ名を持っています。Citrix Endpoint Managementのプロビジョニング中に、サーバーは3つのCAを生成し、それらに「default」というグループ名を付けます。
CA は、デバイス証明書を管理および更新するために次の API を発行します。すでに登録されているデバイスは、中断することなく動作し続けます。Citrix Endpoint Management は、デバイスがサーバーに再接続したときにデバイス証明書を発行します。詳細については、Public API for REST Services PDF をダウンロードしてください。
-
古い CA をまだ使用しているデバイスのリストを返します (Public API for REST Services PDF のセクション 3.16.2 を参照)。
-
デバイス証明書の更新 (セクション 3.16.58 を参照)
-
すべての CA グループを取得 (セクション 3.23.1 を参照)
Citrix Secure Mail 用 APNs 証明書
Apple Push Notification Service (APNs) 証明書は毎年期限切れになります。証明書の期限が切れる前に、APNs SSL 証明書を作成し、Citrix ポータルで更新してください。証明書の期限が切れると、ユーザーは Citrix Secure Mail のプッシュ通知で不整合に直面します。また、アプリのプッシュ通知を送信できなくなります。
iOS デバイス管理用 APNs 証明書
Citrix Endpoint Management で iOS デバイスを登録および管理するには、Apple から APNs 証明書を設定および作成します。証明書の期限が切れると、ユーザーは Citrix Endpoint Management に登録できなくなり、iOS デバイスを管理できなくなります。詳細については、APNs certificates を参照してください。
Apple Push Certificates Portal にログオンすると、APNs 証明書のステータスと有効期限を表示できます。証明書を作成したのと同じユーザーとしてログオンしてください。
また、有効期限の 30 日前と 10 日前に Apple からメール通知が届きます。通知には次の情報が含まれます。
The following Apple Push Notification Service certificate, created for Apple ID CustomerID will expire on Date. Revoking or allowing this certificate to expire will require existing devices to be re-enrolled with a new push certificate.
Please contact your vendor to generate a new request (a signed CSR), then visit https://identity.apple.com/pushcert to renew your Apple Push Notification Service certificate.
Thank You,
Apple Push Notification Service
MDX Toolkit (iOS 配布証明書)
物理的な iOS デバイスで実行されるアプリ (Apple App Store のアプリを除く) には、次の署名要件があります。
-
プロビジョニングプロファイルでアプリに署名します。
-
対応する配布証明書でアプリに署名します。
有効な iOS 配布証明書があることを確認するには、次の手順を実行します。
-
Apple Enterprise Developer portal から、MDX でラップする各アプリの明示的な App ID を作成します。許容される App ID の例は次のとおりです:
com.CompanyName.ProductName。 -
Apple Enterprise Developer portal から、Provisioning Profiles > Distribution に移動し、社内プロビジョニングプロファイルを作成します。前の手順で作成した各 App ID について、この手順を繰り返します。
-
すべてのプロビジョニングプロファイルをダウンロードします。詳細については、「Wrapping iOS Mobile Apps」を参照してください。
すべての Citrix Endpoint Management サーバー証明書が有効であることを確認するには、次の手順を実行します。
-
Citrix Endpoint Management コンソールで、Settings > Certificates をクリックします。
-
APNs、SSL Listener、Root、および Intermediate 証明書を含むすべての証明書が有効であることを確認します。
Android キーストア
キーストアは、Android アプリの署名に使用される証明書を含むファイルです。キーの有効期間が終了すると、ユーザーはアプリの新しいバージョンにシームレスにアップグレードできなくなります。
ネットスケーラー ゲートウェイ
NetScaler Gateway の証明書の有効期限の処理方法の詳細については、Citrix Support Knowledge Center の「How to handle certificate expiry on NetScaler」を参照してください。
有効期限が切れた NetScaler Gateway 証明書は、ユーザーが登録して Store にアクセスするのを妨げます。また、有効期限が切れた証明書は、Citrix Secure Mail を使用している場合にユーザーが Exchange Server に接続するのを妨げます。さらに、ユーザーは HDX アプリを列挙して開くことができません (どの証明書が有効期限切れになったかによって異なります)。
Expiry Monitor と Command Center は、NetScaler Gateway 証明書を追跡するのに役立ちます。証明書の有効期限が切れると、Center が通知します。これらのツールは、次の NetScaler Gateway 証明書を監視するのに役立ちます。
-
MDM FQDN 用 SSL 証明書
-
Gateway FQDN 用 SSL 証明書
-
ShareFile SZC FQDN 用 SSL 証明書
-
Exchangeロードバランシング用SSL証明書 (オフロード構成)
-
StoreFrontロードバランシング用SSL証明書
-
上記の証明書用のルートおよび中間CA証明書