セキュア プライベート アクセスを設定する

最終公開日 : Oct 24, 2026
新しいサイトを作成するか、既存のサイトに参加することで、Secure Private Access をセットアップできます。どちらのシナリオでも、Web 管理コンソールを使用して Secure Private Access 環境をセットアップできます。
Related information
インストールと構成

前提条件

  • Secure Private Access がインストールされているマシンのローカルマシン管理者でもあるドメインユーザーとして、Secure Private Access 管理コンソールにサインインする必要があります。
  • サイトを作成する前に、SQL データベースサーバーがインストールされている必要があります。
  • マルチドメイン環境を使用している場合は、異なるフォレストにある Active Directory ドメイン間でドメイン信頼を確立してください。詳細については、「マルチドメイン環境」を参照してください。

新しいサイトを作成して Secure Private Access をセットアップする

ステップ 1: Secure Private Access サイトをセットアップする

サイトとは、Secure Private Access 展開の名前です。サイトを作成するか、既存のサイトに参加することができます。
  1. セキュア プライベート アクセス Web 管理コンソールを起動します。
  2. サイトの作成または参加ページで、デフォルトで新しい Secure Private Access サイトを作成が選択されています。
  3. 次へをクリックします。
サイトの選択
サイトを作成することを選択した場合、セットアップでサイト名に対応するデータベースが利用できない可能性があるため、新しいサイトのデータベースを自動または手動で構成する必要があります。

ステップ2：データベースの構成

新しいSecure Private Accessサイト用にデータベースを作成する必要があります。これは手動または自動で行うことができます。
  1. SQL Server Hostに、サーバーホスト名を入力します。例：sql1.fabrikam.local\citrix。
    データベースアドレスは、次のいずれかの形式で指定できます。
    • サーバー名
    • サーバー名\インスタンス名
    • サーバー名,ポート番号
    詳細については、データベースを参照してください。
  2. サイトに、Secure Private Accessサイトの名前を入力します。
    注：
    入力したサイト名はデータベース名に接尾辞として追加されます。データベース名の形式はCitrixAccessSecurity<sitename>であり、変更できません。データベース名をカスタマイズする必要がある場合は、Citrixサポートにお問い合わせください。
  3. 「接続テスト」をクリックして、SQLサーバーインスタンスが有効であることを確認し、指定されたデータベースがサイトに存在することを確認します。
データベース構成 新規サイト
注：
  • サイトでSQLサーバーが利用できない場合、接続チェックは失敗します。
  • SQLサーバーが利用可能でもデータベースが存在しない場合、接続チェックは成功します。ただし、警告メッセージが表示されます。
  • Secure Private Accessは、マシンIDを使用したWindows認証を利用してSQLサーバーに認証します。
自動構成:
  • 自動構成オプションは、マシンIDが必要なデータベース権限を持っている場合にのみ使用できます。
  • 指定されたアドレスにデータベースが存在しない場合、データベースは自動的に作成されます。
  • データベースを作成する際は、空であること、ただし必要なデータベース権限を持っていることを確認してください。権限の詳細については、「データベースのセットアップに必要な権限」を参照してください。
手動構成:
データベースをセットアップするには、手動構成オプションを使用できます。
手動構成では、まずスクリプトをダウンロードし、次にSQL Server Hostフィールドで指定したデータベースサーバーでスクリプトを実行する必要があります。
注:
マシンがSQLサーバー上のデータベース内にテーブルを作成するためのREAD、WRITE、UPDATE権限を持っていない場合、データベースの作成が失敗する可能性があります。マシンで適切な権限を有効にする必要があります。詳細については、「データベースのセットアップに必要な権限」を参照してください。

ステップ3: サーバーを統合する

Secure Private AccessをStoreFrontおよびNetScaler® Gatewayサーバーに接続するには、StoreFrontおよびNetScaler Gatewayサーバーの詳細を指定する必要があります。この接続は、StoreFrontおよびNetScaler GatewayがSecure Private Accessにトラフィックをルーティングできるようにするために確立する必要があります。また、Directorサーバーとライセンスサーバーの詳細も指定する必要があります。
  1. 次の詳細を入力します。
    • 安全なプライベートアクセス サーバーの所在地。例: https://secureaccess.domain.com。
    • StoreFront ストアのURL。例えば、https://storefront.domain.com/Citrix/StoreMain のようになります。
    • パブリック ネットスケーラー ゲートウェイ アドレス – ネットスケーラー ゲートウェイ のURL。例えば、https://gateway.domain.com。
    • 仮想IPアドレス – この仮想IPアドレスは、コールバック用にStoreFrontで構成されているものと同じである必要があります。
    • コールバックURL – このURLは、StoreFrontで構成されているものと同じである必要があります。例: https://gateway.domain.com。
    • Director URL: - (Optional) The Director server IP address or FQDN to connect Secure Private Access with Citrix Director.
    • ライセンスサーバーURL: - ライセンスデータを収集および処理するためのライセンスサーバーのIPアドレス。
  2. すべてのURLを検証をクリックします
  3. 次へをクリックし、保存をクリックします。
統合タブ

ステップ4：構成の概要

構成が完了すると、構成されたサーバーに到達可能であることを確認するための検証が実行されます。また、Secure Private Accessサーバーに到達可能であることも確認されます。
構成の概要ページにエラーが表示された場合は、詳細についてエラーのトラブルシューティングを参照してください。これにより問題が解決しない場合は、Citrixサポートにお問い合わせください。
概要
セットアップが完了すると、概要ページで閉じるをクリックした後に次のページが表示されます。
セットアップ完了
注:
  • 環境をセットアップした後、Web管理コンソールの > から設定を変更できます。
  • Secure Private Access を初めてインストールする管理者は、完全な権限を付与されます。この管理者は、他の管理者をセットアップに追加できます。管理者のリストは、 > から表示できます。
  • 管理者グループを追加して、そのグループ内のすべての管理者にアクセスを許可することもできます。
詳細については、「インストール後の設定の管理」を参照してください。

既存のサイトに参加して Secure Private Access をセットアップする

  1. ページで、 を選択し、 をクリックします。
    データベース構成
  2. に、サーバーホスト名を入力します。入力したサイト名に対応するデータベースが、選択した SQL Server にすでに存在することを確認してください。データベースアドレスは、次のいずれかの形式で指定できます。
    • サーバー名
    • サーバー名\インスタンス名
    • サーバー名,ポート番号
    詳細については、「データベース」を参照してください。
  3. に、Secure Private Access サイトの名前を入力します。
  4. SQLサーバーインスタンスが有効であること、および指定されたサイトがデータベースに存在することを確認するには、接続テストをクリックします。
    データベース構成(/ja-jp/citrix-secure-private-access/media/spaop-databse-config-1a.png)
    サイトに対応するデータベースがない場合、接続チェックは失敗します。
  5. 保存をクリックします。
構成検証チェックは、SQLデータベースサーバーが構成されていること、およびSecure Private Accessサーバーに到達可能であることを確認するために実行されます。

HTTP2設定を無効にする

オンプレミス版Secure Private Accessは、Internet Information Services (IIS) 環境内で動作します。そのため、IIS内のHTTP/2に影響を与える可能性のある一般的な脆弱性は、Microsoftによって直接対処され、パッチが適用されます。それまでの間、お客様はIIS内でHTTP/2設定を手動で変更することでこの脆弱性を軽減でき、これにより公式パッチがリリースされる前であってもオンプレミス版Secure Private Accessソリューションが保護された状態を維持できます。
サイトごとにHTTP2を無効にするには、次の手順を実行します。
  1. インターネット インフォメーション サービス (IIS) マネージャーを開きます。
  2. ナビゲーションペインで、サイトを展開し、Default Web Siteを選択します。
  3. 操作ペインで、バインドをクリックし、HTTP/2を無効にするチェックボックスをオンにしてHTTPSバインドを変更します。
  4. IISマネージャーを保存して再起動します。
HTTP2を無効にする(/ja-jp/citrix-secure-private-access/media/disable-http2.png)

マルチドメイン環境

オンプレミス版Secure Private Accessの展開は、マシンサーバーとユーザーアカウントサーバーが異なるActive Directoryドメインに存在するマルチドメイン環境をサポートします。このクロスドメイン展開機能により、インフラストラクチャとユーザーIDの管理に柔軟性がもたらされます。ただし、この環境を成功させるには、異なるフォレストに存在するActive Directoryドメイン間で少なくとも一方向の信頼関係を確立する必要があります。
信頼を確立する
マルチドメイン環境でオンプレミス展開のSecure Private Accessのドメイン信頼を確立するには、以下の前提条件を満たす必要があります。
  • 初期構成に使用されるマシン ドメイン (例: ドメイン B) のサービス アカウントは、ユーザー アカウント ドメイン (例: ドメイン A) にプロビジョニングされている必要があります。
    注:
    サービス アカウントは、Citrix Access Security Runtime Service Pool の IIS に追加する必要があります。サービス アカウントには管理者権限は必要ありません。詳細については、「サービス アカウントを構成する手順」を参照してください。
  • インストール サーバー (ドメイン A 内、「サーバー ドメイン A」と呼ぶ) もドメイン A にある場合、サービス アカウントは、関連するデータベース インスタンス内で「db owner」権限を持つデータベース ユーザーとして作成する必要があります。

サービス アカウントを構成する

サービス アカウントを構成するには、次の手順を実行します。
  1. インターネット インフォメーション サービス (IIS) マネージャーを起動します。
  2. サイト サーバーの下で、アプリケーション プール > Citrix Access Security Runtime Pool > 詳細設定を選択します。
    IIS マネージャー
  3. Identity > ApplicationPoolIdentity の項目にある編集アイコンをクリックしてください。
    ID プール
  4. カスタム アカウント: で、設定をクリックします。
    カスタム資格情報を設定
  5. ユーザーの資格情報を設定します。
  6. OK をクリックします。
    資格情報を入力します

次のステップ