Exchange ActiveSync 用 NetScaler Gateway コネクタ

最終公開日 : Nov 02, 2026
XenMobile NetScaler Connector は、Exchange ActiveSync 用 NetScaler Gateway コネクタになりました。Citrix 統合ポートフォリオの詳細については、Citrix 製品ガイドを参照してください。
Exchange ActiveSync 用コネクタは、Exchange ActiveSync プロトコルのリバースプロキシとして機能する NetScaler Gateway に対して、ActiveSync クライアントのデバイスレベルの認証サービスを提供します。認証は、以下の組み合わせによって制御します。
  • Citrix Endpoint Management で定義するポリシー
  • Exchange ActiveSync 用 NetScaler Gateway コネクタによってローカルで定義されるルール
詳しくは、ActiveSync Gatewayを参照してください。
詳細なリファレンスアーキテクチャ図については、アーキテクチャを参照してください。
Exchange ActiveSync 用 NetScaler Gateway コネクタの現在のバージョンは 8.5.3 です。
コネクタをダウンロードするには：
  1. <https://www.citrix.com/downloads>にアクセスします。
  2. Citrix Endpoint Management (and Citrix XenMobile Server) > XenMobile Server (オンプレミス) > プロダクト ソフトウェア > XenMobile Server 10 > サーバー コンポーネント に移動します。
  3. NetScaler Gateway Connector タイルで、Download File をクリックします。
コネクタをインストールするには、Exchange ActiveSync 用 NetScaler Gateway コネクタのインストールを参照してください。
重要：
2022年10月以降、Microsoft がこちらで発表した認証変更により、Citrix Endpoint Management および Exchange ActiveSync 用 NetScaler Gateway コネクタは Exchange Online をサポートしなくなります。Exchange 用 Citrix Endpoint Management コネクタは、Microsoft Exchange Server (オンプレミス) で引き続き動作します。

バージョン 8.5.3 の新機能

  • このリリースでは、ActiveSync プロトコル 16.0 および 16.1 のサポートが追加されました。
  • Google Analytics に送信される分析情報、特にスナップショットに関する詳細が追加されました。

以前のバージョンの新機能

注：
以下の「新機能」セクションでは、Exchange ActiveSync 用 NetScaler Gateway コネクタを旧称の XenMobile NetScaler Connector と呼んでいます。この名称はバージョン 8.5.2 から変更されました。

バージョン 8.5.2 の新機能

  • XenMobile NetScaler Connector は、Exchange ActiveSync 用 NetScaler Gateway コネクタになりました。
このバージョンでは、以下の問題が修正されています。
  • ポリシー規則の定義に複数の条件が使用され、その条件にユーザー ID が含まれる場合、次の問題が発生する可能性があります。ユーザーが複数のエイリアスを持っている場合、規則の適用時にエイリアスもチェックされません。

バージョン 8.5.1.11 の新機能

  • システム要件の変更: 現在のバージョンの NetScaler Connector には、Microsoft .NET Framework 4.5 が必要です。
  • Google Analytics のサポート: お客様がコネクタをどのように使用しているかを知ることで、製品をより良くできる点に注力したいと考えています。
  • TLS 1.1 および 1.2 のサポート: セキュリティの脆弱化のため、PCI Council は TLS 1.0 および TLS 1.1 を非推奨にしています。XenMobile NetScaler Connector に TLS 1.2 のサポートが追加されました。

Exchange ActiveSync 用 NetScaler Gateway コネクタの監視

Exchange ActiveSync 用 NetScaler Gateway コネクタの構成ユーティリティは、詳細なログを提供します。ログを使用して、Secure Mobile Gateway が許可またはブロックする、Exchange Server を通過するすべてのトラフィックを表示できます。
ログタブを使用して、承認のために Exchange ActiveSync 用コネクタに転送された ActiveSync リクエストの履歴を表示します。
また、Exchange ActiveSync Web サービス用コネクタが実行されていることを確認するには、コネクタサーバーのブラウザに次の URL を読み込みます https://<host:port>/services/ActiveSync/Version。URL が製品バージョンを文字列として返した場合、Web サービスは応答しています。

Exchange ActiveSync 用コネクタで ActiveSync トラフィックをシミュレートするには

NetScaler Gateway connector for Exchange ActiveSync を使用して、ポリシーで ActiveSync トラフィックをシミュレートできます。コネクタ構成ユーティリティで、シミュレータータブをクリックします。結果には、構成したルールに従ってポリシーがどのように適用されるかが表示されます。

Exchange ActiveSync 用コネクタのフィルターを選択する

NetScaler Gateway connector for Exchange ActiveSync のフィルターは、特定のポリシー違反またはプロパティ設定についてデバイスを分析することで機能します。デバイスが基準を満たしている場合、そのデバイスはデバイスリストに配置されます。このデバイスリストは、許可リストでもブロックリストでもありません。定義された基準を満たすデバイスのリストです。Citrix Endpoint Management 内の Exchange ActiveSync 用コネクタには、次のフィルターが利用可能です。各フィルターの2つのオプションは、許可または拒否です。
  • 匿名デバイス: Citrix Endpoint Management に登録されているが、ユーザーのIDが不明なデバイスを許可または拒否します。たとえば、登録済みユーザーのActive Directoryパスワードの期限が切れている場合や、資格情報が不明な場合、そのユーザーのIDは不明です。
  • 禁止アプリ: ポリシーのブロックリストで定義されたデバイスリストと、ブロックリスト上のアプリの存在に基づいてデバイスを許可または拒否します。
  • 暗黙的な許可/拒否: 他のどのフィルター規則の基準も満たさないすべてのデバイスのデバイスリストを作成し、そのリストに基づいて許可または拒否します。暗黙的な許可/拒否オプションは、 タブの Exchange ActiveSync 用コネクタのステータスが有効になっており、デバイスのコネクタステータスが表示されることを確認します。暗黙的な許可/拒否オプションは、選択されていない他のすべてのコネクタフィルターも制御します。たとえば、コネクタはブロックリスト上のアプリを拒否します。ただし、暗黙的な許可/拒否オプションが許可に設定されているため、コネクタは他のすべてのフィルターを許可します。
  • 非アクティブなデバイス: 指定された時間内に Citrix Endpoint Management と通信していないデバイスのデバイスリストを作成します。これらのデバイスは非アクティブと見なされます。フィルターは、それに応じてデバイスを許可または拒否します。
  • 不足している必須アプリ: ユーザーが登録すると、インストールする必要がある必須アプリのリストを受け取ります。不足している必須アプリフィルターは、1つ以上のアプリが存在しなくなったことを示します。たとえば、ユーザーが1つ以上のアプリを削除した場合などです。
  • 推奨されないアプリ: ユーザーが登録すると、インストールするアプリのリストを受け取ります。推奨されないアプリフィルターは、そのリストにないアプリをデバイスで確認します。
  • 非準拠パスワード: デバイスにパスコードがないすべてのデバイスのデバイスリストを作成します。
  • コンプライアンス違反デバイス: 独自の内部ITコンプライアンス基準を満たすデバイスを拒否または許可できます。コンプライアンスは、TrueまたはFalseのいずれかになるブール型フラグである「Out of Compliance」という名前のデバイスプロパティによって定義される任意の設置です。（このプロパティは手動で作成して値を設定できます。または、自動アクションを使用して、デバイスが特定の基準を満たしているかどうかに基づいて、デバイス上にこのプロパティを作成することもできます。）
    • 準拠違反 = True: デバイスがIT部門によって設定された準拠基準およびポリシー定義を満たしていない場合、そのデバイスは準拠違反となります。
    • 準拠違反 = False: デバイスがIT部門によって設定された準拠基準およびポリシー定義を満たしている場合、そのデバイスは準拠しています。
  • 取り消し済みステータス: 取り消し済みのすべてのデバイスのデバイスリストを作成し、取り消し済みステータスに基づいて許可または拒否します。
  • ルート化されたAndroid/ジェイルブレイクされたiOSデバイス: ルート化済みとしてフラグ付けされたすべてのデバイスのデバイスリストを作成し、ルート化済みステータスに基づいて許可または拒否します。
  • 管理対象外デバイス: Citrix Endpoint Managementデータベース内のすべてのデバイスのデバイスリストを作成します。モバイルアプリケーションゲートウェイをブロックモードで展開します。

Exchange ActiveSync 用 NetScaler Gateway コネクタへの接続を構成するには

Exchange ActiveSync 用 NetScaler Gateway コネクタは、Citrix Secure Web Services を介して Citrix Endpoint Management およびその他のリモート構成プロバイダーと通信します。
  1. Exchange ActiveSync 構成ユーティリティのコネクタで、Config Providers タブをクリックし、Add をクリックします。
  2. Config Providers ダイアログボックスの Name に、管理者権限を持ち、Citrix Endpoint Managementサーバーとの基本的なHTTP認証に使用されるユーザー名を入力します。
  3. Url に、Citrix Endpoint Management GCS の Web アドレスを入力します。通常、形式は https://<FQDN>/<instanceName>/services/<MagConfigService> です。MagConfigService の名前は大文字と小文字を区別します。
  4. Password に、Citrix Endpoint Managementサーバーとの基本的なHTTP認証に使用するパスワードを入力します。
  5. Managing Host に、Exchange ActiveSync サーバー名のコネクタを入力します。
  6. Baseline Interval に、Citrix Endpoint Management から新しく更新された動的ルールセットをプルする期間を指定します。
  7. Delta interval に、動的ルールの更新をプルする期間を指定します。
  8. Request Timeout に、サーバー要求のタイムアウト間隔を指定します。
  9. 「Config Provider」で、構成プロバイダーサーバーインスタンスがポリシー構成を提供しているかどうかを選択します。
  10. 「Events Enabled」で、Exchange ActiveSync 用コネクタがデバイスがブロックされたときに Citrix Endpoint Management に通知するようにする場合は、このオプションを有効にします。Citrix Endpoint Management の自動アクションでコネクタルールを使用している場合、このオプションは必須です。
  11. 「Save」をクリックし、次に「Test Connectivity」をクリックして、ゲートウェイと構成プロバイダー間の接続をテストします。接続に失敗した場合は、ローカルファイアウォール設定が接続を許可しているか確認するか、管理者に問い合わせてください。
  12. 接続が成功したら、「Disabled」チェックボックスをオフにして、「Save」をクリックします。
構成プロバイダーを追加すると、Exchange ActiveSync 用コネクタは、そのプロバイダーに関連付けられた1つ以上のポリシーを自動的に作成します。NewPolicyTemplate セクションの config\policyTemplates.xml に含まれるテンプレート定義がポリシーを定義します。このセクション内で定義されているポリシー要素ごとに、新しいポリシーが作成されます。
次の条件が満たされている場合、オペレーターはポリシー要素を追加、削除、または変更できます。ポリシー要素がスキーマ定義に準拠しており、標準の置換文字列（中括弧で囲まれたもの）が変更されていないこと。次に、プロバイダーの新しいグループを追加し、新しいグループを含めるようにポリシーを更新します。

Citrix Endpoint Management からポリシーをインポートするには

  1. Exchange ActiveSync 構成ユーティリティのコネクタで、「Config Providers」タブをクリックし、「Add」をクリックします。
  2. 「Config Providers」ダイアログボックスの「Name」に、Citrix Endpoint Management との基本 HTTP 認証用のユーザー名を入力します。このユーザーは管理者権限を持っている必要があります。
  3. 「Url」に、Citrix Endpoint Management Gateway Configuration Service (GCS) の Web アドレスを入力します。通常、形式は https://<xdmHost>/xdm/services/<MagConfigService> です。MagConfigService の名前は大文字と小文字を区別します。
  4. 「Password」に、Citrix Endpoint Management サーバーとの基本 HTTP 認証に使用するパスワードを入力します。
  5. 「Test Connectivity」をクリックして、ゲートウェイと構成プロバイダー間の接続をテストします。接続に失敗した場合は、ローカルファイアウォール設定が接続を許可しているか確認するか、管理者に確認してください。
  6. 接続が正常に確立されたら、「Disabled」チェックボックスをオフにして、「Save」をクリックします。
  7. 「Managing Host」では、ローカルホストコンピューターのデフォルトの DNS 名をそのままにします。この設定は、複数の Forefront Threat Management Gateway (TMG) サーバーがアレイで構成されている場合に、Citrix Endpoint Management との通信を調整するために使用されます。
    設定を保存したら、GCS を開きます。

NetScaler Gateway connector for Exchange ActiveSync のポリシーモードの構成

NetScaler Gateway connector for Exchange ActiveSync は、次の6つのモードで実行できます。
  • すべて許可: このポリシーモードは、Exchange ActiveSync 用コネクタを通過するすべてのトラフィックへのアクセスを許可します。他のフィルタリングルールは使用されません。
  • すべて拒否: このポリシーモードは、Exchange ActiveSync 用コネクタを通過するすべてのトラフィックへのアクセスをブロックします。他のフィルタリングルールは使用されません。
  • 静的ルール: ブロックモード: このポリシーモードは、最後に暗黙的な拒否またはブロックステートメントを含む静的ルールを実行します。Exchange ActiveSync 用コネクタは、他のフィルタールールによって許可または許可されていないデバイスをブロックします。
  • 静的ルール: 許可モード: このポリシーモードは、最後に暗黙的な許可ステートメントを含む静的ルールを実行します。他のフィルタールールによってブロックまたは拒否されていないデバイスは、Exchange ActiveSync 用コネクタを介して許可されます。
  • 静的 + ZDM ルール: ブロックモード。このポリシーモードは、最初に静的ルールを実行し、次にCitrix Endpoint Managementからの動的ルールを、最後に暗黙的な拒否またはブロックステートメントとともに実行します。デバイスは、定義されたフィルターとCitrix Endpoint Managementルールに基づいて許可または拒否されます。定義されたフィルターとルールに一致しないデバイスはすべてブロックされます。
  • 静的 + ZDM ルール: 許可モード。このポリシーモードは、最初に静的ルールを実行し、次にCitrix Endpoint Managementからの動的ルールを、最後に暗黙的な許可ステートメントとともに実行します。デバイスは、定義されたフィルターとCitrix Endpoint Managementルールに基づいて許可または拒否されます。定義されたフィルターとルールに一致しないデバイスはすべて許可されます。
Exchange ActiveSync プロセス用コネクタは、Citrix Endpoint Management から受信した iOS および Windows ベースのモバイルデバイスの一意の ActiveSync ID に基づいて、動的ルールを許可またはブロックします。Android デバイスは製造元によって動作が異なり、一意の ActiveSync ID を容易に公開しないものもあります。これを補うため、Citrix Endpoint Management は Android デバイスのユーザー ID 情報を送信して、許可またはブロックの決定を行います。その結果、ユーザーが Android デバイスを1台しか持っていない場合、許可とブロックは正常に機能します。ユーザーが複数の Android デバイスを持っている場合、Android デバイスを区別できないため、すべてのデバイスが許可されます。既知の場合、ActiveSyncID によってこれらのデバイスを静的にブロックするようにゲートウェイを構成できます。また、デバイスの種類またはユーザーエージェントに基づいてブロックするようにゲートウェイを構成することもできます。
ポリシーモードを指定するには、SMG Controller Configuration ユーティリティで、次の手順を実行します。
  1. Path Filters タブをクリックし、次に Add をクリックします。
  2. Path Properties ダイアログボックスで、Policy リストからポリシーモードを選択し、次に Save をクリックします。
構成ユーティリティの Policies タブでルールを確認できます。ルールは、Exchange ActiveSync 用コネクタで上から下へ処理されます。許可ポリシーは緑色のチェックマークで表示されます。拒否ポリシーは、線が引かれた赤い丸で表示されます。画面を更新して最新のルールを表示するには、Refresh をクリックします。config.xml ファイルでルールの順序を変更することもできます。
ルールをテストするには、Simulator タブをクリックします。フィールドに値を指定します。値はログから取得できます。結果メッセージには、許可またはブロックが指定されます。

静的ルールを構成するには

ActiveSync接続のHTTPリクエストのISAPIフィルタリングが読み取る値で静的ルールを入力します。静的ルールにより、Exchange ActiveSync用コネクタは次の基準でトラフィックを許可またはブロックできます。
  • ユーザー: Exchange ActiveSync用コネクタは、デバイス登録中に取得された認証済みユーザーの値と名前の構造を使用します。この構造は、LDAP経由でActive Directoryに接続されたCitrix Endpoint Managementを実行しているサーバーによって参照されるdomain\usernameとして一般的に見られます。コネクタ構成ユーティリティのログタブには、コネクタを通過する値が表示されます。コネクタが値の構造を決定する必要がある場合、または構造が異なる場合に、値が渡されます。
  • DeviceID (ActiveSyncID): 接続されているデバイスのActiveSyncIDとしても知られています。この値は、Citrix Endpoint Managementコンソールの特定のデバイスプロパティページで一般的に見られます。この値は、Exchange ActiveSync構成ユーティリティのコネクタのログタブからも確認できます。
  • DeviceType: Exchange ActiveSync用コネクタは、デバイスがiPhone、iPad、またはその他のデバイスタイプであるかを判断し、その基準に基づいて許可またはブロックできます。他の値と同様に、コネクタ構成ユーティリティは、ActiveSync接続のために処理されているすべての接続済みデバイスタイプを明らかにできます。
  • UserAgent: 使用されているActiveSyncクライアントに関する情報が含まれます。通常、指定された値は、モバイルデバイスプラットフォームの特定のオペレーティングシステムのビルドとバージョンに対応します。
サーバー上で実行されているExchange ActiveSync構成ユーティリティのコネクタが、常に静的ルールを管理します。
  1. SMG Controller Configurationユーティリティで、Static Rulesタブをクリックし、Addをクリックします。
  2. Static Rule Propertiesダイアログボックスで、基準として使用する値を指定します。たとえば、ユーザー名（例：AllowedUser）を入力してアクセスを許可するユーザーを入力し、Disabledチェックボックスをオフにすることができます。
  3. Saveをクリックします。
    静的ルールが有効になりました。また、正規表現を使用して値を定義することもできますが、その場合はconfig.xmlファイルでルール処理モードを有効にする必要があります。

動的ルールを構成するには

Citrix Endpoint Managementのデバイスポリシーとプロパティは動的ルールを定義し、Exchange ActiveSyncフィルター用の動的コネクタをトリガーできます。トリガーは、ポリシー違反またはプロパティ設定の有無に基づいています。Exchange ActiveSync用コネクタフィルターは、特定のポリシー違反またはプロパティ設定についてデバイスを分析することで機能します。デバイスが基準を満たしている場合、そのデバイスはデバイスリストに配置されます。このデバイスリストは、許可リストでもブロックリストでもありません。定義された基準を満たすデバイスのリストです。以下の構成オプションを使用すると、Exchange ActiveSync用コネクタを使用して、デバイスリスト内のデバイスを許可するか拒否するかを定義できます。
注：
動的ルールを構成するには、Citrix Endpoint Managementコンソールを使用します。
  1. Citrix Endpoint Managementコンソールで、右上隅の歯車アイコンをクリックします。Settingsページが表示されます。
  2. 「サーバー」の下で、「ActiveSync Gateway」をクリックします。ActiveSync Gatewayページが表示されます。
  3. 「次のルールをアクティブ化」で、アクティブ化するルールを1つ以上選択します。
  4. Androidのみの場合、「AndroidドメインユーザーをActiveSync Gatewayに送信」で「はい」をクリックして、Citrix Endpoint ManagementがAndroidデバイス情報をSecure Mobile Gatewayに送信するようにします。
    このオプションを有効にすると、Citrix Endpoint ManagementがデバイスユーザーのActiveSync識別子を持っていない場合、Citrix Endpoint ManagementはAndroidデバイス情報をコネクタに送信します。

Exchange ActiveSync XMLファイルのコネクタを編集してカスタムポリシーを構成するには

Exchange ActiveSync構成ユーティリティのコネクタの「ポリシー」タブで、デフォルト構成の基本ポリシーを表示できます。カスタムポリシーを作成する場合は、Exchange ActiveSync XML構成ファイル (config\config.xml) のNetScaler Gatewayコネクタを編集できます。
  1. ファイル内の「PolicyList」セクションを見つけ、新しい「Policy」要素を追加します。
  2. 新しいグループも必要な場合（たとえば、別の静的グループや別のGCPをサポートするグループなど）は、新しい「Group」要素を「GroupList」セクションに追加します。
  3. 必要に応じて、「GroupRef」要素を並べ替えることで、既存のポリシー内のグループの順序を変更できます。

Exchange ActiveSync XMLファイルのコネクタの構成

Exchange ActiveSync用コネクタは、コネクタの動作を指示するためにXML構成ファイルを使用します。他のエントリの中でも、このファイルは、HTTPリクエストを評価する際にフィルターが実行するグループファイルと関連アクションを指定します。デフォルトでは、ファイル名はconfig.xmlで、次の場所にあります: ..\Program Files\Citrix\XenMobile NetScaler Connector\config\.

GroupRefノード

GroupRefノードは論理グループ名を定義します。デフォルトはAllowGroupとDenyGroupです。
注：
GroupRefListノードに表示されるGroupRefノードの順序は重要です。
GroupRefノードのID値は、特定のユーザーアカウントまたはデバイスを照合するために使用されるメンバーの論理コンテナまたはコレクションを識別します。アクション属性は、フィルターがコレクション内のルールに一致するメンバーをどのように処理するかを指定します。たとえば、AllowGroupセットのルールに一致するユーザーアカウントまたはデバイスは「パス」します。パスするとは、Exchange CASへのアクセスが許可されることを意味します。DenyGroupセットのルールに一致するユーザーアカウントまたはデバイスは「拒否」されます。拒否されるとは、Exchange CASへのアクセスが許可されないことを意味します。
特定のユーザーアカウント/デバイスまたはその組み合わせが両方のグループのルールを満たす場合、リクエストの結果を決定するために優先順位の規則が使用されます。優先順位は、config.xmlファイル内のGroupRefノードの順序（上から下）に具現化されます。GroupRefノードは優先順位順にランク付けされます。Allowグループ内の特定の条件に対するルールは、常にDenyグループ内の同じ条件に対するルールよりも優先されます。

グループノード

また、config.xmlはグループノードを定義します。これらのノードは、論理コンテナであるAllowGroupとDenyGroupを外部XMLファイルにリンクします。外部ファイルに保存されているエントリは、フィルター規則の基礎となります。
注：
このバージョンでは、外部XMLファイルのみがサポートされています。
デフォルトのインストールでは、構成に2つのXMLファイル（allow.xmlとdeny.xml）が実装されます。

Exchange ActiveSync 用 NetScaler Gateway コネクタの構成

Exchange ActiveSync 用 NetScaler Gateway コネクタを構成して、次のプロパティに基づいてActiveSyncリクエストを選択的にブロックまたは許可できます。Active Sync Service ID、デバイスの種類、ユーザーエージェント（デバイスのオペレーティングシステム）、承認済みユーザー、およびActiveSyncコマンド。
デフォルトの構成では、静的グループと動的グループの組み合わせがサポートされています。静的グループは、SMG Controller Configurationユーティリティを使用して維持します。静的グループは、特定のユーザーエージェントを使用するすべてのデバイスなど、既知のデバイスカテゴリで構成できます。
Gateway Configuration Providerと呼ばれる外部ソースが動的グループを維持します。Exchange ActiveSync用コネクタは、定期的にグループを接続します。Citrix Endpoint Managementは、許可されたデバイスとブロックされたデバイスおよびユーザーのグループをExchange ActiveSync用コネクタにエクスポートできます。
Gateway Configuration Providerと呼ばれる外部ソースが動的グループを維持します。Exchange ActiveSync用コネクタは、動的グループを定期的に収集します。Citrix Endpoint Managementは、許可されたデバイスとブロックされたデバイスおよびユーザーのグループをコネクタにエクスポートできます。
ポリシーは、各グループに関連付けられたアクション（許可またはブロック）とグループメンバーのリストを持つ、順序付けられたグループのリストです。ポリシーには任意の数のグループを含めることができます。ポリシー内のグループの順序は重要です。なぜなら、一致が見つかるとそのグループのアクションが実行され、後続のグループは評価されないためです。
メンバーは、リクエストのプロパティを照合する方法を定義します。デバイスIDなどの単一のプロパティ、またはデバイスタイプやユーザーエージェントなどの複数のプロパティを照合できます。

Exchange ActiveSync 用 NetScaler Gateway コネクタのセキュリティモデルの選択

セキュリティモデルの確立は、あらゆる規模の組織にとって、モバイルデバイスの展開を成功させるために不可欠です。デフォルトでユーザー、コンピューター、またはデバイスへのアクセスを許可するために、保護されたネットワーク制御または隔離されたネットワーク制御を使用するのが一般的です。この方法は常に理想的であるとは限りません。ITセキュリティを管理するすべての組織は、モバイルデバイスのセキュリティに対して、わずかに異なる、またはカスタマイズされたアプローチを持っている可能性があります。
同じ論理がモバイルデバイスのセキュリティにも当てはまります。許可モデルを使用することは、多数のモバイルデバイスと種類、ユーザーあたりのモバイルデバイス、および利用可能なオペレーティングシステムプラットフォームとアプリがあるため、弱い選択肢です。ほとんどの組織では、制限モデルが最も論理的な選択肢です。
CitrixがExchange ActiveSync用コネクタをCitrix Endpoint Managementと統合するために許可する構成シナリオは次のとおりです。

許可モデル (許可モード)

許可セキュリティモデルは、デフォルトですべてが許可されるか、アクセスが許可されるという前提で動作します。ルールとフィルタリングによってのみ、何かがブロックされ、制限が適用されます。許可セキュリティモデルは、モバイルデバイスに関するセキュリティ上の懸念が比較的緩い組織に適しています。このモデルは、適切な場合にのみアクセスを拒否するための制限的な制御を適用します (ポリシー規則が失敗した場合)。

制限モデル (ブロックモード)

制限セキュリティモデルは、デフォルトでは何も許可されない、またはアクセスが許可されないという前提に基づいています。セキュリティチェックポイントを通過するすべてのものはフィルタリングおよび検査され、アクセスを許可するルールが通過しない限り、アクセスは拒否されます。制限セキュリティモデルは、モバイルデバイスに関するセキュリティ基準が比較的厳しい組織に適しています。このモードは、アクセスを許可するすべてのルールが通過した場合にのみ、ネットワークサービスでの使用と機能へのアクセスを許可します。

Exchange ActiveSync用NetScaler Gatewayコネクタの管理

Exchange ActiveSync 用 NetScaler Gateway コネクタを使用して、アクセス制御ルールを構築できます。これらのルールは、管理対象デバイスからの ActiveSync 接続要求へのアクセスを許可またはブロックします。アクセスは、デバイスの状態、アプリの許可/ブロックリスト、およびその他のコンプライアンス条件に基づいています。
Exchange ActiveSync構成ユーティリティ用コネクタを使用すると、企業の電子メールポリシーを適用する動的および静的ルールを構築できます。これらのルールとポリシーにより、コンプライアンス基準に違反しているユーザーをブロックできます。また、電子メール添付ファイルの暗号化を設定して、Exchange Serverを介して管理対象デバイスに渡されるすべての添付ファイルが暗号化されるようにすることもできます。暗号化された添付ファイルは、管理対象デバイスを持つ承認されたユーザーのみが表示できます。

XNCをアンインストールするには

  1. 管理者アカウントでXncInstaller.exeを実行します。
  2. 画面の指示に従ってアンインストールを完了します。

Exchange ActiveSync用コネクタをインストール、アップグレード、またはアンインストールするには

  1. 管理者アカウントでXncInstaller.exeを実行して、Exchange ActiveSync用コネクタをインストールするか、既存のコネクタのアップグレードまたは削除を許可します。
  2. 画面の指示に従って、インストール、アップグレード、またはアンインストールを完了してください。
Exchange ActiveSync 用コネクタをインストールした後、Citrix Endpoint Management 構成サービスと通知サービスを手動で再起動する必要があります。

Exchange ActiveSync 用 NetScaler Gateway コネクタのインストール

Exchange ActiveSync 用コネクタは、専用のサーバーにインストールすることも、Citrix Endpoint Management をインストールしたサーバーと同じサーバーにインストールすることもできます。
次の理由により、Exchange ActiveSync 用コネクタを専用のサーバー (Citrix Endpoint Management とは別) にインストールすることを検討できます。
  • Citrix Endpoint Management サーバーがクラウドにリモートでホストされている場合 (物理的な場所)
  • Citrix Endpoint Management サーバーの再起動が Exchange ActiveSync 用コネクタに影響を与えないようにしたい場合 (可用性)
  • サーバーのシステムリソースをすべて Exchange ActiveSync 用コネクタに割り当てたい場合 (パフォーマンス)
Exchange ActiveSync 用コネクタがサーバーにかける CPU 負荷は、管理されるデバイスの数によって異なります。コネクタが Citrix Endpoint Management と同じサーバーに展開されている場合、CPU コアをもう 1 つ追加することが一般的な推奨事項です。多数のデバイス (50,000 を超える) の場合、クラスター環境がない場合は、より多くのコアをプロビジョニングする必要があるかもしれません。コネクタのメモリフットプリントは、より多くのメモリを必要とするほど重要ではありません。

Exchange ActiveSync 用 NetScaler Gateway コネクタのシステム要件

Exchange ActiveSync 用 NetScaler Gateway コネクタは、NetScaler Gateway アプライアンスで構成された SSL ブリッジを介して NetScaler Gateway と通信します。このブリッジにより、アプライアンスはすべてのセキュアなトラフィックを Citrix Endpoint Management に直接ブリッジできます。Exchange ActiveSync 用コネクタの最小システム構成は次のとおりです。
コンポーネント 要件
コンピューターとプロセッサー 733 MHz Pentium III 733 MHz 以上のプロセッサー。2.0 GHz Pentium III 以上のプロセッサー (推奨)
シトリックス ゲートウェイ ソフトウェアバージョン10のCitrix Gatewayアプライアンス
メモリ 1 GB
ハードディスク 150 MBの空きハードディスク容量を持つNTFSフォーマットのローカルパーティション
オペレーティングシステム Windows Server 2016、Windows Server 2012 R2、またはWindows Server 2008 R2 Service Pack 1。英語ベースのサーバーである必要があります。Windows Server 2008 R2 Service Pack 1のサポートはJanuary 14, 2020に終了し、Windows Server 2012 R2のサポートはOctober 10, 2023に終了します。
その他のデバイス 内部ネットワークとの通信のためのホストオペレーティングシステムと互換性のあるネットワークアダプター
マイクロソフト .NET Framework バージョン8.5.1.11にはMicrosoft .NET Framework 4.5が必要です。
ディスプレイ VGAまたはそれ以上の解像度のモニター
Exchange ActiveSync用コネクタのホストコンピューターには、以下の最小空きハードディスク容量が必要です。
  • アプリケーション: 10～15 MB (100 MBを推奨)
  • ログ: 1 GB (20 GBを推奨)
Exchange ActiveSync用コネクタのプラットフォームサポートについては、「サポートされているデバイスのオペレーティングシステム」を参照してください。

デバイスのメールクライアント

すべてのメールクライアントが、デバイスに対して常に同じActiveSync IDを返すわけではありません。Exchange ActiveSync用コネクタは、各デバイスに対して一意のActiveSync IDを期待するため、次のことが言えます。各デバイスに対して常に同じ一意のActiveSync IDを生成するメールクライアントのみがサポートされます。Citrixはこれらのメールクライアントをテストしており、エラーなしで動作しました。
  • Samsungネイティブメールクライアント
  • iOSネイティブメールクライアント

ネットスケーラー ゲートウェイ コネクタ Exchange ActiveSync 用の展開

NetScaler Gateway connector for Exchange ActiveSyncを使用すると、NetScaler Gatewayを使用して、Citrix Endpoint Management管理対象デバイスとのCitrix Endpoint Managementサーバー通信をプロキシおよび負荷分散できます。Exchange ActiveSync用コネクタは、Citrix Endpoint Managementと定期的に通信してポリシーを同期します。Exchange ActiveSync用コネクタとCitrix Endpoint Managementを、まとめて、または個別にクラスター化できます。

Exchange ActiveSync用コネクタのコンポーネント

  • Exchange ActiveSync用コネクタサービス: このサービスは、NetScaler Gatewayが呼び出して、デバイスからのActiveSync要求が承認されているかどうかを判断できるREST Webサービスインターフェイスを提供します。
  • Citrix Endpoint Management構成サービス: このサービスはCitrix Endpoint Managementと通信し、Citrix Endpoint Managementのポリシー変更をExchange ActiveSync用コネクタと同期します。
  • Citrix Endpoint Management通知サービス: このサービスは、不正なデバイスアクセスに関する通知をCitrix Endpoint Managementに送信します。この方法により、Citrix Endpoint Managementは、デバイスがブロックされた理由をユーザーに通知するなどの適切な措置を講じることができます。
  • Exchange ActiveSync用コネクタ構成ユーティリティ: このアプリケーションを使用すると、管理者はExchange ActiveSync用コネクタを構成および監視できます。

NetScaler Gateway connector for Exchange ActiveSyncのリスニングアドレスを設定するには

NetScaler Gateway connector for Exchange ActiveSyncがNetScaler GatewayからのActiveSyncトラフィックを承認するリクエストを受信するには、次の手順を実行します。Exchange ActiveSync用コネクタがNetScaler Gateway Webサービスコールをリッスンするポートを指定します。
  1. 「スタート」メニューから、Exchange ActiveSync構成ユーティリティ用のコネクタを選択します。
  2. 「Web Service」タブをクリックし、コネクタWebサービスのリッスンアドレスを入力します。「HTTP」または「HTTPS」のいずれか、あるいは両方を選択できます。Exchange ActiveSync用コネクタがCitrix Endpoint Managementと共存している（同じサーバーにインストールされている）場合は、Citrix Endpoint Managementと競合しないポート値を選択してください。
  3. 値を設定したら、「Save」をクリックし、次に「Start Service」をクリックしてWebサービスを開始します。

NetScaler Gateway connector for Exchange ActiveSyncでデバイスアクセスコントロールポリシーを構成するには

管理対象デバイスに適用するアクセスコントロールポリシーを構成するには、次の手順を実行します。
  1. Exchange ActiveSync構成ユーティリティのコネクタで、「Path Filters」タブをクリックします。
  2. 最初の行「Microsoft-Server-ActiveSync is for ActiveSync」を選択し、「Edit」をクリックします。
  3. 「Policy」リストから、目的のポリシーを選択します。Citrix Endpoint Managementポリシーを含むポリシーの場合は、「Static + ZDM: Permit Mode or Static + ZDM: Block Mode」を選択します。これらのポリシーは、ローカル（または静的）ルールとCitrix Endpoint Managementからのルールを組み合わせたものです。Permit Modeは、ルールによって明示的に識別されていないすべてのデバイスがActiveSyncへのアクセスを許可されることを意味します。Block Modeは、そのようなデバイスがブロックされることを意味します。
  4. ポリシーを設定したら、「Save」をクリックします。

Citrix Endpoint Managementとの通信を構成するには

NetScaler Gateway connector for Exchange ActiveSyncおよびNetScaler Gatewayで使用するCitrix Endpoint Managementサーバーの名前とプロパティを指定します。
注：
このタスクは、Citrix Endpoint Managementをすでにインストールおよび構成していることを前提としています。Exchange ActiveSync構成ユーティリティでは、Citrix Endpoint ManagementをConfig Providerという用語で表します。
  1. Exchange ActiveSync構成ユーティリティのコネクタで、「Config Providers」タブをクリックし、「Add」をクリックします。
  2. この展開で使用しているCitrix Endpoint Managementサーバーの名前とURLを入力します。マルチテナント展開で複数のCitrix Endpoint Managementサーバーを展開している場合、この名前は各サーバーインスタンスで一意である必要があります。
  3. URL に、Citrix Endpoint Management GlobalConfig Provider (GCP) のWebアドレスを入力します。通常、形式は https://<FQDN>/<instanceName>/services/<MagConfigService> です。MagConfigService の名前は大文字と小文字を区別します。
  4. パスワード に、Citrix Endpoint Management Webサーバーとの基本的なHTTP認証に使用するパスワードを入力します。
  5. 管理ホスト に、Exchange ActiveSync 用コネクタをインストールしたサーバー名を入力します。
  6. ベースライン間隔 に、Citrix Endpoint Management から新しい更新された動的ルールセットがプルされる期間を指定します。
  7. 要求タイムアウト に、サーバー要求のタイムアウト間隔を指定します。
  8. 構成プロバイダー で、構成プロバイダーサーバーインスタンスがポリシー構成を提供するかどうかを選択します。
  9. イベント有効 で、デバイスがブロックされたときにSecure Mobile GatewayがCitrix Endpoint Managementに通知するようにする場合は、このオプションを有効にします。このオプションは、Citrix Endpoint Managementの自動アクションでSecure Mobile Gatewayルールを使用している場合に必要です。
  10. サーバーを構成したら、接続テスト をクリックしてCitrix Endpoint Managementへの接続をテストします。
  11. 接続が確立されたら、保存 をクリックします。

冗長性とスケーラビリティのためのExchange ActiveSync用NetScaler Gatewayコネクタの展開

Exchange ActiveSync用NetScaler GatewayコネクタとCitrix Endpoint Management展開をスケーリングするには、複数のWindows ServerにExchange ActiveSync用コネクタのインスタンスをインストールできます。すべてのコネクタインスタンスは同じCitrix Endpoint Managementインスタンスを指します。その後、NetScaler Gatewayを使用してサーバーの負荷分散を行うことができます。
Exchange ActiveSync用コネクタの構成には、次の2つのモードがあります。
  • 非共有モードでは、Exchange ActiveSyncインスタンスの各コネクタはCitrix Endpoint Managementサーバーと通信し、結果として得られるポリシーの独自のプライベートコピーを保持します。たとえば、Citrix Endpoint Managementサーバーのクラスターの場合、各Citrix Endpoint Managementサーバーでコネクタインスタンスを実行できます。コネクタは、ローカルのCitrix Endpoint Managementインスタンスからポリシーを取得します。
  • 共有モードでは、Exchange ActiveSyncノードの1つのコネクタがプライマリノードとして指定されます。コネクタはCitrix Endpoint Managementと通信します。他のノードは、Windowsネットワーク共有またはWindows（またはサードパーティ）レプリケーションを介して結果の構成を共有します。
Exchange ActiveSync 用のコネクタ構成全体は、単一のフォルダー (いくつかの XML ファイルで構成される) に格納されています。コネクタプロセスは、このフォルダー内のファイルの変更を検出し、自動的に構成を再ロードします。共有モードでは、プライマリノードのフェールオーバーはありません。ただし、システムはプライマリサーバーが数分間ダウンしても (たとえば、再起動のためなど) 許容できます。最後に正常に動作した構成は、コネクタプロセスにキャッシュされます。