基本的なトラブルシューティング
このトピックでは、Secure Private Access のセットアップ中またはセットアップ後に発生する可能性のあるエラーの一部をリストします。
ストアフロントの障害(/ja-jp/citrix-secure-private-access/2405/spa-onprem-troubleshooting#storefront-failures)
セキュアプライベートアクセスサーバーに到達不能(/ja-jp/citrix-secure-private-access/2405/spa-onprem-troubleshooting#secure-private-access-server-not-reachable)
その他
証明書エラー
エラーメッセージ: 1つ以上のゲートウェイサーバーから証明書を自動的に取得できません。
このエラーメッセージは、パブリック NetScaler® Gateway アドレスを追加しようとしたときに、証明書の取得に問題がある場合に表示されます。この問題は、Secure Private Access のセットアップ時、またはセットアップ完了後に設定を更新する際に発生する可能性があります。
回避策: Citrix Virtual Apps and Desktops の場合と同じ方法でゲートウェイ証明書を更新します。
データベース作成エラー
-
エラーメッセージ: データベースの作成に失敗しました解決策: 自動ケースの場合 - マシンは、SQL Server 上のデータベース内にテーブルを作成するための READ、WRITE、UPDATE 権限を持っている必要があります。
-
エラーメッセージ: データベースの作成に失敗しました: データベースは既に存在します。このエラーメッセージは、以下のいずれかのシナリオで表示される可能性があります。
-
データベースの構成中に、自動構成オプションが選択されている場合。
-
管理者がデータベースを作成する場合、それは空のデータベースである必要があります。このエラーメッセージは、データベースが空でない場合に表示されることがあります。解決策: 空のデータベースを作成する必要があります。
-
Secure Private Access をアンインストールし、同じサイト名でセットアップを再試行します。この場合、以前のインストールからのデータベースは削除されていません。解決策: データベースを手動で削除する必要があります。
-
スクリプトを使用してデータベースを手動でセットアップすることを選択し（「データベースの構成」ページで「手動構成」を選択）、その後「自動構成」オプションに変更したが、同じサイト名を使用した場合。この場合、スクリプトの実行中に同じ名前のデータベースが既に作成されています。解決策: サイトの名前を変更し、スクリプトを再度実行する必要があります。
-
マシンに、SQL Server 上のデータベース内にテーブルを作成するための READ、WRITE、UPDATE 権限がありません。解決策: マシンで適切な権限を有効にします。詳細については、「データベースのセットアップに必要な権限」を参照してください。
-
-
エラーメッセージ: データベースの作成に失敗しました: 接続に失敗しました解決策:
-
マシンからのデータベースネットワーク接続を確認します。ファイアウォールで SQL Server ポートが開いていることを確認してください。
-
リモート SQL Server を使用している場合は、SQL Server に Secure Private Access マシン ID (Domain\hostname$) でログインが作成されているか確認してください。
-
リモートSQLサーバーを使用している場合は、マシンIDに正しいロール（システム管理者ロール）が割り当てられていることを確認してください。
-
ローカルSQLサーバー（インストーラーからではない）を使用している場合は、NT AUTHORITY\SYSTEMユーザーにログインが作成されている必要があるか確認してください。
-
ストアフロント™ の障害
-
エラーメッセージ: StoreFrontエントリの作成に失敗しました:
<Store URL>StoreFrontエントリが表示されない場合は、設定タブから更新してください。ウィザードを使用してSecure Private Accessをセットアップした後、設定タブからStoreFrontエントリを編集できます。このエラーが発生したStoreFrontストアURLをメモしてください。解決策:-
設定をクリックし、統合タブをクリックします。
-
StoreFrontストアURLで、StoreFrontエントリが表示されない場合は追加します。
-
-
エラーメッセージ: StoreFrontエントリの構成に失敗しました:
<Store URL>解決策:-
PowerShellの実行ポリシーに制限がある可能性があります。詳細については、PowerShellスクリプトコマンド
Get-ExecutionPolicyを実行してください。 -
制限されている場合は、これをバイパスしてStoreFront構成スクリプトを手動で実行する必要があります。
-
設定をクリックし、統合タブをクリックします。
-
StoreFrontストアURLで、エラーが発生したStoreFront URLエントリを特定します。
-
このストアURLの横にあるスクリプトのダウンロードボタンをクリックし、対応するStoreFrontインストールが存在するマシンで管理者権限を使用してこのPowerShellスクリプトを実行します。このスクリプトは、すべてのStoreFrontマシンで実行する必要があります。
注記:アンインストール後にインストールを再試行する場合は、StoreFront構成（StoreFront > store> Delivery Controller™ -> Secure Private Access）に「Secure Private Access」というエントリがないことを確認してください。Secure Private Accessが存在する場合は、このエントリを削除します。設定 > 統合ページからスクリプトを手動でダウンロードして実行します。 -
-
エラーメッセージ: StoreFront構成はローカルではありません:
<Store URL>ウィザードを使用してSecure Private Accessをセットアップした後、設定タブからゲートウェイエントリを編集できます。このエラーが発生したStoreFront Store URLをメモしておきます。解決策:この問題は、StoreFrontがSecure Private Accessと同じマシンにインストールされていない場合に発生します。StoreFrontをインストールしたマシンで、StoreFront構成を手動で実行する必要があります。-
設定をクリックし、統合タブをクリックします。
-
ストアフロント ストア URL で、エラーが発生したストアフロント URL エントリを特定します。
注記:ストアフロントのPowerShellスクリプトを実行するには、管理者権限でWindows x64互換のPowerShellウィンドウを開き、ConfigureStorefront.ps1を実行します。ストアフロントスクリプトはWindows PowerShell (x86)と互換性がありません。 -
-
Error message: "Get-STFStoreService : Exception of type 'Citrix.DeliveryServices.Framework.Feature.Exceptions.RegistryKeyNotFoundException' was thrown." while running StoreFront script using PowerShell.このエラーは、StoreFrontスクリプトがx86互換のPowerShellウィンドウで実行された場合に発生します。解決策:StoreFront PowerShellスクリプトを実行するには、Windows x64互換のPowerShellウィンドウを管理者権限で開き、
ConfigureStorefront.ps1を実行します。
パブリックゲートウェイ/コールバックゲートウェイの障害
エラーメッセージ:
<Gateway URL> のゲートウェイエントリの作成に失敗しました。または、<Callback Gateway URL> のコールバックゲートウェイエントリの作成に失敗しました。
解決策:
障害が発生したパブリックゲートウェイまたはコールバックゲートウェイのURLをメモしてください。ウィザードを使用してSecure Private Accessを設定した後、設定タブからゲートウェイエントリを編集できます。
-
設定をクリックし、次に統合タブをクリックします。
-
障害が発生したパブリックゲートウェイアドレスまたはコールバックゲートウェイアドレスと仮想IPアドレスを更新します。
セキュアプライベートアクセスサーバーに到達できません
エラーメッセージ: IISプールを更新できませんでした。IISプールを再起動できませんでした。
解決策:
Internet Information Services (IIS) のアプリケーションプールに移動し、次のアプリケーションプールが開始され、実行されていることを確認します。
-
セキュアプライベートアクセスランタイムプール
-
セキュアプライベートアクセス管理プール
また、デフォルトのIISサイト
"Default Web Site" が稼働していることを確認します。
データベース接続チェックの失敗
エラーメッセージ: 接続チェックに失敗しました
データベース接続チェックは、複数の理由により失敗する可能性があります。
-
ファイアウォールにより、Secure Private Accessプラグインホストマシンからデータベースサーバーに到達できません。解決策: データベースポート（デフォルトポート1433）がファイアウォールで開いているか確認します。
-
Secure Private Accessプラグインホストマシンには、データベースに接続する権限がありません。解決策: 「Secure Private AccessのSQLデータベース権限」を参照してください。
ゲートウェイ接続チェックに失敗しました。公開証明書を取得できません
エラーメッセージ: インストール後の構成が「ゲートウェイ接続チェックに失敗しました。公開証明書を取得できません…」というエラーで失敗します。
解決策:
-
構成ツールを使用して、ゲートウェイの公開証明書をSecure Private Accessデータベースに手動でアップロードします。
-
管理者権限でPowerShellまたはコマンドプロンプトウィンドウを開きます。
-
セキュア プライベート アクセス のインストールフォルダー内に格納されている Admin\AdminConfigTool フォルダーへと、現在の作業ディレクトリを移動または変更してください（例: cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool"）
-
次のコマンドを実行します。
.\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>
アプリケーション列挙の失敗
StoreFront URLまたはNetScaler Gateway URLに末尾のスラッシュ (/) が含まれている場合、アプリケーションの列挙は中断されます。
解決策:
StoreFrontストアURLまたはNetScaler Gateway URLの末尾のスラッシュを削除します。詳細については、セットアップ後にStoreFrontまたはNetScaler Gatewayサーバーの詳細を更新するを参照してください。
その他の項目
初回セットアップを完了できません
初回セットアップ中にDirectorの構成が失敗した場合、ライセンスサーバーを再構成できない場合があります。
解決策:
license_serverテーブルを手動でクリーンアップします。
Secure Private Access診断サポートバンドルを作成する
Secure Private Access診断サポートバンドルを作成するには、次の手順を実行します。
-
管理者権限でPowerShellまたはコマンドプロンプトウィンドウを開きます。
-
セキュア プライベート アクセス のインストールフォルダー内に格納されている Admin\AdminConfigTool フォルダーへと、現在の作業ディレクトリを移動または変更してください（例: cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool"）。
-
次のコマンドを実行します。
.\AdminConfigTool.exe /SUPPORTBUNDLE <output folder>
セキュアプライベートアクセス の SQL データベース権限
データベースの自動作成の場合、Secure Private Accessプラグインホストマシンは、データベースに接続し、データベーススキーマを作成するためのアクセス許可が必要です。
リモートデータベース:
リモートデータベースの権限を設定するには、以下の手順を実行します。
-
名前構文
CitrixAccessSecurity<Site Name>で空のデータベースを作成します。ここで、<Site Name>は セキュアプライベートアクセス サイト名です。(例: CitrixAccessSecuritySPA)。CREATE DATABASE CitrixAccessSecurity<SiteName> -
Secure Private Access 仮想マシンのマシンID用のSQLサーバーログインを作成します。たとえば、Secure Private Access ブローカーマシン名が HOST1 で、マシンドメインが DOMAIN1 の場合、マシンIDは「DOMAIN1\HOST1$」です。ログインがすでに作成されている場合は、この手順を無視できます。
USE CitrixAccessSecurity<SiteName>CREATE LOGIN [DOMAIN1\HOST1$] FROM WINDOWSドメイン名は、次のクエリを使用して見つけることができます。SELECT DEFAULT_DOMAIN()[DomainName] -
マシンIDに db_owner ロールを割り当てます。
USE CitrixAccessSecurity<SiteName>EXEC sys.sp_addrolemember [db_owner], 'DOMAIN1\HOST1$'ALTER USER [DOMAIN1\HOST1$] WITH DEFAULT_SCHEMA = dbo;
ローカルデータベース:
ローカルデータベースの権限を設定するには、以下の手順を実行します。
-
名前構文
CitrixAccessSecurity<Site Name>を使用して空のデータベースを作成します。ここで、<Site Name>は Secure Private Access のサイト名です。(例: CitrixAccessSecuritySPA)。CREATE DATABASE CitrixAccessSecurity<SiteName> -
NT AUTHORITY\SYSTEMユーザー用に SQL Server ログインを作成します。ログインがすでに作成されている場合は、この手順を無視できます。USE CitrixAccessSecurity<SiteName>CREATE LOGIN [NT AUTHORITY\SYSTEM] FROM WINDOWS -
「NT AUTHORITY\SYSTEM」という名前のユーザーに db_owner ロールを割り当てます。
USE CitrixAccessSecurity<SiteName>EXEC sys.sp_addrolemember [db_owner], 'NT AUTHORITY\SYSTEM'ALTER USER [NT AUTHORITY\SYSTEM] WITH DEFAULT_SCHEMA = dbo;
データベースを手動で作成すると、ダウンロードされたデータベーススクリプトがマシンIDに権限を追加します。
トラブルシューティングログのログレベルを変更する
トラブルシューティングログは、デフォルトのエラーログレベルです。
トラブルシューティングログのログレベルを変更するには、ランタイムサービスのappsettings.jsonファイル（C:\Program Files\Citrix\Citrix Access Security\Runtime\RuntimeService）内で、
TroubleshootingSqlのrestrictedToMinimumLevelを以下のいずれかの値に更新してください。
- Information
- Debug
- Warning
- Error
"TroubleshootingSql": {
"restrictedToMinimumLevel": "Error",
"batchPostingLimit": 50,
"batchPeriod": "00:00:05" // 5 seconds
}
アプリケーション起動 / Citrix Secure Access ログイン失敗
Netscaler Gateway 証明書がローテーションされると、アプリケーションの起動または Citrix Secure Access ログインが失敗します。
解決策: Secure Private Access管理コンソールで証明書を更新します。
-
設定 > 統合に移動します。
-
Public NetScaler Gateway addressセクションで、証明書の更新をクリックします。更新が完了するまでに数分かかる場合があります。
詳細については、統合設定の変更を参照してください。