汎用USBリダイレクトとクライアントドライブに関する考慮事項
HDX™テクノロジーは、ほとんどの一般的なUSBデバイスに対して最適化されたサポートを提供します。最適化されたサポートは、WAN経由でのパフォーマンスと帯域幅効率を向上させ、ユーザーエクスペリエンスを改善します。最適化されたサポートは、特に高遅延またはセキュリティに敏感な環境において、通常は最良の選択肢です。
HDXテクノロジーは、最適化されたサポートがない、または不適切な特殊なデバイスに対して汎用USBリダイレクトを提供します。たとえば、次のような場合です。
-
USBデバイスに、最適化されたサポートに含まれていないより高度な機能がある場合（たとえば、マウスやWebカメラにボタンが多い場合など）。
-
ユーザーが最適化されたサポートに含まれていない機能を必要とする場合。
-
USBデバイスが特殊なデバイスである場合（たとえば、テストおよび測定機器や産業用コントローラーなど）。
-
アプリケーションがUSBデバイスとしてデバイスに直接アクセスを必要とする場合。
-
USBデバイスにWindowsドライバーしか利用できない場合。たとえば、スマートカードリーダーには、Android版Citrix Workspace™アプリ用のドライバーが利用できない場合があります。
-
Citrix Workspaceアプリのバージョンが、この種のUSBデバイスに対して最適化されたサポートを提供しない場合。
汎用USBリダイレクトを使用する場合：
-
ユーザーはユーザーデバイスにデバイスドライバーをインストールする必要がありません。
-
USBクライアントドライバーはVDAマシンにインストールされます。
重要：
-
汎用USBリダイレクトは、最適化されたサポートと組み合わせて使用できます。汎用USBリダイレクトを有効にする場合は、汎用USBリダイレクトと最適化されたサポートの両方に対してCitrixのUSBデバイスポリシー設定を構成します。
-
クライアントUSBデバイス最適化ルールのCitrixポリシー設定は、特定のUSBデバイスに対する汎用USBリダイレクトの固有の設定です。ここで説明されている最適化されたサポートには適用されません。
USBデバイスのパフォーマンスに関する考慮事項
一部の種類のUSBデバイスで汎用USBリダイレクトを使用する場合、ネットワークの遅延と帯域幅がユーザーエクスペリエンスとUSBデバイスの動作に影響を与える可能性があります。たとえば、タイミングに敏感なデバイスは、高遅延で低帯域幅のリンクでは正しく動作しない場合があります。可能な場合は、代わりに最適化されたサポートを使用してください。
一部のUSBデバイスは、使用するために高い帯域幅を必要とします。たとえば、3Dマウス（通常、高い帯域幅を必要とする3Dアプリで使用されます）などです。帯域幅を増やすことができない場合、帯域幅ポリシー設定を使用して他のコンポーネントの帯域幅使用量を調整することで、問題を軽減できる可能性があります。詳細については、クライアントUSBデバイスリダイレクトの帯域幅ポリシー設定と、マルチストリーム接続ポリシー設定を参照してください。
USBデバイスのセキュリティに関する考慮事項
スマートカードリーダー、指紋リーダー、署名パッドなど、一部のUSBデバイスは本質的にセキュリティに敏感です。USBストレージデバイスなどの他のUSBデバイスは、機密データを送信するために使用される可能性があります。
USBデバイスはマルウェアを配布するためによく使用されます。Citrix WorkspaceアプリとCitrix Virtual Apps and Desktops™の設定により、これらのUSBデバイスからのリスクを軽減できますが、完全に排除することはできません。この状況は、汎用USBリダイレクトを使用する場合でも、最適化されたサポートを使用する場合でも当てはまります。
重要:
セキュリティに敏感なデバイスとデータの場合、常にTLSまたはIPsecのいずれかを使用してHDX接続を保護してください。
必要なUSBデバイスのサポートのみを有効にしてください。このニーズを満たすように、汎用USBリダイレクトと最適化されたサポートの両方を構成してください。
USBデバイスを安全に使用するためのガイダンスをユーザーに提供してください。
-
信頼できる情報源から入手したUSBデバイスのみを使用してください。
-
オープンな環境でUSBデバイスを放置しないでください。たとえば、インターネットカフェでのフラッシュドライブなどです。
-
複数のコンピューターでUSBデバイスを使用するリスクを説明してください。
汎用USBリダイレクトとの互換性
汎用USBリダイレクトは、USB 2.0以前のデバイスでサポートされています。汎用USBリダイレクトは、USB 2.0またはUSB 3.0ポートに接続されたUSB 3.0デバイスでもサポートされています。汎用USBリダイレクトは、スーパースピードなど、USB 3.0で導入されたUSB機能はサポートしていません。
次のCitrix Workspaceアプリは、汎用USBリダイレクトをサポートしています。
-
Windows向けCitrix Workspaceアプリ。詳細については、アプリケーション配信の構成を参照してください。
-
Mac向けCitrix Workspaceアプリ。詳細については、Citrix Workspace app for Macを参照してください。
-
Linux向けCitrix Workspaceアプリ。詳細については、最適化を参照してください。
-
Chrome OS向けCitrix Workspaceアプリ。詳細については、Citrix Workspace app for Chromeを参照してください。
Citrix Workspaceアプリのバージョンについては、Citrix Workspaceアプリの機能マトリックスを参照してください。
以前のバージョンのCitrix Workspaceアプリを使用している場合は、Citrix Workspaceアプリのドキュメントを参照して、汎用USBリダイレクトがサポートされていることを確認してください。サポートされているUSBデバイスの種類に関する制限については、Citrix Workspaceアプリのドキュメントを参照してください。
汎用USBリダイレクトは、VDA for Single-session OSバージョン7.6以降のデスクトップセッションでサポートされています。
汎用USBリダイレクトは、VDA for Multi-session OSバージョン7.6以降のデスクトップセッションでサポートされていますが、次の制限があります。
-
VDAは、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、またはWindows Server 2022を実行している必要があります。
-
USBデバイスドライバーは、完全な仮想化サポートを含め、VDA OS（Windows 2012 R2）のRemote Desktop Session Host（RDSH）と完全に互換性がある必要があります。
一部の種類のUSBデバイスは、リダイレクトしても有用ではないため、汎用USBリダイレクトではサポートされていません。
-
USBモデム。
-
USBネットワークアダプター。
-
USBハブ。USBハブに接続されたUSBデバイスは個別に処理されます。
-
USB仮想COMポート。汎用USBリダイレクトではなく、COMポートリダイレクトを使用してください。
汎用USBリダイレクトでテスト済みのUSBデバイスについては、Citrix Ready Marketplaceを参照してください。一部のUSBデバイスは、汎用USBリダイレクトで正しく動作しません。
汎用USBリダイレクトの構成
汎用USBリダイレクトを使用するUSBデバイスの種類は、個別に制御および構成できます。
-
VDA上で、Citrixポリシー設定を使用します。詳しくは、ポリシー設定リファレンスのクライアントドライブとユーザーデバイスのリダイレクトおよびUSBデバイスポリシー設定を参照してください。
-
Citrix Workspaceアプリで、Citrix Workspaceアプリに依存するメカニズムを使用します。たとえば、管理用テンプレートは、Windows向けCitrix Workspaceアプリを構成するレジストリ設定を制御します。デフォルトでは、特定のクラスのUSBデバイスに対してUSBリダイレクトが許可され、その他のデバイスに対しては拒否されます。詳しくは、Windows向けCitrix Workspaceアプリのドキュメントの構成を参照してください。
この個別の構成により、柔軟性が向上します。例：
-
2つの異なる組織または部門がCitrix WorkspaceアプリとVDAを担当している場合、それぞれが個別に制御を適用できます。この構成は、ある組織のユーザーが別の組織のアプリケーションにアクセスする場合に適用されます。
-
Citrixポリシー設定は、特定のユーザーのみ、またはLAN経由でのみ接続するユーザー（Citrix Gatewayを使用しない場合）に許可されるUSBデバイスを制御できます。
汎用USBリダイレクトを有効にする
汎用USBリダイレクトを有効にし、ユーザーによる手動リダイレクトを不要にするには、Citrixポリシー設定とCitrix Workspaceアプリの接続設定の両方を構成します。
Citrixポリシー設定で：
-
クライアントUSBデバイスリダイレクトをポリシーに追加し、その値を許可に設定します。
-
（オプション）リダイレクトに利用可能なUSBデバイスのリストを更新するには、クライアントUSBデバイスリダイレクト規則設定をポリシーに追加し、USBポリシー規則を指定します。ポリシー設定が完了したら、Citrix Workspaceアプリで:
-
デバイスが手動リダイレクトなしで自動的に接続されるように指定します。これは、管理テンプレートを使用するか、Citrix Workspaceアプリの Windows > Preferences > Connections で行うことができます。接続画像(/en-us/citrix-virtual-apps-desktops/2311/media/connections-generic-usb-devices-receiver.png)
前のステップでVDAのUSBポリシー規則を指定した場合は、Citrix Workspaceアプリにも同じポリシー規則を指定します。
シンクライアントについては、USBサポートの詳細と必要な構成について製造元にお問い合わせください。
汎用USBリダイレクトで利用可能なUSBデバイスの種類を構成する
USBサポートが有効で、USBユーザー設定がUSBデバイスを自動的に接続するように設定されている場合、USBデバイスは自動的にリダイレクトされます。接続バーが存在しない場合も、USBデバイスは自動的にリダイレクトされます。
ユーザーは、USBデバイスリストからデバイスを選択することで、自動的にリダイレクトされないデバイスを明示的にリダイレクトできます。詳細については、Citrix Workspaceアプリ for Windowsのユーザーヘルプ記事「Desktop Viewerでデバイスを表示する」を参照してください。
デバイス画像(/en-us/citrix-virtual-apps-desktops/2311/media/usb-device-list-receiver.png)
最適化されたサポートではなく、汎用USBリダイレクトを使用するには、次のいずれかの方法があります。
-
USBデバイスタイプ（例: AutoRedirectStorage=1）の自動リダイレクトを構成し、USBユーザー設定でUSBデバイスを自動的に接続するように設定することで、汎用USBリダイレクトを使用するUSBデバイスを自動的に選択します。詳しくは、「USBデバイスの自動リダイレクトを構成する」を参照してください。
注:
ウェブカメラがHDXマルチメディアリダイレクトと互換性がないと判明した場合にのみ、ウェブカメラでの使用のために汎用USBリダイレクトを構成してください。
USBデバイスがリストされたりリダイレクトされたりするのを完全に防ぐには、Citrix WorkspaceアプリとVDAにデバイス規則を指定できます。
汎用USBリダイレクトの場合、少なくともUSBデバイスクラスとサブクラスを知る必要があります。すべてのUSBデバイスが、その明白なUSBデバイスクラスとサブクラスを使用するわけではありません。例：
-
ペンはマウスデバイスクラスを使用します。
-
スマートカードリーダーは、ベンダー定義またはHIDデバイスクラスを使用できます。
より正確な制御のためには、ベンダーID、製品ID、およびリリースIDを知る必要があります。この情報はデバイスベンダーから入手できます。
重要:
悪意のあるUSBデバイスは、意図された用途と一致しないUSBデバイス特性を示す可能性があります。デバイスルールは、この動作を防ぐことを目的としていません。
汎用USBリダイレクトで利用可能なUSBデバイスは、デフォルトのUSBポリシー規則を上書きするために、USBデバイスリダイレクト規則を指定することで制御します。
シトリックス DaaS（旧シトリックス バーチャルアプリ＆デスクトップサービス）：
-
ほとんどの場合、Citrix Group Policy Management Console MSI (
CitrixGroupPolicyManagement_x64.msi) をダウンロードしてActive Directoryシステムにインストールし、ADグループポリシーを管理します。（VDAにはMSIをインストールしないでください。） -
Citrix Workspace app for Windowsの場合、ユーザーデバイスのレジストリを編集します。Active Directoryグループポリシーを通じてユーザーデバイスを変更できるように、管理用テンプレート（ADMファイル）がインストールメディアに含まれています：dvd root
\os\lang\Support\Configuration\icaclient_usb.adm
オンプレミス版Citrix Virtual Apps and Desktops：
-
VDAの場合、グループポリシー規則を通じて、マルチセッションOSマシンの管理者上書き規則を編集します。Group Policy Management Consoleはインストールメディアに含まれています：
-
x64: DVDルート
\os\lang\x64\Citrix Policy\CitrixGroupPolicyManagement_x64.msi -
x86: DVD ルート
\os\lang\x86\Citrix Policy\CitrixGroupPolicyManagement_x86.msi
-
-
Citrix Workspace app for Windowsの場合、ユーザーデバイスのレジストリを編集します。Active Directoryグループポリシーを通じてユーザーデバイスを変更できるように、管理用テンプレート（ADMファイル）がインストールメディアに含まれています：dvd root
\os\lang\Support\Configuration\icaclient_usb.adm
警告：
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。レジストリエディターの誤った使用によって発生した問題が解決されることを、Citrixは保証できません。レジストリエディターは、ご自身の責任において使用してください。編集する前に、必ずレジストリをバックアップしてください。
製品のデフォルトルールは、HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\ICA Client\GenericUSB に保存されています。これらの製品のデフォルトルールは編集しないでください。代わりに、この記事の後半で説明する管理者オーバーライドルールを作成するためのガイドとして使用してください。GPOオーバーライドは、製品のデフォルトルールよりも前に評価されます。
管理者オーバーライドルールは、HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\PortICA\GenericUSB\DeviceRules に保存されています。GPOポリシーのルールは、{Allow:
|Deny:} の形式で、その後に空白で区切られた tag=value 式のセットが続きます。
次のタグがサポートされています。
| タグ | 説明 |
|---|---|
| VID | デバイス記述子からのベンダーID |
| PID | デバイス記述子からの製品ID |
| REL | デバイス記述子からのリリースID |
| クラス | デバイス記述子またはインターフェイス記述子のいずれかからのクラス。利用可能なUSBクラスコードについては、<http://www.usb.org/> のUSB Webサイトを参照してください |
| サブクラス | デバイス記述子またはインターフェイス記述子のいずれかからのサブクラス |
| プロトコル | デバイス記述子またはインターフェイス記述子のいずれかからのプロトコル |
ポリシー規則を作成する際は、次の点に注意してください。
-
規則では大文字と小文字は区別されません。
-
規則には、
#で始まるオプションのコメントを末尾に含めることができます。区切り文字は不要で、コメントは照合目的では無視されます。 -
空白行と純粋なコメント行は無視されます。
-
空白は区切り文字として使用されますが、数値または識別子の中央に表示することはできません。たとえば、Deny: Class = 08 SubClass=05 は有効な規則ですが、Deny: Class=0 Sub Class=05 は無効です。
-
タグは一致演算子 = を使用する必要があります。例：VID=1230。
-
各規則は新しい行で開始するか、セミコロン区切りのリストの一部を形成する必要があります。
注：
-
Citrix Virtual Apps and Desktopsバージョン2212以降、一部のUSBデバイスは汎用USBリダイレクト機能の使用が無効になっています。これらのデバイスは、それぞれのベンダーID（VID）と製品ID（PID）を使用して明示的に追加する必要があります。
-
ADMテンプレートファイルを使用している場合は、セミコロン区切りのリストとして、単一行で規則を作成する必要があります。
例：
-
以下は、ベンダーおよび製品識別子に対する管理者定義のUSBポリシー規則の例です。
Allow: VID=046D PID=C626 # Allow Logitech SpaceNavigator 3D Mouse Deny: VID=046D # Deny all Logitech products -
以下は、定義されたクラス、サブクラス、およびプロトコルに対する管理者定義のUSBポリシー規則の例です。
Deny: Class=EF SubClass=01 Prot=01 # Deny MS Active Sync devices Allow: Class=EF SubClass=01 # Allow Sync devices Allow: Class=EF # Allow all USB-Miscellaneous devices
USBデバイスの使用と削除
ユーザーは、仮想セッションを開始する前または後にUSBデバイスを接続できます。
Windows向けCitrix Workspaceアプリを使用する場合、以下が適用されます。
-
セッション開始後に接続されたデバイスは、Desktop ViewerのUSBメニューにすぐに表示されます。
-
USBデバイスが適切にリダイレクトされない場合は、仮想セッションが開始されるまでデバイスの接続を待つことで問題を解決できる場合があります。
-
データ損失を避けるため、USBデバイスを取り外す前にWindowsの「ハードウェアを安全に取り外す」アイコンを使用してください。
USBマスストレージデバイスのセキュリティ制御
USB大容量記憶装置には最適化されたサポートが提供されます。このサポートは、Citrix Virtual Apps and Desktopsのクライアントドライブマッピングの一部です。ユーザーがログオンすると、ユーザーデバイス上のドライブは仮想デスクトップ上のドライブ文字に自動的にマッピングされます。ドライブは、マッピングされたドライブ文字を持つ共有フォルダーとして表示されます。クライアントドライブマッピングを構成するには、Client removable drives設定を使用します。この設定は、ICAポリシー設定のファイルリダイレクトポリシー設定セクションにあります。
USB大容量記憶装置では、クライアントドライブマッピング、汎用USBリダイレクト、またはその両方を使用できます。これらはCitrixポリシーを使用して制御します。主な違いは次のとおりです。
| 機能 | クライアントドライブマッピング | 汎用USBリダイレクト |
|---|---|---|
| デフォルトで有効 | はい | いいえ |
| 読み取り専用アクセス設定可能 | はい | いいえ |
| 暗号化デバイスアクセス | はい、デバイスにアクセスする前に暗号化が解除されている場合 | はい |
| BitLocker To Goデバイス | いいえ | いいえ |
| セッション中にデバイスを安全に削除できる | いいえ | はい、ユーザーがオペレーティングシステムの安全な取り外しに関する推奨事項に従う場合。 |
汎用USBリダイレクトとクライアントドライブマッピングの両方のポリシーが有効になっており、セッション開始前または開始後にマスストレージデバイスが挿入された場合、クライアントドライブマッピングを使用してリダイレクトされます。汎用USBリダイレクトとクライアントドライブマッピングの両方のポリシーが有効になっており、デバイスが自動リダイレクト用に構成されていて、セッション開始前または開始後にマスストレージデバイスが挿入された場合、汎用USBリダイレクトを使用してリダイレクトされます。詳細については、Knowledge Centerの記事CTX123015を参照してください。
注:
USBリダイレクトは、50 Kbpsなどの低帯域幅接続でもサポートされます。ただし、大きなファイルのコピーは機能しません。