Secure Private Access 向けコネクタアプライアンス

• *.nssvc.net
• *.netscalermgmt.net
• *.citrixworkspacesapi.net
• *.citrixnetworkapi.net
• *.citrix.com
• *.servicebus.windows.net
• *.adm.cloud.com

コネクタアプライアンスを使用したセキュアプライベートアクセスの構成

1. リソースの場所に2つ以上のコネクタアプライアンスをインストールします。
   コネクタアプライアンスのセットアップの詳細については、「Connector Appliance for Cloud Services」を参照してください。
2. KCDを使用してオンプレミスのWebアプリに接続するようにセキュアプライベートアクセスを構成するには、次の手順を実行してKCDを構成します。
   1. コネクタアプライアンスをActive Directoryドメインに参加させます。
      Active Directory フォレストに参加すると、Secure Private Access の構成時に Kerberos Constrained Delegation (KCD) を使用できるようになりますが、ID リクエストや認証で Connector Appliance を使用できるようにはなりません。
      • Connector Appliance コンソールに表示されている IP アドレスを使用して、ブラウザで Connector Appliance の管理ウェブページに接続します。
      • Active Directory ドメインセクションで、+ Active Directory ドメインの追加をクリックします。
        管理ページにActive Directory ドメインセクションがない場合は、Citrix® に連絡してプレビューへの登録をリクエストしてください。
      • ドメイン名フィールドにドメイン名を入力します。追加をクリックします。
      • Connector Appliance がドメインをチェックします。チェックが成功すると、Active Directory に参加ダイアログが開きます。
      • このドメインへの参加権限を持つ Active Directory ユーザーのユーザー名とパスワードを入力します。
      • Connector Appliance がマシン名を提案します。提案された名前を上書きして、最大15文字の独自のマシン名を入力できます。マシンアカウント名をメモしておいてください。
        このマシン名は、Connector Appliance が Active Directory ドメインに参加するときに作成されます。
      • 参加をクリックします。
   2. ロードバランサーなしでWebサーバーのKerberos Constrained Delegationを構成します。
      
      • コネクタアプライアンスのコンピューター名を特定します。この名前は、ホストした場所から、またはコネクタUIから取得できます。
      • Active Directory コントローラーで、コネクタアプライアンスのコンピューターを探します。
      • Connector Appliance コンピューターアカウントのプロパティに移動し、委任タブに移動します。
      • 指定されたサービスへの委任に対してこのコンピューターを信頼するを選択し、次に任意の認証プロトコルを使用するを選択します。
        認証プロトコル(/en-us/citrix-secure-private-access/media/connector-appliance-authentication-protocol.png)
      • 追加をクリックします。
      • ユーザーまたはコンピューターをクリックします。
      • ターゲットWebサーバーのコンピューター名を入力し、名前の確認をクリックします。上記の画像では、KCD2K8がWebサーバーです。 Webサーバーのターゲット(/en-us/citrix-secure-private-access/media/connector-appliance-check-names.png)
      • OKをクリックします。
      • サービスの種類としてhttpを選択します。
        HTTPサービスの種類(/en-us/citrix-secure-private-access/media/connector-appliance-service-type.png)
      • OKをクリックします。
      • 適用をクリックし、次にOKをクリックします。
        Webサーバーが追加されました(/en-us/citrix-secure-private-access/media/connector-appliance-webserver-added.png)
      これで、Webサーバーの委任を追加する手順は完了です。
   3. ロードバランサーの背後にあるWebサーバーのKerberos制約付き委任（KCD）を構成します。
      • 次のsetspnコマンドを使用して、ロードバランサーのSPNをサービスアカウントに追加します。 setspn -S HTTP/<web_server_fqdn> <service_account>
        SPNの設定(/en-us/citrix-secure-private-access/media/connector-appliance-setspn.png)
      • 次のコマンドを使用して、サービスアカウントのSPNを確認します。 setspn -l <service_account>
        
      • コネクタアプライアンスのコンピューターアカウントの委任を作成します。
        • ロードバランサーなしで WebサーバーのKerberos制約付き委任を構成する の手順に従って、CAマシンを特定し、委任UIに移動します。
        • ユーザーとコンピューターを選択し、サービスアカウント（例: aaa\svc_iis3）を選択します。
        • サービスで、ServiceType: HTTPのエントリとユーザーまたはコンピューター: Webサーバー（例: kcd-lb.aaa.local）を選択します。
        • OKをクリックします。
        • 適用をクリックし、OKをクリックします。
   4. グループ管理サービスアカウントのKerberos制約付き委任（KCD）を構成します。
      • まだ追加していない場合は、グループ管理サービスアカウントにSPNを追加します。 setspn -S HTTP/<web_server_fqdn> <group_manged_service_account>
      • 次のコマンドを使用してSPNを確認します。 setspn -l <group_manged_service_account>
      グループ管理サービスアカウントは、コンピューターアカウントの委任エントリを追加する際にUsers and Computers検索に表示されないため、通常の方法でコンピューターアカウントの委任を追加することはできません。したがって、属性エディターを介して、このSPNをCAコンピューターアカウントへの委任エントリとして追加できます。
      • Connector Applianceのコンピュータープロパティで、属性エディタータブに移動し、msDA-AllowedToDeleteTo属性を探します。
      • msDA-AllowedToDeleteTo attributeを編集し、SPNを追加します。
      )
      属性エディター2(/en-us/citrix-secure-private-access/media/connector-appliance-attribute-editor-managed-account2.png))
   5. シトリックス ゲートウェイ コネクタ™ から シトリックス コネクタ アプライアンス へ移行します。
      • ゲートウェイコネクタを構成する際にSPNはすでにサービスアカウントに設定されているため、新しいKerberosアプリが構成されていない場合、サービスアカウントにこれ以上SPNを追加する必要はありません。以下のコマンドでサービスアカウントに割り当てられているすべてのSPNのリストを表示し、それらをCAコンピューターアカウントの委任エントリとして割り当てることができます。
      setspn -l <service_account>
      SPNを設定(/en-us/citrix-secure-private-access/media/connector-appliance-migration-setspn.png)
      この例では、SPN (kcd-lb.aaa.local, kcd-lb-app1.aaa.local, kcd-lb-app2.aaa.local, kcd-lb-app3.aaa.local) はKCD用に構成されています。
      • 必要なSPNをコネクタアプライアンスのコンピューターアカウントに委任エントリとして追加します。詳細については、「コネクタアプライアンスのコンピューターアカウントの委任を作成する」の手順を参照してください。
      コンピューターアカウントにSPNを追加(/en-us/citrix-secure-private-access/media/connector-appliance-migration-kcd.png)
      この例では、必要なSPNはCAコンピューターアカウントの委任エントリとして追加されています。
      注: これらのSPNは、ゲートウェイコネクタを構成する際に、委任エントリとしてサービスアカウントに追加されました。サービスアカウントの委任から移行するため、これらのエントリはサービスアカウントの委任タブから削除できます。
   6. Citrix Secure Private Access™ サービスをセットアップするには、Citrix Secure Private Access™ のドキュメントに従ってください。セットアップ中に、Citrix Cloud はコネクタアプライアンスの存在を認識し、それらを使用してリソースの場所に接続します。
   • Citrix Secure Private Access の使用を開始する
   • Citrix Secure Private Access を構成する
   • クラウドサービス用コネクタアプライアンス
   • インターネット接続要件。
   • エンタープライズWebアプリのサポート

Kerberos構成の検証

1. Connector Appliance管理ページに移動します。
   1. ハイパーバイザーのConnector Applianceコンソールから、IPアドレスをブラウザのアドレスバーにコピーします。
   2. Connector Applianceを登録したときに設定したパスワードを入力します。
2. 右上にある管理者メニューから、Kerberos検証を選択します。
3. Kerberos検証ダイアログで、Kerberos検証モードを選択します。
4. Active Directoryドメインを指定または選択します。
   • Kerberosレルムのみモード構成を検証している場合は、任意のActive Directoryドメインを指定できます。
   • Kerberos制約付き委任構成を検証している場合は、結合されたフォレスト内のドメインのリストから選択する必要があります。
5. サービスFQDNを指定します。デフォルトのサービス名はhttpと想定されます。「computer.example.com」を指定した場合、これはhttp/computer.example.comと同じと見なされます。
6. ユーザー名を指定します。
7. Kerberosレルムのみモード構成を検証している場合は、そのユーザー名のパスワードを指定します。
8. Kerberosのテストをクリックします。