セキュリティキーの管理

最終公開日 : Nov 13, 2026
注:
この機能は、StoreFront™ 1912 LTSR CU2以降と組み合わせて使用する必要があります。
この機能を使用すると、承認されたStoreFrontおよびCitrix GatewayマシンのみがCitrix Delivery Controllerと通信できるようになります。この機能を有効にすると、キーを含まないすべての要求はブロックされます。この機能を使用して、内部ネットワークから発生する攻撃から保護するための追加のセキュリティ層を追加します。
この機能を使用するための一般的なワークフローは次のとおりです。
  1. Studioで機能設定を表示できるようにします。
  2. サイトの設定を構成します (StudioコンソールまたはPowerShellを使用)。
  3. StoreFrontで設定を構成します (PowerShellを使用)。
  4. Citrix ADCで設定を構成します (PowerShellを使用)。
Related information
管理

Studioで機能設定を表示できるようにする

デフォルトでは、セキュリティキーの設定はStudioに表示されません。Studioでこれらを表示できるようにするには、次のようにPowerShell SDKを使用します。
この機能を有効にするには、次の手順を実行します。
  1. Citrix Virtual Apps and Desktops™ リモート パワーシェル SDK を実行します。
  2. コマンドウィンドウで、次のコマンドを実行します。
    • Add-PSSnapIn Citrix*。このコマンドはCitrixスナップインを追加します。
    • Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"
Remote PowerShell SDKの詳細については、「SDKとAPI」を参照してください。

サイトの設定を構成する

StudioコンソールまたはPowerShellを使用して、Studioで設定を構成できます。

Studioコンソールを使用する

「Studioで機能設定を表示できるようにした後、Studio > 構成 > セキュリティキーの管理 に移動します。セキュリティキーの管理 オプションが表示されない場合は、更新 をクリックする必要がある場合があります。
セキュリティキーの管理 をクリックすると、セキュリティキーの管理 ウィンドウが表示されます。
セキュリティキーの管理ウィザード
重要:
  • 使用できるキーは2つあります。XMLポートおよびSTAポートを介した通信には、同じキーまたは異なるキーを使用できます。一度に1つのキーのみを使用することをお勧めします。未使用のキーは、キーローテーションにのみ使用されます。
  • 使用中のキーを更新するために更新アイコンをクリックしないでください。クリックすると、サービスが中断されます。
更新アイコンをクリックして、新しいキーを生成します。
XMLポートを介した通信にキーを要求する（StoreFrontのみ）。選択した場合、XMLポートを介した通信を認証するためにキーが必要になります。StoreFrontはこのポートを介してCitrix Cloudと通信します。XMLポートの変更については、Knowledge Centerの記事CTX127945を参照してください。
STAポートを介した通信にキーを要求する。選択した場合、STAポートを介した通信を認証するためにキーが必要になります。Citrix GatewayとStoreFrontはこのポートを介してCitrix Cloudと通信します。STAポートの変更については、Knowledge Centerの記事CTX101988を参照してください。
変更を適用した後、閉じる をクリックして セキュリティキーの管理 ウィンドウを終了します。

PowerShell を使用する

以下は、Studio操作に相当するPowerShellの手順です。
  1. Citrix Virtual Apps and Desktops Remote PowerShell SDK を実行します。
  2. コマンドウィンドウで、次のコマンドを実行します。
    • Add-PSSnapIn Citrix*
  3. キーを生成し、Key1を設定するには、次のコマンドを実行します。
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey1 <the key you generated>
  4. 以下のコマンドを実行してキーを生成し、Key2 をセットアップします。
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey2 <the key you generated>
  5. 通信の認証でキーの使用を有効にするには、以下のコマンドのいずれか、または両方を実行します。
    • XMLポート経由の通信を認証するには:
      • Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
    • STAポート経由の通信を認証するには:
      • Set-BrokerSite -RequireXmlServiceKeyForSta $true
ガイダンスと構文については、PowerShellコマンドのヘルプを参照してください。

StoreFront で設定を構成する

Studioでの構成が完了したら、PowerShellを使用してStoreFrontで関連設定を構成する必要があります。
StoreFront サーバーで、以下の PowerShell コマンドを実行します。
XMLポートを介した通信のキーを構成するには、コマンド を使用します。例:
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
次のパラメータに適切な値を入力します。
  • Path to store
  • Resource feed name
  • secret
STAポート経由の通信用にキーを構成するには、New-STFSecureTicketAuthorityおよびSet-STFRoamingGatewayコマンドを使用します。例:
$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
次のパラメータに適切な値を入力します。
  • Gateway name
  • STA URL
  • Secret
ガイダンスと構文については、PowerShellコマンドのヘルプを参照してください。

Citrix ADCでの設定

注:
Citrix ADCをゲートウェイとして使用しない限り、Citrix ADCでこの機能を構成する必要はありません。Citrix ADCを使用する場合は、以下の手順に従ってください。
  1. 次の前提条件となる構成がすでに設定されていることを確認してください。
    • 次のCitrix ADC関連のIPアドレスが構成されています。
      • Citrix ADCコンソールにアクセスするためのCitrix ADC管理IP (NSIP) アドレス。詳細については、「NSIPアドレスの構成」を参照してください。
      ADC管理IPアドレス
      • Citrix ADCアプライアンスとバックエンドサーバー間の通信を有効にするためのサブネットIP（SNIP）アドレス。詳細については、「サブネットIPアドレスの構成」を参照してください。
      • セッション起動のためにADCアプライアンスにログインするためのCitrix Gateway仮想IPアドレスとロードバランサー仮想IPアドレス。詳細については、「仮想サーバーの作成」を参照してください。
      サブネットIPアドレス
    • Citrix ADCアプライアンスで必要なモードと機能が有効になっています。
      • モードを有効にするには、Citrix ADC GUIで System > Settings > Configure Mode に移動します。
      • 機能を有効にするには、Citrix ADC GUIで System > Settings > Configure Basic Features に移動します。
    • 証明書関連の構成が完了しています。
      • 証明書署名要求（CSR）が作成されます。詳細については、「証明書の作成」を参照してください。
      CSR証明書の作成 サーバー証明書のインストールCA証明書のインストール
      • Citrix Virtual Desktops用にCitrix Gatewayが作成されています。STA接続のテスト ボタンをクリックして接続をテストし、仮想サーバーがオンラインであることを確認します。詳細については、「Citrix Virtual Apps and Desktops向けCitrix ADCのセットアップ」を参照してください。
      仮想デスクトップ用ゲートウェイ
  2. リライトアクションを追加します。詳細については、「リライトアクションの構成」を参照してください。
    1. 「AppExpert > Rewrite > Actions」に移動します。
    2. 追加 をクリックして、書き換えアクションを追加します。アクションの名前を「set Type to INSERT_HTTP_HEADER」にすることができます。
    書き換えアクションの追加(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/adc-appexpert-rewrite-action.png)
    1. タイプで、INSERT_HTTP_HEADERを選択します。
    2. ヘッダー名に「X-Citrix-XmlServiceKey」と入力します。
    3. 式に、引用符付きで<XmlServiceKey1 value>を追加します。XmlServiceKey1 の値は、Desktop Delivery Controller™ の構成からコピーできます。
    XMLサービスキーの値(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/xml-service-key-values.png)
  3. 書き換えポリシーを追加します。詳細については、「書き換えポリシーの構成」を参照してください。
    1. 「AppExpert > Rewrite > Policies」に移動します。
    2. 追加 をクリックして、ポリシーを追加します。
    書き換えポリシーの追加(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/adc-appexpert-rewrite-policy.png)
    1. アクションで、前の手順で作成したアクションを選択します。
    2. 式に「HTTP.REQ.IS_VALID」を追加します。
    3. OKをクリックします。
  4. 負荷分散を設定します。STAサーバーごとに1つの負荷分散仮想サーバーを構成する必要があります。構成しない場合、セッションの起動に失敗します。
    詳細については、基本的な負荷分散のセットアップを参照してください。
    1. 負荷分散仮想サーバーを作成します。
      • トラフィック管理 > ロードバランシング > サーバーに移動します。
      • 仮想サーバー ページで、追加 をクリックします。
      負荷分散サーバーを追加
      • Protocolで、HTTPを選択します。
      • 負荷分散仮想IPアドレスを追加し、Portで80を選択します。
      • OKをクリックします。
    2. 負荷分散サービスを作成します。
      • トラフィック管理 > ロードバランシング > サービスに移動します。
      負荷分散サービスを追加
      • Existing Serverで、前のステップで作成した仮想サーバーを選択します。
      • ProtocolでHTTPを選択し、Portで80を選択します。
      • OKをクリックし、その後Doneをクリックします。
    3. サービスを仮想サーバーにバインドします。
      • 以前に作成した仮想サーバーを選択し、編集をクリックします。
      • サービスとサービスグループで、ロードバランシング仮想サーバーサービスバインディングなしをクリックします。
      仮想サーバーにサービスをバインド(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/adc-bind-service-to-lbvserver.png)
      • サービスバインディング で、以前に作成したサービスを選択します。
      • バインドをクリックします。
    4. 以前に作成した書き換えポリシーを仮想サーバーにバインドします。
      • 以前に作成した仮想サーバーを選択し、編集をクリックします。
      • 詳細設定で、ポリシーをクリックし、次にポリシーセクションで**+**をクリックします。
      書き換えポリシーをバインド(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/adc-bind-rewrite-policy.png)
      • ポリシーの選択で書き換えを選択し、タイプの選択で要求を選択します。
      • 続行をクリックします。
      • ポリシーの選択で、以前に作成した書き換えポリシーを選択します。
      • バインドをクリックします。
      • 完了をクリックします。
    5. 必要に応じて、仮想サーバーの永続性を設定します。
      • 以前に作成した仮想サーバーを選択し、編集をクリックします。
      • 詳細設定で、永続性をクリックします。
      永続性の設定(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/adc-lb-vserver-persistence.png)
      • 永続性の種類としてその他を選択します。
      • 仮想サーバーによって選択されたサービスのIPアドレス（宛先IPアドレス）に基づいて永続性セッションを作成するには、DESTIPを選択します。
      • IPv4ネットマスクで、DDCと同じネットワークマスクを追加します。
      • OKをクリックします。
    6. 他の仮想サーバーについても、これらの手順を繰り返します。

Citrix ADCアプライアンスがCitrix Virtual Desktops™で既に構成されている場合の構成変更

Citrix ADCアプライアンスをCitrix Virtual Desktopsで既に構成している場合、Secure XML機能を使用するには、以下の構成変更を行う必要があります。
  • セッション起動前に、ゲートウェイのセキュリティチケット機関URLを、負荷分散仮想サーバーのFQDNを使用するように変更します。
  • TrustRequestsSentToTheXmlServicePort パラメーターがFalseに設定されていることを確認してください。デフォルトでは、TrustRequestsSentToTheXmlServicePort パラメーターはFalseに設定されています。ただし、顧客がCitrix Virtual Desktops用にCitrix ADCを既に構成している場合、TrustRequestsSentToTheXmlServicePort はTrueに設定されます。
  1. Citrix ADC GUIで、構成 > Citrix製品との統合に移動し、XenApp and XenDesktop®をクリックします。
  2. ゲートウェイインスタンスを選択し、編集アイコンをクリックします。
    既存のゲートウェイ構成を編集(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/edit-gateway-instance.png)
  3. StoreFrontペインで、編集アイコンをクリックします。
    StoreFrontの詳細を編集(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/edit-storefront-details.png)
  4. Secure Ticket Authority URLを追加します。
    • Secure XML機能が有効になっている場合、STA URLはロードバランシングサービスのURLである必要があります。
    • Secure XML機能が無効になっている場合、STA URLはSTAのURL（DDCのアドレス）である必要があり、DDC上のTrustRequestsSentToTheXmlServicePortパラメーターはTrueに設定する必要があります。
    STA URLを追加(/en-us/citrix-virtual-apps-desktops/2203-ltsr/media/add-sta-urls.png)