その他の機能

最終公開日 : Oct 24, 2026

ユーザーアクティビティログ

ユーザーアクティビティログ機能を使用すると、顧客はCitrix Remote Browser Isolation (RBI) セッション中のユーザーのブラウジングアクティビティを追跡および監査できます。この機能は、アクセスしたホスト名、アクセス時刻、ユーザー識別子、および許可リストの適用状況をキャプチャします。収集されたすべてのデータは、顧客のAzureストレージアカウントに保存され、データの完全な所有権と制御が提供されます。
重要:
この機能は、顧客レベルとアプリケーションレベルの両方で有効にする必要があります。ブラウジングアクティビティデータは1時間ごとにアップロードされ、リアルタイムではありません。

主な利点

  • コンプライアンスと監査: 企業の監査要件を満たし、規制コンプライアンス基準に準拠します。
  • セキュリティ分析: 異常なブラウジングパターンを特定し、潜在的なセキュリティ脅威を検出します。
  • ポリシーの最適化: ユーザーの行動を分析して、許可リストの構成を改善します。
  • データ主権: Azure環境でデータを管理下に置きます。

前提条件

ユーザーアクティビティログを設定する前に、以下があることを確認してください。
  • 有効なAzureサブスクリプション。
  • ブラウジングアクティビティデータ用のAzureストレージアカウント。
  • Remote Browser Isolationサービスの下に作成されたカタログ。

設定手順

ステップ1：Azure Storage接続文字列の取得

このガイドでは、Azure Storageアカウントが既に存在することを前提としています。作成方法については、Azure Storageドキュメントを参照してください。
  1. Azure portalにサインインし、ストレージアカウントを開きます。
  2. 左側のメニューで、セキュリティ + ネットワークに移動し、アクセスキーを選択します。
  3. key1またはkey2から接続文字列をコピーします。
  4. ステップ3（機能が動作していることを確認する）で使用するために、接続文字列を安全に保管してください。
注：
Citrix RBIは、構成を保存するとuser-activityという名前のコンテナを自動的に作成します。手動でのコンテナ作成は不要です。
Azure ポータル

ステップ2：アプリケーションのユーザーアクティビティログを構成する

Azure Storage接続は、アプリケーションごとに構成できます。
構成の作成または更新
  1. 管理コンソールで、管理ページに移動します。
  2. ユーザーアクティビティログを有効にするカタログとアプリケーションを選択します。
  3. 「ユーザーアクティビティログ」設定を見つけます。
  4. 「ユーザーアクティビティログ」を有効にします。
  5. ステップ1のAzure Storage接続文字列を貼り付けます。
  6. 「保存」をクリックします。
セッションモニターテスト(/en-us/citrix-remote-browser-isolation/media/session-monitor-test.png)
ユーザーアクティビティログ(/en-us/citrix-remote-browser-isolation/media/user-activity-logging.png)
構成が保存されると、システムは次の処理を行います。
  • 接続文字列を検証します。
  • Azure Storageへの接続を確認します。
  • user-activityという名前のコンテナが存在しない場合は作成します。
  • 接続権限を確認します。
構成の削除
特定のアプリケーションの閲覧アクティビティの追跡を停止するには：
  1. そのアプリケーションの設定ページに移動します。
  2. 「ユーザーアクティビティログ」設定を見つけます。
  3. 「ユーザーアクティビティログ」を無効にします。
  4. 「保存」をクリックします。
設定を削除すると、新しく起動されたユーザーセッションはブラウジングアクティビティを記録しなくなります。すでにAzure Storageにアップロードされている履歴データは削除されません。

ステップ3：機能が動作していることを確認する

設定が完了したら、機能を検証します。
  1. ユーザーアクティビティログが設定されたアプリケーションを使用して、新しいブラウザセッションを起動します。
  2. たとえば、www.google.com や www.microsoft.com など、いくつかのWebサイトにアクセスします。
  3. アップロードを待ちます。ブラウジングアクティビティはまずローカルに保存され、1時間ごとにアップロードされます。
  4. 初回確認の場合は、少なくとも1～2時間待ちます。
  5. Azureポータルで、ストレージアカウントを開き、次にuser-activityコンテナを開きます。
  6. 新しいJSONファイルが表示されることを確認します。
  7. JSONファイルをダウンロードし、アクセスしたWebサイトのホスト名が含まれていることを確認します。

ブラウジングアクティビティの表示と分析

データストレージ構造

ブラウジングアクティビティデータは、Azure Blob Storageに日付とファイル名で整理されています。
Container: user-activity
|- YYYY-MM-DD/
|  |- {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
|  |- {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
|  `- {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
`- YYYY-MM-DD/
    `- ...

ファイル命名規則

  • フォルダー構造: {YYYY-MM-DD}/ (日付別に整理されています)。
  • ファイル名のパターン: {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
  • {VDAHostname}: VDAマシンのホスト名。
  • {GUID}: 各アップロードバッチの一意の識別子。
  • {AppName}: Secure Browserアプリケーションの名前。
  • {YYYY-MM-DD-HH}: 24時間形式のアップロードタイムスタンプ。
アクティブなVDAごとに、1時間ごとに新しいファイルが生成されます。

データ形式の説明

各JSONファイルには、NDJSON形式（改行区切りJSON）で複数のレコードが含まれています。各行は1つのアクセスイベントを表します。
{"accessHostEvent":{"hostName":"www.google.com","acceptHost":true},"accessTime":"2026-01-29T14:23:45.123Z","sessionId":"abc123-def456-ghi789","userName":"user@example.com","appName":"MySecureBrowser"}
{"accessHostEvent":{"hostName":"www.microsoft.com","acceptHost":true},"accessTime":"2026-01-29T14:25:10.456Z","sessionId":"abc123-def456-ghi789","userName":"user@example.com","appName":"MySecureBrowser"}
{"accessHostEvent":{"hostName":"malicious.site","acceptHost":false},"accessTime":"2026-01-29T14:30:22.789Z","sessionId":"abc123-def456-ghi789","userName":"user@example.com","appName":"MySecureBrowser"}

フィールドの説明

フィールド 説明 例
accessHostEvent.hostName ユーザーがアクセスしたWebサイトのホスト名。 www.google.com
accessHostEvent.acceptHost アクセスが許可リストによって許可されているかどうか (true は許可、false はブロックを意味します)。 true
accessTime アクセス時刻 (UTC)。 2026-01-29T14:23:45.123Z
sessionId 一意のセッション識別子。 abc123-def456-ghi789
userName ユーザー識別子。 user@example.com
appName アプリケーション名。 MySecureBrowser
プライバシー保護: システムはwww.example.comのようなホスト名のみを記録します。完全なURLパス、クエリパラメータ、またはユーザーが入力したコンテンツは記録しません。

データを表示する方法

閲覧アクティビティの記録を表示するには、以下の方法を使用します。
Azure Storage エクスプローラー
  1. Azure Storage Explorerをダウンロードしてインストールします。
  2. ストレージアカウントに接続します。
  3. user-activityコンテナを参照します。
  4. JSONファイルをダウンロードし、その内容を確認します。
Azure ポータル
  1. Azureポータルにサインインします。
  2. ストレージアカウントに移動します。
  3. コンテナ > user-activityを選択します。
  4. ファイルをダウンロードして内容を表示します。
ヒント: より詳細な分析を行うには、データをExcel、Power BI、または別の分析ツールにインポートしてください。

主な機能と考慮事項

機能のハイライト

  • 自動記録: 手動操作なしでウェブサイトアクセスイベントをキャプチャします。
  • ブロックされた試行も含む: ブロックされたアクセス試行 (acceptHost: false) をキャプチャし、許可リスト分析に利用します。
  • 1時間ごとのアップロード: ネットワークオーバーヘッドを削減するため、データを1時間ごとのバッチでアップロードします。
  • データ主権: すべてのデータを顧客のAzure環境に保存します。
  • マルチアプリケーション対応: アプリケーション間で個別の、または共有のストレージアカウント構成をサポートします。

制限事項

  • リアルタイムではない: データがAzure Storageに表示されるまでに最大1時間かかる場合があります。
  • Dedicated Editionのみ: Dedicated Editionアプリケーションでのみ利用可能です。
  • 固定コンテナ名: コンテナ名はuser-activityであり、カスタマイズできません。
  • VDA再起動の影響: アップロード前にVDAが再起動すると、まだアップロードされていないデータが失われる可能性があります。

トラブルシューティング

問題1: Azure Storageにデータがない

考えられる原因:
  • 機能トグルが有効になっていません。
  • 接続文字列が正しくないか、期限切れです。
  • 待機時間が不十分です (少なくとも1時間が必要です)。
  • アプリケーションがDedicated Editionではありません。
解決策:
  1. 機能トグルのステータスを確認します。
  2. 接続文字列を再構成して保存します。
  3. 新しいセッションを開始し、Webサイトにアクセスして、1～2時間待ちます。
  4. アプリケーションがDedicated Editionであることを確認します。
  5. user-activityコンテナが作成されたことを確認します。

問題2: 接続文字列の構成時に検証が失敗する

考えられる原因:
  • 接続文字列の形式が正しくありません。
  • ストレージアカウントのネットワーク制限によりアクセスがブロックされています。
  • コンテナを作成するための権限が不足しています。
解決策:
  1. Azure ポータルから完全な接続文字列を再度コピーします。
  2. ストレージアカウントのファイアウォール設定を確認します。テストのために、一時的に広範なネットワークアクセスを許可します。
  3. 接続文字列がコンテナ作成権限を付与していることを確認します。
  4. ストレージアカウントがロックされていないか、その他の制限を受けていないことを確認します。

問題3: データアップロード後にユーザーセッションが中断されるか、遅くなる

いいえ、データアップロードはバックグラウンドで実行され、通常のブラウザ使用を中断することはありません。アップロードは、最小限のリソース消費で非同期I/Oを使用します。

問題4: アクティブなユーザーセッションに構成はすぐに適用されますか?

いいえ、更新された設定を適用するには、ユーザーは現在のセッションを閉じて新しいセッションを開始する必要があります。アクティブなセッションは、起動時に存在していた構成を引き続き使用します。

問題5: 複数のアプリケーションで同じストレージアカウントを使用できますか?

はい、複数のアプリケーションで同じストレージアカウントと user-activity コンテナを共有できます。ファイル命名と appName フィールドは、アプリケーション間のデータを区別するのに役立ちます。

クローム エンタープライズ プレミアム (CEP) との統合

このトピックでは、Linux VDA 向けの Citrix Remote Browser Isolation (RBI) と Google Chrome Enterprise Premium (CEP) の統合について説明します。この機能で何が可能になるか、どのように機能するか、および管理者が有効にする前に知っておくべきことについて説明します。

はじめに

Google Chrome Enterprise Premium (CEP) は、エンタープライズ環境向けに高度なセキュリティ、ブラウザ管理、およびポリシー適用を提供します。この機能により、Citrix RBI ブラウザは Google 登録トークンを使用して Chrome Enterprise ポリシーに登録できます。管理者は、Google 管理コンソールから組織および部門のセキュアブラウザポリシーを一元的に管理できます。
この統合により、EDR エージェントを必要とせずに、信頼されていないエンドポイントデバイスにセキュリティとコンプライアンスを適用するための、スケーラブルでクラウド管理されたアプローチが提供されます。

この機能でできること

CEP 統合により:
管理者は次のことができます:
  • 同じカタログ内のすべての Citrix RBI ブラウザユーザーに Chrome Enterprise ポリシーを適用します。
  • Google 管理コンソールを通じてこれらのポリシーを一元的に管理します。
ユーザーは次のことができます:
  • 登録後に管理対象ブラウザとなる RBI ブラウザを使用します。
  • コピー＆ペースト制御や URL ブロックリストなど、一貫したエンタープライズポリシーを受け取ります。
  • Google Cloud から自動ポリシー更新を受け取ります。

使用方法

準備

CEP 統合を有効にする前に:
  1. Google Workspace が Chrome Enterprise Premium をサポートしていることを確認します。
  2. 少なくとも1つのCitrix RBIカタログが存在することを確認します。存在しない場合は、作成します。
  3. どのRBIカタログがChromeポリシーによって管理される必要があるかを特定します。
  4. 必要に応じて、Google管理コンソールで組織単位 (OU) ごとに登録トークンを1つ生成します。

Citrix Cloudポータルでの構成

CEPでは、各カタログに登録トークンが必要です。Citrixは、そのカタログから起動されたユーザーセッションにトークンを自動的に配布します。
登録フロー
  1. Google管理コンソールから登録トークンを取得します。
  2. Citrix Cloudにサインインし、Remote Browser Isolationに移動します。
  3. 左側のメニューで管理を選択します。
  4. ターゲットカタログを選択し、構成の詳細を開きます。
  5. Googleトークン登録を有効にするを有効にし、登録トークンを入力します。
  6. トークンを適用を選択します。
CEP統合(/en-us/citrix-remote-browser-isolation/media/cep-integration.png)
ユーザーがそのカタログの下でセキュアブラウザアプリケーションを起動すると、トークン登録が自動的に行われ、CEPに登録されたブラウザでブラウジングが続行されます。

管理者タスク

  • 「Googleトークン登録を有効にする」を無効にするか再度有効にするか、または登録トークンを更新します。
  • chrome://policyを使用してChromeポリシーの適用を監視します。
  • Google管理デバイスリストを定期的に確認し、古いレコードを削除します。

制限事項と既知の動作

ユーザープロファイルの同期はサポートされていません

Chromeユーザープロファイルのクラウド同期は、CEPトークン登録済みのRBIブラウザ内では機能しません。

構成変更ごとに再起動が必要です

RBIは一時的なファイルシステムを使用するため、管理者がCEP統合を有効または無効にする場合、またはCEPトークンを更新する場合には再起動が必要です。

許可リストポリシーの動作

カタログ下のRBIブラウザアプリケーション用に構成された許可リストがデフォルトの*:*から変更された場合、CEP登録を完了するために*.google.com:*を含めます。CEPが起動された後、RBI許可リストポリシーは適用されません。

Google管理に重複するデバイスが表示される場合があります

イメージアップグレード後、マシンは新しいIDを受け取ることがあります。これにより、Google管理コンソールに追加のデバイスレコードが作成される可能性があります。

カタログ下のマシンを再起動します

カタログにリストされている各マシンについて：
  1. 右側のメニューを選択します。
  2. 「再起動」を選択します。
マシンの再起動(/en-us/citrix-remote-browser-isolation/media/reboot-machine.png)

顧客管理RBIカタログ仮想ネットワーク用のAzure Firewallの構成

Azure Firewallを使用すると、Remote Browser Isolationサービス内のカタログマシンからの送信Webリクエストをフィルタリングできます。既存のAzure仮想ネットワークにAzure Firewallをデプロイすることで、送信トラフィックを制御および監視できます。これにより、ネットワークセキュリティを強化し、ワークロードの送信接続を管理できます。
前提条件:
  • AzureサブスクリプションのRemote Browser Isolationサービスで作成されたカタログ。
  • Azureリソースを作成および管理するための十分な権限。

Azure仮想ネットワークを特定する

  1. Citrix Cloud DaaSコンソールで、保護するマシンカタログを特定します。
  2. カタログからマシンを選択し、その名前の最初の部分をコピーします (例: RBI3BLR6-O80001)。
  3. Azureポータルで、この名前を使用してVMを検索します。
  4. VMの概要で、「リンクされた仮想ネットワーク」を選択します。

Azure Firewallを作成する

  1. 仮想ネットワークのメニューで、「設定」の下にある「サブネット」を選択します。
  2. 用途を「Azure Firewall」に設定して新しいサブネットを追加します (既定の設定を使用)。
  3. 仮想ネットワークの概要に戻り、Capabilities の下にある Azure Firewall を選択します。
  4. Add a new firewall をクリックします。
  5. 次のフィールドに入力します。
    • Subscription と Resource group: 適切に選択します。
    • Name: ファイアウォールの名前を入力します。
    • Region: 仮想ネットワークのリージョンと一致させます。
    • Firewall tier: Standard を選択します。
    • Virtual Network: ステップ1で特定したネットワークを選択します。
    • ファイアウォールポリシー: このファイアウォールを管理するファイアウォールポリシーを使用する を選択します。
    • Policy Name: Add new をクリックし、名前を入力します (例: Test-policy)。
    • Firewall Management NIC: この設定を無効にします。
  6. 設定を確認し、ファイアウォールを作成します。

ルーティングの構成

  1. デプロイ後、Azure Firewall リソースを開き、そのプライベートIPアドレスをメモします。
  2. Azure portal で、仮想ネットワークに移動し、Subnets を選択します。
  3. カタログVMが配置されているサブネットを特定します（通常はdefaultという名前です）。
  4. 新しいルートテーブルを作成するか、このサブネットに関連付けられている既存のルートテーブルを選択します。
  5. 新しいルートを追加します。
    • 宛先: 0.0.0.0/0
    • ネクストホップの種類: Virtual appliance
    • ネクストホップアドレス: Azure FirewallのプライベートIPアドレスを入力します。
  6. ルートを保存します。

ファイアウォール規則を構成する

  1. Azureポータルで、Firewall Manager > Azure Firewall Policiesに移動します。
  2. 作成したポリシー（例：Test-policy）を選択します。
  3. 規則に移動します。
  4. 新しいアプリケーション規則コレクションを追加します（Webフィルタリングに推奨）。
  5. 特定のFQDNまたはURLカテゴリを許可または拒否する規則を定義します。たとえば、www.example.comへのアクセスを拒否するには、次のようにします。
    • 名前: DenyExampleWebsite
    • 送信元IPアドレス: カタログVMのサブネット範囲。
    • 宛先FQDN: www.example.com
    • プロトコル: http:80, https
    • アクション: Deny
  6. ルールコレクションを保存します。
  7. 必要に応じて、追加の許可または拒否ルールを追加し、それに応じて優先順位を調整します。(オプション)

構成のテスト

  1. 構成済みのカタログ内のマシンからブラウザセッションを起動します。
  2. 許可されたWebサイトとブロックされたWebサイトの両方にアクセスしてみて、アクセスコントロールが正しく機能していることを確認します。
  3. 定義されたルールに従って、ファイアウォールがネットワークトラフィックを正しくフィルタリングしていることを確認します。

トラブルシューティング

問題が発生した場合は、Azure Firewall ドキュメント を参照してください。

制限事項

同じカタログ内のすべてのブラウザは、同じファイアウォール、ポリシー、およびルールを使用します。

ソフトウェアのアップグレードとパッチ管理

Citrix は、ソフトウェア管理を含むマシンイメージとカタログを作成および管理します。新しいバージョンのカタログが利用可能になると、Citrix はこれらのアップグレードを顧客カタログにプッシュし、マシンが次回再起動されたときに最新の修正とパッチを受け取るようにします。RBI は、DaaS Catalog サービスを使用して、顧客のサブスクリプションでこれらのアップグレードを容易にします。

Citrix® StoreFront Cloudとの統合

Remote Browser IsolationはStoreFront Cloudと統合できます。統合されていることを確認するには、次の手順を実行します。
  1. Citrix Cloudにサインインします。
  2. 左上のメニューで、StoreFront Cloudを選択します。
  3. Service Integrationsタブを選択します。
  4. Remote Browser IsolationサービスのエントリがEnabledと表示されていることを確認します。表示されていない場合は、省略記号メニューをクリックしてEnableを選択します。
まだ設定していない場合は、ストアへの認証を構成するで説明されているように、ストアのストアURL、外部接続、およびストア認証を構成します。
Remote Browser Isolationは、Active DirectoryおよびMicrosoft Entra IDによる認証をサポートしています。Active Directoryによる認証はデフォルトで構成されています。Microsoft Entra IDを使用した認証の構成については、Microsoft Entra IDをCitrix Cloudに接続するを参照してください。
Microsoft Entra IDを使用して認証を構成する場合、Active Directoryドメインコントローラーを含むオンプレミスドメインには、1つ（できれば2つ）のCloud Connectorが含まれている必要があります。

オンプレミスのStoreFrontとの統合

オンプレミスのStoreFrontを使用しているCitrix Virtual Apps and Desktops™のお客様は、Remote Browser Isolationサービスと簡単に統合して、次の利点を得ることができます。
  • 公開されているリモート分離ブラウザーを既存のCitrix Virtual Apps™およびDesktopsアプリと集約し、統合されたストアエクスペリエンスを実現します。
  • ネイティブのCitrix Receiverを使用して、エンドユーザーエクスペリエンスを向上させます。
  • StoreFrontと統合された既存の多要素認証ソリューションを使用することで、Remote Browser Isolationの起動のセキュリティを強化します。
詳細については、CTX230272およびStoreFront構成ドキュメントを参照してください。