Delivery Controller で TLS を有効にする

• すべての Delivery Controller にサーバー証明書を取得、インストール、登録します。詳細については、「証明書の要求とインストール」を参照してください。
• TLS 証明書を使用してポートを構成します。詳細については、「証明書のインストール」を参照してください。
• モニターサービスで HTTPS を有効にする。
• HTTP を無効にして HTTPS トラフィックを強制します。詳細については、「HTTPS トラフィックのみを強制するHTTPS トラフィックのみを強制する」を参照してください。
• 必要に応じて、Controller が HTTP および HTTPS トラフィックをリッスンするために使用するポートを変更できます。詳細については、「HTTP または HTTPS ポートの変更」を参照してください。

証明書の要求とインストール

SSL/TLS リスナーポートの構成

1. 既存の証明書がバインドされているかを確認するには、コマンドプロンプトを開き、netsh http show sslcert を実行します。
   netsh http show sslcert
2. 既存のバインドがある場合は、それを削除します。
   netsh http delete sslcert ipport=0.0.0.0:443
   既存のバインドで特定の IP アドレスとポートが指定されていた場合は、0.0.0.0:443 をその IP アドレスとポートに置き換えます。
3. 以前にインストールした証明書のサムプリントを見つけます。サムプリントを表示するには、コンピューター証明書の管理を開き、証明書を参照して開き、詳細タブに移動します。
   サムプリントを示す証明書のプロパティのスクリーンショット(/en-us/citrix-virtual-apps-desktops/2402-ltsr/media/certificate-thumbprint.png)
   または、PowerShellを使用することもできます。たとえば、次のスクリプトは、共通名がサーバーのホスト名と一致する証明書を検索し、サムプリントを出力します。
   $HostName = ([System.Net.Dns]::GetHostByName(($env:computerName))).Hostname
$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -match ("CN=" + $HostName)}).Thumbprint -join ';'
Write-Host -Object "Certificate Thumbprint for $($HostName): $($Thumbprint)" -Foreground Yellow
   証明書の共通名がホスト名と一致しない場合、これは失敗します。ホスト名に対して複数の証明書がある場合、これは連結された複数のサムプリントを返し、適切なサムプリントを選択する必要があります。
   次の例では、フレンドリ名で証明書を検索します。
   $friendlyName = "My certificate name"
$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.FriendlyName -eq $friendlyNam}).Thumbprint -join ';'
Write-Host -Object "Certificate Thumbprint for $friendlyName: $($Thumbprint)" -Foreground Yellow
   指定されたフレンドリ名を持つ証明書が複数ある場合、これは連結された複数のサムプリントを返し、適切なサムプリントを選択する必要があります。
4. 証明書をポートにバインドするには、netsh http add sslcertコマンドを使用します。
   netsh http add sslcert ipport=[IP address]:443 certhash=[certificate hash] appid=[application GUID] disablelegacytls=enable
   • ipport: IPアドレスとポート。0.0.0.0:443を使用すると、すべてのIPアドレスに適用されます。代わりに、特定のIPアドレスを指定することもできます。
   • certhash: 前の手順で特定した証明書のサムプリント。
   • appid: シトリックス ブローカー サービスのGUID。
     注：
     証明書を更新または再バインドする際は、任意のGUIDではなく、Broker Serviceに関連付けられた特定のappidを使用してください。
     Citrix Broker Serviceの正しいappidを見つけるには：
     1. 管理者としてPowerShellコマンドウィンドウを開き、次のコマンドを実行します。
        Get-WmiObject -Class Win32_Product | Select-String -Pattern "broker"
     2. 出力でCitrix Broker ServiceのIdentifyingNumber (GUID) を見つけます（例：{D333C884-187F-447C-8C67-463F33989C8F}）。このGUIDをappidパラメーターに使用します。
   • disablelegacytls=enable: レガシーバージョンのTLSを無効にします。このパラメーターはWindows 2022以降で利用可能です。Windows 2022ではTLS 1.0と1.1を無効にします。Windows 2025では、TLS 1.0と1.1がデフォルトで無効になっているため、これは不要です。
   例えば、すべてのIPアドレスで、サムプリント bc96f958848639fd101a793b87915d5f2829b0b6 の証明書をポート 443 にバインドするには、次のコマンドを実行します。
   netsh http add sslcert ipport=0.0.0.0:443 certhash=bc96f958848639fd101a793b87915d5f2829b0b6 appid={91fe7386-e0c2-471b-a252-1e0a805febac} disablelegacytls=enable

HTTPS 用のモニターサービス OData API を構成する

1. 次のPowerShellを実行します。
   $serviceGroup = Get-ConfigRegisteredServiceInstance -ServiceType Monitor | Select -First 1 ServiceGroupUid
Remove-ConfigServiceGroup -ServiceGroupUid $serviceGroup.ServiceGroupUid
& 'C:\Program Files\Citrix\Monitor\Service\citrix.monitor.exe' -ConfigureFirewall -RequireODataTls –OdataPort 443 -RequireODataSdkTls –OdataSdkPort 443
get-MonitorServiceInstance | register-ConfigServiceInstance
Get-ConfigRegisteredServiceInstance -ServiceType Config | Reset-MonitorServiceGroupMembership
2. テキストエディターでファイル C:\Program Files\Citrix\Monitor\Service\Citrix.Monitor.exe.Config を開きます。要素 <add key="owin:baseAddress" value="http://localhost/citrix/monitor/odata/v4" /> を見つけて、<add key="owin:baseAddress" value="https://localhost/citrix/monitor/odata/v4" /> に変更します。

暗号スイートを構成する

1. Microsoft グループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL 構成設定 に移動します。
2. 「SSL 暗号スイートの順序」ポリシーを編集します。デフォルトでは、このポリシーは「未構成」に設定されています。このポリシーを「有効」に設定します。
3. スイートを正しい順序に並べます。使用しない暗号スイートは削除します。

HTTPS トラフィックのみを強制する

1. regedit を実行します。
2. HKLM\Software\Citrix\DesktopServer\を開く
3. XmlServicesEnableNonSslという名前の新しいDWORD値を作成し、0に設定します。
4. Broker Serviceを再起動します。

HTTPまたはHTTPSポートを変更する