Windowsログオン前のAlways On

最終公開日 : Oct 24, 2026
Secure Private Access Always On接続により、管理対象デバイスはWindowsログオン前（マシントンネルのみ）およびログオン後も常にエンタープライズネットワークに接続されていることが保証されます。Always On機能は、ユーザーがWindowsシステムにログオンする前に、マシンレベルのVPNトンネルを確立します。ユーザーがログオンすると、マシンレベルのVPNトンネルはユーザーレベルのVPNトンネルに置き換えられます。アプリケーションアクセスは、マシンレベルのトンネルにはマシンに割り当てられたポリシーに基づいて、ユーザーレベルのトンネルにはユーザーに割り当てられたポリシーに基づいて行われます。
Secure Private Access Always On (Windowsログオン前、マシントンネル) 機能は、以下のマシンでサポートされています。
  • Active Directoryドメイン参加済みWindowsマシン
  • Microsoft Entra IDハイブリッドドメイン参加済みWindowsマシン
Windowsログオン前のAlways Onは、Active Directoryを使用したコンピューターデバイス証明書ベースの認証によって認証されます。
デバイス証明書は、Active Directoryエンタープライズ証明機関 (CA) によって発行されます。デバイス証明書は、ドメイン参加済みWindowsマシンごとに一意です。
注:
  • 1層から多層のMicrosoftエンタープライズ証明機関がサポートされています。
  • Secure Private Access Always On (Windowsログオン後、ユーザー トンネル) は、Active Directoryの以下の自動ログオン認証方法のいずれかによって実現されます。
  • Secure Private Access Always On (Windowsログオン後、ユーザー トンネル) は、Microsoft Entra IDハイブリッド参加済みマシン向けの以下の自動ログオン認証方法、つまりMicrosoft Entra ID認証のプライマリ更新トークン (PRT) を使用したSSOによって実現されます。
    エンドユーザーに常に資格情報の入力を求めるを無効にします。
Related information
TCP/UDPアプリのサポート

Always Onはどのように機能しますか?

次の図は、Windowsログオン前のAlways On機能のワークフローを示しています。
Always Onワークフロー(/en-us/citrix-secure-private-access/media/spa-ztna-always-on-how-it-works.png)
  • Citrix Identity Brokerはデバイス証明書を検証し、起動直後にデバイスを認証します。デバイス証明書の検証手順は次のとおりです。
    • クライアントは、Secure Private Access管理コンソールにアップロードされたCA証明書に基づいてデバイス証明書を提示します。
    • Citrix IDプロバイダーはデバイス証明書ベースの認証を実行します。
    • Citrix IDプロバイダーは次の詳細を検証します。
      • デバイス証明書の署名
      • CRLベースのデバイス証明書失効チェック
      • Active Directoryコンピューターオブジェクトに対するデバイス証明書の検証
  • デバイス証明書の検証が成功すると、アクセスポリシーに基づいて、デバイスと社内リソースの間にセキュアなマシントンネルが確立されます。
  • Active Directoryへのアクセスを許可すると、WindowsログオンはActive Directoryでユーザー資格情報を認証し、パスワードの有効期限とパスワード変更をサポートします。
  • Windowsログオン後、マシンレベルのトンネルは、自動ログオン付きのユーザートンネルに自動的に置き換えられます。ユーザートンネルの障害/切断時には、接続はマシントンネルにフォールバックします。
  • 自動ログイン機能は、Active DirectoryおよびハイブリッドMicrosoft Entra ID環境でサポートされています。

Active DirectoryおよびMicrosoft Entra IDハイブリッドAD構成

Windowsマシンは、Always Onの前提条件として、Active DirectoryまたはMicrosoft Entra IDハイブリッド参加済みである必要があります。Always Onマシン認証用のデバイス証明書を発行するには、Active Directoryエンタープライズ証明機関が必要です。証明書の失効は、証明機関のLDAP URL構成を持つCDP拡張に基づいて検証されます。

デバイス証明書登録の構成

デバイス証明書の登録には、次の手順が含まれます。
  1. Active Directoryエンタープライズ証明機関は、マシン認証用のデバイス証明書を発行します。
  2. 証明機関は、CRL配布ポイント (CDP) 拡張機能のLDAP URLを公開している必要があります。
    常にオンのCRL CDP(/en-us/citrix-secure-private-access/media/spa-ztna-always-on-crl-cdp.png)
  3. この証明機関に、以下の詳細でデバイス証明書を登録するための証明書テンプレートを作成する必要があります。
    1. 証明書テンプレートスナップインを開き、コンピューターまたはワークステーション認証 (推奨) テンプレートのいずれかを複製します。
    2. 証明書に新しい名前を指定します。
    3. サブジェクト名タブに切り替え、サブジェクト名形式の設定を共通名に変更し、代替サブジェクト名に**ユーザープリンシパル名 (UPN)**を含めるようにチェックします。
      常にオンのサブジェクト名(/en-us/citrix-secure-private-access/media/spa-ztna-always-on-common-name-upn.png)
    4. セキュリティタブに切り替え、新しい証明書テンプレートを自動登録するセキュリティグループ (コンピューターアカウントのみを含む) を追加します。追加したグループを選択し、自動登録に対して許可を選択します。
      常にオンの認証済みユーザー(/en-us/citrix-secure-private-access/media/spa-ztna-always-on-auto-enroll.png)
      注:
      上の画像では、認証済みユーザー (すべてのコンピューターオブジェクト) が新しい証明書テンプレートの登録/自動登録を許可されています。
    5. (オプション) 自動証明書登録を許可するグループポリシーオブジェクト (GPO) を作成し、それを組織単位 (OU) またはドメインレベルにバインドします。
    常にオンの自動登録証明書(/en-us/citrix-secure-private-access/media/spa-ztna-always-on-autoenroll-certificate.png)

セキュア プライベート アクセス の構成

以下のセクションでは、Secure Private Access の構成に関する詳細情報を提供します。

Windows ログオン前のAlways On (マシン トンネル) を構成する

  1. Secure Private Access 管理コンソールで、 > に移動します。
    注:
    > にある オプションを、 > の代わりに使用することをお勧めします。 > オプションは、今後のサービスリリースで削除される予定です。
  2. ページで、 タブをクリックします。
    トグルスイッチは、Windows ログオン前のAlways On 機能でデフォルトで有効になっています。
  3. CA 証明書をアップロードします。 をクリックし、証明書を選択して、 をクリックします。
  4. に、証明書の名前を入力します。
  5. で、ローカルドライブを参照して証明書ファイルをアップロードします。
    • ルートCAと中間CAの両方の証明書がサポートされています。アップロードする証明書はPEM形式であり、チェーン全体を含める必要があります。証明書は、中間証明書からルートCAまで生成されている必要があります。
    • 証明書がCER形式の場合は、LinuxまたはMacターミナルで次のコマンドを実行して、証明書をPEM形式に変換します。証明書をPEM形式に変換した後、Secure Private Accessユーザーインターフェイスで証明書をアップロードします。
      openssl x509 -in /Users/t_abhishes2/Downloads/cert12.crt out/Users/t_abhishes2/Downloads/cer_pem12_ao.pem
  6. 「保存」をクリックします。
    証明書は、 タブの利用可能な証明書のリストに追加されます。
  7. Active Directory に TCP/UDP サーバーとしてアクセスするための TCP/UDP アプリケーションを作成します。例: Active Directory ドメイン、IP アドレス、ポート。これは、AD 資格情報を使用した Windows ユーザーログオン用です。TCP/UDP アプリの作成の詳細については、「管理者構成 – Citrix Secure Access クライアントベースの TCP/UDP アプリへのアクセス」を参照してください。
  8. Windows ログオン前およびユーザーレベルのトンネル移行前にアクセスする必要がある場合は、追加のアプリケーションを作成します。
  9. アクセス ポリシーを作成し、ドメイン参加済みマシンまたはその AD グループにアクセスを提供します。
    1. Secure Private Access 管理コンソールで、 をクリックし、次に をクリックします。
    2. ポリシー名とポリシーの説明を入力します。
    3. で、このポリシーを適用するアプリまたはアプリのセットを選択します。
    4. をクリックして、ポリシーのルールを作成します。
      • ルール名とルールの簡単な説明を入力し、 をクリックします。
      • で、 を選択します。
        注:
        マシンを選択すると、マシンレベルのトンネルは単一要素認証に基づいているため、アクセス権限が制限されます。
      • 一致条件とドメインを選択し、ポリシーを適用するマシン/グループを検索します。必要に応じて条件を追加します。完了したら、 をクリックします。
        • いずれかに一致 – フィールドにリストされている名前のいずれかに一致し、選択したドメインに属するマシン/グループのみがアクセスを許可されます。
        • いずれにも一致しない – フィールドにリストされているものおよび選択したドメインに属するもの以外のすべてのマシン/グループがアクセスを許可されます。
          常時接続ポリシー
  10. 条件評価に基づいて適用する次のいずれかのアクションを選択します。
    • アクセスを許可
    • アクセスを拒否
  11. 「次へ」をクリックし、「完了」をクリックします。
  12. (オプション) 地理的位置やネットワーク位置などの追加ルールを作成します。詳細については、「アクセスポリシーの構成」を参照してください。
    ポリシーは「アクセスポリシー」ページに表示されます。デフォルトでは、ポリシーに優先順位が割り当てられます。値が小さい優先順位ほど、優先度が高くなります。優先順位番号が最も低いポリシーが最初に評価されます。ポリシーが定義された条件と一致しない場合、次のポリシーが評価されます。条件が一致した場合、他のポリシーはスキップされます。

コネクタアプライアンスの構成

Connector Appliance は、Always On デバイス証明書認証のために、デバイス証明書の検証、証明書失効チェック (CRL)、およびデバイスオブジェクトの検証を実行します。デバイス証明書認証をサポートするには、Connector Appliance が Active Directory ドメインにドメイン参加している必要があります。

クライアント構成

  • Always On をサポートする必要がある Windows マシンは、Active Directory または Entra ID ハイブリッドにドメイン参加している必要があります。
  • Windows マシンは、Secure Private Access Always On のために、エンタープライズ証明機関からデバイス証明書を登録する必要があります。
  • デバイス証明書の属性には、次の詳細を含める必要があります。
    • デバイス証明書の発行者名は、Secure Private Access 管理コンソールにアップロードされた CA 証明書の共通名と一致する必要があります。
      Always On CA 発行者名
    • サブジェクトには、コンピューターの共通名を含める必要があります。
      Always On サブジェクト名
    • サブジェクト代替名 (SAN) には、コンピューターの UPN を含める必要があります。
      常時接続 SAN
    • CRL配布ポイントには、適切なLDAP URLが含まれている必要があります。
      常時接続 CRL DP(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-crl-cdp.png)
    • 認証パスは、証明機関チェーンに適切である必要があります。
      常時接続 CRL DP(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-cert-path.png)
  • Always On 用の Citrix Secure Access クライアントをインストールします。
  • Windowsログオン前にAlways Onを有効にするには、クライアントに次のレジストリを作成する必要があります。
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client のレジストリパスにある CloudAlwaysOnURL。
      レジストリの種類 - STRING
      レジストリ値 - <Customer store FQDN> (例: company.cloud.com)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client にある AlwaysOnService。
      レジストリの種類 - DWORD
      レジストリ値 - 0x00000002

Windowsログオン後にAlways Onを構成する（マシン/ユーザー トンネル）

Windowsログオンが成功した後、Citrix Secure Access クライアントでのユーザーログインが成功するまで、マシン トンネルは継続します。
  • ユーザーの自動ログインが成功すると、マシン トンネルはユーザー トンネルに移行されます。
  • ユーザーの自動ログインが失敗した場合、マシントンネルは継続されます。
  • ユーザーのトンネルが切断された場合、接続は自動的にマシントンネルにフォールバックします。
Windowsログオン後のユーザー自動ログオンは、StoreFront Cloud認証構成において以下の認証方法でサポートされています。
  • Active Directoryによる認証（第二要素なし） - AD資格情報SSO
  • Kerberos SSOで構成されたCitrix Gateway/Adaptive Authによる認証
  • Azure Active Directoryによる認証（Microsoft Entra ID認証のプライマリ更新トークン（PRT）によるSSO）。
注:
エンドユーザーに常に資格情報の入力を求めるを無効にします。

制限事項

  • コンピューターのUPNホスト名は15文字を超えてはなりません。
  • Windows自動ログオン（初回ユーザー（FTU））は、マシンがドメインに参加しており、デバイス証明書が存在する場合にのみサポートされます。
  • Windowsログオン前のAlways On機能は、Windows 10以降のバージョンでのみサポートされています。
  • Windowsログオン前のAlways On機能は、Windows Serverオペレーティングシステムではサポートされていません。
  • Windowsログオン前のAlways On機能は、Cloud Connectorではサポートされていません。優先コネクタとしてConnector Applianceを選択していない場合でも、マシントンネルトラフィックはConnector Applianceを経由します。

参照

  • セキュア プライベート アクセス コンソールでTCP/UDPアプリケーションを作成する
  • TCP/UDPアプリケーションにアクセスポリシーを割り当てる(/ja-jp/citrix-secure-private-access/service/admin-guided-workflow-for-easy-onboarding-and-setup.html#step-3-configure-an-access-policy-with-multiple-rules)
  • オンプレミスのCitrix GatewayをCitrix CloudへのIDプロバイダーとして接続する(/ja-jp/citrix-cloud/citrix-cloud-management/identity-access-management/connect-ad-gateway.html)
  • 適応型認証のプロビジョニング