技術セキュリティ概要

最終公開日 : Oct 24, 2026
Citrix Cloud は Citrix Gateway サービスの運用を管理し、お客様が NetScaler Gateway アプライアンスを管理する必要性をなくします。Citrix Gateway サービスは Citrix Workspace アプリを介してプロビジョニングされます。
Citrix Gateway サービスは以下の機能を提供します。
HDX接続: アプリとデスクトップをホストするVirtual Delivery Agent (VDA) は、お客様が選択したデータセンター（クラウドまたはオンプレミス）でお客様の管理下に置かれます。これらのコンポーネントは、Citrix Cloud Connector と呼ばれるエージェントを使用してクラウドサービスに接続されます。
DTLS 1.2プロトコルサポート: Citrix Gateway サービスは、EDT (UDPベースのトランスポートプロトコル) を介したHDXセッション向けにDatagram Transport Layer Security (DTLS) 1.2をサポートしています。以下の暗号スイートがサポートされています。
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLSプロトコルサポート: Citrix Gateway サービスは以下のTLS暗号スイートをサポートしています。
  • TLS1.2-ECDHE-RSA-AES256-GCM-SHA384
  • TLS1.2-ECDHE-RSA-AES-256-SHA384
  • TLS1-ECDHE-RSA-AES128-SHA
  • TLS1.2-AES256-GCM-SHA384
  • TLS1-AES-256-CBC-SHA
注:
Citrix Gateway Service は TLS 1.0 および TLS 1.1 バージョンをサポートしていません。
Endpoint Management の統合: Citrix Endpoint Management と Citrix Workspace を統合すると、Citrix Gateway サービスは、社内ネットワークとリソースへの安全なリモートデバイスアクセスを提供します。Endpoint Management との Citrix Gateway サービスのオンボーディングは迅速かつ簡単です。Citrix Gateway サービスには、Secure Mail や Secure Web などのアプリに対する Citrix SSO の完全なサポートが含まれています。

データフロー

Citrix Gateway サービスは、グローバルに分散されたマルチテナントサービスです。エンドユーザーは、Citrix Cloud Control plane の地理的選択やアクセスされるアプリケーションの場所に関係なく、必要な特定の機能が利用可能な最も近いPoint-of-Presence (PoP) を使用します。承認メタデータなどの構成は、すべての PoP に複製されます。
Citrix® が診断、監視、ビジネス、およびキャパシティプランニングのために使用するログは、保護され、1つの中央の場所に保存されます。
顧客構成は1つの中央の場所に保存され、すべての PoP にグローバルに配布されます。
クラウドと顧客のオンプレミス間で流れるデータは、ポート443を介した安全なTLS接続を使用します。
ユーザー認証とシングルサインオンに使用される暗号化キーは、ハードウェアセキュリティモジュールに保存されます。

データ分離

Citrix Gateway サービスは、以下のデータを保存します。
  • 顧客のアプリケーションの仲介と監視に必要な構成データ – データは永続化される際に顧客によってスコープが設定されます。
  • 各ユーザーデバイスのTOTPシード – TOTPシードは、顧客、ユーザー、デバイスによってスコープが設定されます。

監査と変更管理

現在、Citrix Gateway サービスは、監査および変更管理ログを顧客に提供していません。ログはCitrixが利用でき、エンドユーザーと管理者の活動を監査するために使用できます。

資格情報の処理

このサービスは、2種類の資格情報を処理します。
  • ユーザー資格情報: エンドユーザー資格情報（パスワードと認証トークン）は、次の操作を実行するためにCitrix Gatewayサービスで利用可能になる場合があります。
    • Citrix Secure Private Access - サービスは、ユーザーのIDを使用して、SaaSおよびエンタープライズWebアプリケーションやその他のリソースへのアクセスを決定します。
    • シングルサインオン - サービスは、HTTP Basic、NTLM、またはフォームベース認証を使用して、内部WebアプリケーションへのSSO機能を完了するためにユーザーのパスワードにアクセスできる場合があります。パスワードに使用される暗号化プロトコルはTLSですが、HTTP Basic認証を明示的に構成した場合は除きます。
  • 管理者資格情報: 管理者はCitrix Cloudに対して認証を行います。これにより、1回限りの署名付きJSON Webトークン（JWT）が生成され、管理者はCitrix Cloudの管理コンソールにアクセスできるようになります。
注意点
  • 公衆ネットワーク上のすべてのトラフィックは、Citrixが管理する証明書を使用してTLSによって暗号化されます。
  • SaaSアプリSSOに使用されるキー（SAML署名キー）は、Citrixによって完全に管理されます。
  • MFAの場合、Citrix Gatewayサービスは、TOTPアルゴリズムのシードに使用されるデバイスごとのキーを保存します。
  • Kerberosシングルサインオン機能を有効にするために、お客様はKerberos Constrained Delegationを実行するために信頼されているサービスアカウントの資格情報（ユーザー名 + パスワード）を使用してConnector Applianceを構成する場合があります。

展開に関する考慮事項

Citrixは、Citrix Gatewayサービスを展開するための公開されているベストプラクティスドキュメントを参照することを推奨します。SaaSアプリとエンタープライズWebアプリの展開、およびネットワークコネクタに関するその他の考慮事項は次のとおりです。
適切なコネクタの選択: ユースケースに応じて、適切なコネクタを選択する必要があります。
ユースケース コネクタ フォームファクタ
ユーザー認証: Active Directory シトリックス クラウドコネクタ Windowsソフトウェア
HDX接続 シトリックス クラウドコネクタ Windowsソフトウェア

Citrix Cloud Connectorのネットワークアクセス要件

Citrix Cloud Connectorのネットワークアクセス要件については、<https://docs.citrix.com/ja-jp/citrix-cloud/overview/requirements/internet-connectivity-requirements.html>を参照してください。

Citrix GatewayサービスHDX接続

Citrix Gatewayサービスを使用すると、顧客のデータセンター内にNetScaler Gatewayを展開する必要がなくなります。Citrix Gatewayサービスを使用するには、Citrix Cloudから提供されるCitrix Workspaceを使用することが前提条件となります。

お客様のベストプラクティス

お客様は、ネットワーク内でTLSを使用し、HTTP経由のアプリケーションに対してSSOを有効にしないことを推奨します。

非推奨の暗号スイート

セキュリティ強化のため、以下の暗号スイートは非推奨です。
  • TLS1.2-AES128-GCM-SHA256
  • TLS1.2-AES-128-SHA256
  • TLS1.2-AES256-GCM-SHA384
  • TLS1.2-AES-256-SHA256
  • TLS1.2-DHE-RSA-AES-256-SHA256
  • TLS1.2-DHE-RSA-AES-128-SHA256
  • TLS1.2-DHE-RSA-AES256-GCM-SHA384
  • TLS1.2-DHE-RSA-AES128-GCM-SHA256
  • SSL3-DES-CBC3-SHA
  • TLS1-ECDHE-RSA-AES256-SHA
  • TLS1-AES-256-CBC-SHA
  • TLS1-AES-128-CBC-SHA
  • TLS1-ECDHE-ECDSA-AES256-SHA
  • TLS1-ECDHE-ECDSA-AES128-SHA
  • TLS1-DHE-RSA-AES-256-CBC-SHA
  • TLS1-DHE-RSA-AES-128-CBC-SHA
  • TLS1-DHE-DSS-AES-256-CBC-SHA
  • TLS1-DHE-DSS-AES-128-CBC-SHA
  • TLS1-ECDHE-RSA-DES-CBC3-SHA
  • TLS1.2-ECDHE-RSA-AES-128-SHA256
  • TLS1.2-ECDHE-ECDSA-AES128-SHA256
  • TLS1.2-ECDHE-ECDSA-AES256-GCM-SHA384
  • TLS1.2-ECDHE-ECDSA-AES128-GCM-SHA256