Web Studio のスマートカード認証を設定する
この記事では、Web Studio のスマートカード認証を設定および有効にするために必要な手順を概説します。
注：
スマートカード認証は、Web Studio サーバーと同じ Active Directory ドメインのユーザーに対してのみサポートされます。
ステップ 1: スマートカードドライバーをインストールする
以下のマシンにスマートカードドライバーをインストールします。
-
証明書サービスがインストールされているドメインコントローラー。
-
Web Studio サーバー
-
エンドユーザーが Web Studio にアクセスするために使用するマシン
-
スマートカードユーザーの証明書を登録するために使用するマシン
スマートカードドライバーはベンダーによって異なります。例えば、ITSが提供するスマートカードハードウェアを使用している場合、SaftNetドライバーは
<https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers>からダウンロードしてください。
ステップ2：スマートカードユーザーの証明書を発行する
注:
以下の手順は、プロセスを案内するための例として提供されています。
ドメインコントローラーで、以下の手順に従ってタスクを完了します。
-
ドメインコントローラーにアクセスし、証明機関を開きます。
-
登録エージェントテンプレートを複製します。詳細な手順は次のとおりです。
-
証明書テンプレートを右クリックし、管理を選択します。
-
登録エージェントを右クリックし、テンプレートの複製を選択します。
-
暗号化タブで、Microsoft Base Smart Card Crypto Providerを選択し、OKをクリックします。証明書テンプレートリストに登録エージェントのコピーという名前のテンプレートが表示されます。
-
サブジェクト名タブで、サブジェクト名に電子メールを含めるが選択されていないことを確認します。
-
-
スマートカードの証明書を発行します。詳細な手順は次のとおりです。
-
「証明書テンプレート」を右クリックし、「新規 > 発行するテンプレート」を選択します。
-
「登録エージェントのコピー」と「スマートカードユーザー」を選択します。
-
OKをクリックします。
-
ステップ3：スマートカードユーザーの証明書を登録する
注:
以下の手順は、プロセスをガイドするための例として提供されています。
ドメインに参加している物理Windowsマシンで、各スマートカードの証明書を登録するには、以下の手順に従います。
-
登録用にドメインに参加している物理Windowsマシンを準備します。
-
スマートカードドライバーがインストールされていることを確認します。
-
スマートカードをマシンに挿入します。
-
スマートカードに割り当てるユーザーアカウントを使用してマシンにログオンします。
-
-
ステップ1で準備したマシンに証明書スナップインを追加します。詳細な手順は次のとおりです。
-
「mmc」を開きます。
-
「ファイル」をクリックし、次に「スナップインの追加と削除」をクリックします。
-
表示される「スナップインの追加と削除」ウィンドウで、「証明書」を選択し、「追加 >」をクリックします。
-
表示されるダイアログボックスで、「マイユーザーアカウント」を選択し、「完了」をクリックします。
-
OKをクリックします。証明書の追加(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/add-certificate-1.png)
-
-
「証明書」スナップインの新しい証明書を要求します。詳細な手順は次のとおりです。
-
証明書 - 現在のユーザー > 個人に移動し、証明書を右クリックして、すべてのタスク > 新しい証明書の要求を選択します。
-
表示される証明書の要求ダイアログボックスで、登録エージェントのコピーとスマートカードユーザーを選択します。
-
上記のダイアログボックスで、スマートカードユーザーの詳細をクリックし、プロパティをクリックします。証明書のプロパティダイアログボックスが表示されます。
-
秘密キータブで、暗号化サービスプロバイダーを展開し、Microsoft Strong Cryptographic Provider (Encrption) のチェックを外し、Microsoft Base Smart Card Crypto Provider (Encryption) のみを選択して、OKをクリックします。
-
登録をクリックします。
-
表示されるWindows セキュリティダイアログボックスで、スマートカードのPINコードを入力し、OKをクリックします。登録が完了したら、完了をクリックします。
-
登録が成功すると、次のスクリーンショットに示すように、証明書 - 現在のユーザー -> 個人 -> 証明書の下に2つの証明書が表示されます。 
手順4：Web Studio IISサーバーを構成する
各Web Studioサーバーで、スマートカード認証用にIISを構成するには、次の手順に従います。
-
Web Studioマシンでクライアント証明書マッピング認証を有効にします**。
<clientCertificateMappingAuthentication>要素は、IIS 7以降のデフォルトインストールでは利用できません。インストールと有効化の詳細については、このMicrosoftの記事を参照してください。 -
Web StudioマシンでIIS マネージャーを起動します。
-
「Active Directory クライアント証明書認証」をマシンで有効にします。詳細な手順は次のとおりです。
-
左ペインでマシンを選択し、「認証」をダブルクリックします。
-
「Active Directory クライアント証明書認証」を有効にします。
-
-
クライアント証明書認証を使用して、より安全なHTTPSプロトコルのWeb Studioバックエンドモジュールを構成します。
-
サイト > 既定のWebサイト > Studio > バックエンド > スマートカードに移動し、IISセクションで「SSL設定」をダブルクリックします。
-
「クライアント証明書」で「要求」を選択します。
-
サイト > 既定のWebサイト > Studio > バックエンド > スマートカードに戻り、IISセクションで「構成エディター」をダブルクリックします。
-
/clientCertificateMappingAuthenticationが有効になっていることを確認します。
-
-
(Windows 2022のみ) TCP経由のTLS 3.1を無効にします。詳細な手順は次のとおりです。
-
「サイト > 既定の Web サイト」に移動します。
-
「サイトの編集 > バインド」をクリックします。
-
表示される「サイトバインド」ダイアログボックスで、「https」レコードを選択し、「編集」をクリックします。Windows 2022 のみ https 編集(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/iis-server-default-site-https-edit.png)
-
表示される「サイトバインドの編集」ダイアログボックスで、「TCP 経由の TLS 1.3 を無効にする」を選択し、「OK」をクリックします。Windows 2022 のみ https 編集無効(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/iis-server-default-site-https-edit-disable.png)
-
知っておくと良いこと:
Web Studio バックエンドは、Web Studio のモジュールであり、次の機能を提供します。
-
スマートカード認証。
-
統合 Windows 認証を使用したオーケストレーションサービスからの FMA ベアラートークンの取得。
手順 5 (オプション) Web Studio の認証委任を構成する
Web Studio と Delivery Controller が異なるサーバーにインストールされている場合、各 Web Studio サーバーから Delivery Controller への HOST および HTTPS サービスに対する委任を構成する必要があります。
各 Web Studio サーバーでタスクを完了するには、次の手順に従います。
-
Web Studio IISサーバーのサービスアカウントの委任を構成する(#configure-delegation-for-the-web-studio-iis-servers-service-account)
Delivery Controller Orchestration HTTPS証明書のインポート
Web Studioサーバーで、Delivery Controller Orchestration HTTPS証明書を信頼されたルート証明機関にインポートします。詳細な手順は次のとおりです。
-
設定 > コンピューター証明書の管理を開始します。
-
信頼されたルート証明機関 > 証明書を右クリックし、すべてのタスク > インポートを選択します。DDC証明書のインポート(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/web-server-ddc-cert-import.png)
-
画面の指示に従って、Delivery Controller Orchestration HTTPS証明書をインポートします。
Web Studioサーバーの委任を構成する
ドメインコントローラーで、Web StudioサーバーからDelivery ControllerへのHOSTおよびHTTPサービスの委任を構成します。タスクを完了するには、次の手順に従います。
-
ドメインコントローラーで、Active Directory管理センターを開始します。
-
委任用に構成するWeb Studioサーバーのコンピューターアカウントを見つけます（例: Dan002）。
-
アカウントを右クリックし、プロパティを選択します。Studioサーバーの委任を構成する(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/kerbero-delegation-1.png)
-
委任タブに移動します。委任設定を入力する(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/kerbero-delegation-2.png)
-
構成結果を次のスクリーンショットに示します。 
Web Studio IIS サーバーのサービスアカウントの委任を構成する
Web Studio IIS サーバーのサービスアカウントを構成している場合は、このサービスアカウントから Delivery Controller の HOST および HTTP サービスへの委任も構成する必要があります。この委任が確立されると、Web Studio サーバーはサービスアカウントを使用して、現在のスマートカードユーザーになりすまし、Delivery Group の HOST および HTTP サービスにアクセスできます。構成を完了するには、次の手順に従います。
-
ドメインコントローラーで、Active Directory 管理センターを起動します。
-
委任用に構成する ユーザー アカウント（例: svr-stud-002）を見つけます。
-
手順 2 で説明されている手順に従って、Web Studio IIS サービスアカウントを Delivery Controller の HOST および HTTP サービスに委任します。
構成結果を次のスクリーンショットに示します。
手順 6：Web Studio のスマートカード認証を有効にする
Web Studio のスマートカード認証を有効にするには、次の手順に従います。
-
Web Studioにサインインし、左側のペインで設定を選択します。
-
必要に応じて、スマートカード認証またはドメイン資格情報 + スマートカード認証を選択します。
-
必要に応じて、スマートカード認証またはドメイン資格情報またはスマートカード認証を選択します。
-
適用をクリックします。証明書テンプレートの管理(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/enable-stud-settings.png)