ユニバーサルプリントサーバーでのトランスポート層セキュリティ (TLS)

最終公開日 : Nov 13, 2026
Virtual Delivery Agent (VDA) とユニバーサルプリントサーバー間のTCPベースの接続では、トランスポート層セキュリティ (TLS) プロトコルがサポートされています。
警告:
Windowsレジストリを操作するタスク（編集など）では、レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じる問題が解決できることを保証できません。レジストリエディターの使用は、お客様ご自身の責任で行ってください。編集する前に、必ずレジストリをバックアップしてください。
Related information
トランスポート層セキュリティ (TLS)

VDAとユニバーサルプリントサーバー間の印刷接続の種類

クリアテキスト接続

印刷に関連する以下の接続は、VDAから発信され、ユニバーサルプリントサーバーのポートに接続します。これらの接続は、SSL enabled ポリシー設定が Disabled (デフォルト) に設定されている場合にのみ行われます。
  • クリアテキスト印刷Webサービス接続 (TCPポート 8080)
  • クリアテキスト印刷データストリーム (CGP) 接続 (TCPポート 7229)
Microsoftサポート記事 Service overview and network port requirements for Windows には、Microsoft Windows Print Spoolerサービスが使用するポートが記載されています。このドキュメントのSSL/TLS設定は、Windows Print Spoolerサービスによって行われるNetBIOSおよびRPC接続には適用されません。Universal Print Server enable ポリシー設定が Enabled with fallback to Windows' native remote printing に設定されている場合、VDAはフォールバックとしてWindows Network Print Provider (win32spl.dll) を使用します。
ユニバーサルプリントサーバーのセキュリティ

暗号化された接続

印刷に関連するこれらのSSL/TLS接続は、VDAから発信され、ユニバーサルプリントサーバーのポートに接続します。これらの接続は、SSL enabled ポリシー設定が Enabled に設定されている場合にのみ行われます。
  • 暗号化された印刷Webサービス接続 (TCPポート 8443)
  • 暗号化された印刷データストリーム (CGP) 接続 (TCPポート 443)
ユニバーサルプリントサーバーのセキュリティ 2

SSL/TLS クライアント構成

VDA は SSL/TLS クライアントとして機能します。
Microsoft Group Policy とレジストリを使用して、暗号化された印刷 Web サービス接続 (TCP ポート 8443) 用に Microsoft SCHANNEL SSP を構成します。Microsoft サポート記事の TLS Registry Settings には、Microsoft SCHANNEL SSP のレジストリ設定が記載されています。
VDA 上のグループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL 構成設定 > SSL 暗号スイートの順序に移動します。TLS 1.3 が設定されている場合は、次の順序を選択します。
TLS_AES_256_GCM_SHA384 TLS_AES_128_GCM_SHA256
TLS 1.2 が設定されている場合は、次の順序を選択します。
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
注：
このグループポリシー設定が構成されている場合、VDA は、暗号化された印刷 Web サービス接続 (デフォルトポート: 8443) の暗号スイートを、接続が両方の SSL 暗号スイートリストに表示されている場合にのみ選択します。
  • グループポリシー SSL 暗号スイート順序リスト
  • 選択した SSL 暗号スイートポリシー設定 (COM、GOV、または ALL) に対応するリスト
このグループポリシー構成は、VDA 上の他の TLS アプリケーションおよびサービスにも影響します。アプリケーションが特定の暗号スイートを必要とする場合、それらをこのグループポリシー暗号スイート順序リストに追加する必要がある場合があります。
重要:
TLS 構成のグループポリシーの変更は、オペレーティングシステムの再起動後にのみ有効になります。
Citrix ポリシーを使用して、暗号化された印刷データストリーム (CGP) 接続 (TCP ポート 443) の SSL/TLS 設定を構成します。

SSL/TLS サーバー構成

Universal Print Server は SSL/TLS サーバーとして機能します。
Enable-UpsSsl.ps1 PowerShellスクリプトを使用して、SSL/TLS設定を構成します。

Universal Print ServerにTLSサーバー証明書をインストールする

HTTPSの場合、VDAによって信頼されているSSLサーバー証明書をUniversal Print Serverにインストールする必要があります。Microsoft Active Directory証明書サービスまたは別の認証局を使用して、Universal Print Serverの証明書を要求します。
マイクロソフト アクティブ ディレクトリ証明書サービスを使用して証明書を登録/要求する際は、以下の考慮事項に留意してください。
  1. 証明書をローカルコンピューターの個人証明書ストアに配置します。
  2. 証明書のサブジェクト識別名（Subject DN）の共通名属性を、Universal Print Serverの完全修飾ドメイン名（FQDN）に設定します。これは証明書テンプレートで指定します。
  3. 証明書要求と秘密鍵の生成に使用される暗号化サービスプロバイダー（CSP）を**Microsoft Enhanced RSA and AES Cryptographic Provider (Encryption)**に設定します。これは証明書テンプレートで指定します。
  4. キーサイズを2048ビット以上に設定します。これは証明書テンプレートで指定します。
証明書の作成とインストールについて詳しくは、「証明書の管理」を参照してください。

Universal Print ServerでのSSLの構成

Universal Print Server上のXTEサービスは、受信接続をリッスンします。SSLが有効な場合、SSLサーバーとして機能します。受信接続には、印刷コマンドを含む印刷Webサービス接続と、印刷ジョブを含む印刷データストリーム接続の2種類があります。これらの接続でSSLを有効にできます。SSLは、これらの接続の機密性と整合性を保護します。デフォルトでは、SSLは無効になっています。
SSLの構成に使用されるPowerShellスクリプトはインストールメディアにあり、ファイル名は次のとおりです: \Support\Tools\SslSupport\Enable-UpsSsl.ps1..

Universal Print Serverでのリスニングポート番号の構成

XTEサービスのデフォルトポートは次のとおりです。
  • クリアテキスト印刷Webサービス（HTTP）TCPポート: 8080
  • クリアテキスト印刷データストリーム (CGP) TCPポート: 7229
  • 暗号化された印刷Webサービス (HTTPS) TCPポート: 8443
  • 暗号化された印刷データストリーム (CGP) TCPポート: 443
Universal Print ServerでXTEサービスが使用するポートを変更するには、管理者としてPowerShellで次のコマンドを実行します (Enable-UpsSsl.ps1 PowerShellスクリプトの使用に関する注意点については、後のセクションを参照してください):
  1. Stop-Service CitrixXTEServer, UpSvc
  2. Enable-UpsSsl.ps1 -Enable -HTTPSPort <port> -CGPSSLPort <port> または Enable-UpsSsl.ps1 -Disable -HTTPPort <port> -CGPPort <port>
  3. Start-Service CitrixXTEServer

ユニバーサルプリントサーバーでのTLS設定

負荷分散構成で複数のUniversal Print Serverを使用している場合は、すべてのUniversal Print ServerでTLS設定が一貫して構成されていることを確認してください。
Universal Print ServerでTLSを構成すると、インストールされているTLS証明書のアクセス許可が変更され、Universal Printing Serviceに証明書の秘密キーへの読み取りアクセス権が付与されます。また、Universal Printing Serviceに次の情報が通知されます。
  • TLSに使用する証明書ストア内の証明書。
  • TLS接続に使用するTCPポート番号。
Windowsファイアウォール (有効な場合) は、これらのTCPポートでの受信接続を許可するように構成する必要があります。この構成は、Enable-UpsSsl.ps1 PowerShellスクリプトを使用すると自動的に行われます。
  • 許可するTLSプロトコルのバージョン。
Universal Print ServerはTLSプロトコルバージョン1.3および1.2をサポートしています。許可される最小バージョンを指定します。
デフォルトのTLSプロトコルバージョンは1.2です。
注：
TLS 1.1および1.0は、Citrix Virtual Apps and Desktopsバージョン2311以降サポートされなくなりました。
  • 許可するTLS暗号スイート。
暗号スイートは、接続に使用される暗号化アルゴリズムを選択します。VDAとUniversal Print Serverは、異なる暗号スイートのセットをサポートできます。VDAが接続し、サポートされているTLS暗号スイートのリストを送信すると、Universal Print Serverはクライアントの暗号スイートの1つを、自身の構成済み暗号スイートのリストにある暗号スイートの1つと照合し、接続を受け入れます。一致する暗号スイートがない場合、Universal Print Serverは接続を拒否します。
Universal Print Serverは、OPEN、FIPS、およびSP800-52ネイティブCrypto Kitモードに対して、GOV(ernment)、COM(mercial)、およびALLという名前の以下の暗号スイートセットをサポートしています。許容される暗号スイートは、SSL FIPS Modeポリシー設定とWindows FIPS Modeにも依存します。Windows FIPSモードの詳細については、このMicrosoftサポート記事を参照してください。
暗号スイート（優先順位の降順） OPEN ALL OPEN COM OPEN GOV FIPS ALL FIPS COM FIPS GOV SP800-52 ALL SP800-52 COM SP800-52 GOV
TLS_ECDHE_RSA_ AES256_GCM_SHA384 X X X X X X
TLS_ECDHE_RSA_ AES256_CBC_SHA384 X X X X X X
TLS_ECDHE_RSA_ AES256_CBC_SHA X X X X X X

PowerShellスクリプトを使用してUniversal Print ServerでTLSを構成する

証明書ストアのローカルコンピューター > 個人 > 証明書領域にTLS証明書をインストールします。その場所に複数の証明書がある場合は、証明書のサムプリントをEnable-UpsSsl.ps1 PowerShellスクリプトに指定します。
注：
PowerShellスクリプトは、Universal Print ServerのFQDNに基づいて正しい証明書を見つけます。Universal Print ServerのFQDNに対して単一の証明書のみが存在する場合、証明書のサムプリントを指定する必要はありません。
Enable-UpsSsl.ps1スクリプトは、VDAからUniversal Print ServerへのTLS接続を有効または無効にします。このスクリプトは、インストールメディアのSupport > Tools > SslSupportフォルダーにあります。
TLSを有効にすると、スクリプトはUniversal Print ServerのTCPポートに対する既存のすべてのWindowsファイアウォールルールを無効にします。その後、XTEサービスがTLS TCPおよびUDPポートでのみ受信接続を受け入れることを許可する新しいルールを追加します。また、以下のWindowsファイアウォールルールも無効にします。
  • クリアテキスト印刷Webサービス接続 (デフォルト: 8080)
  • クリアテキスト印刷データストリーム (CGP) 接続 (デフォルト: 7229)
その結果、VDAはTLSを使用している場合にのみこれらの接続を行うことができます。
注：
TLSを有効にしても、VDAからUniversal Print ServerへのWindows Print Spooler RPC/SMB接続には影響しません。
重要:
最初のパラメーターとしてEnableまたはDisableのいずれかを指定します。ローカルコンピューターの個人証明書ストアにUniversal Print ServerのFQDNを持つ証明書が1つしかない場合、CertificateThumbprintパラメーターはオプションです。その他のパラメーターはオプションです。

構文

Enable-UpsSSL.ps1 -Enable [-HTTPPort &lt;port>] [-CGPPort &lt;port>] [–HTTPSPort &lt;port>] [-CGPSSLPort &lt;port>] [-SSLMinVersion &lt;version>] [-SSLCipherSuite &lt;name>] [-CertificateThumbprint &lt;thumbprint>] [-FIPSMode &lt;Boolean>] [-ComplianceMode &lt;mode>]
Enable-UpsSSL.ps1 -Disable [-HTTPPort &lt;portnum>] [-CGPPort &lt;portnum>]
パラメーター 説明
有効にする XTEサーバーでSSL/TLSを有効にします。このパラメーターまたはDisableパラメーターのいずれかが必要です。
無効にする XTEサーバーでSSL/TLSを無効にします。このパラメーターまたはEnableパラメーターのいずれかが必要です。
CertificateThumbprint "<thumbprint>" ローカルコンピューターの個人証明書ストアにあるTLS証明書のサムプリント。引用符で囲みます。スクリプトは、指定されたサムプリントを使用して、使用する証明書を選択します。
HTTPポート <port> クリアテキスト印刷Webサービス (HTTP/SOAP) ポート。デフォルト: 8080
CGPポート <port> クリアテキスト印刷データストリーム (CGP) ポート。デフォルト: 7229
HTTPSポート <port> 暗号化された印刷Webサービス (HTTPS/SOAP) ポート。デフォルト: 8443
CGP SSL ポート <port> 暗号化された印刷データストリーム (CGP) ポート。デフォルト: 443
SSLMinVersion "<version>" 引用符で囲まれた最小TLSプロトコルバージョン。有効な値: 「TLS_1.2」および「TLS_1.3」。デフォルト: TLS_1.2。
SSLCipherSuite "<name>" 引用符で囲まれたTLS暗号スイートパッケージの名前。有効な値: 「GOV」、「COM」、および「ALL」（デフォルト）。
FIPS モード <Boolean> XTEサーバーでFIPS 140モードを有効または無効にします。有効な値: FIPS 140モードを有効にする場合は$true、FIPS 140モードを無効にする場合は$false。

例

次のスクリプトはTLSを有効にします。サムプリント（この例では「12345678987654321」として表されています）は、使用する証明書を選択するために使用されます。
Enable-UpsSsl.ps1 –Enable -CertificateThumbprint "12345678987654321"
次のスクリプトはTLSを無効にします。
Enable-UpsSsl.ps1 –Disable

FIPSモードの構成

米国連邦情報処理標準（FIPS）モードを有効にすると、Universal Print Serverの暗号化された接続にはFIPS 140準拠の暗号化のみが使用されるようになります。
クライアントでFIPSモードを構成する前に、サーバーでFIPSモードを構成してください。
Windows FIPSモードの有効化または無効化については、Microsoftのドキュメントサイトをご確認ください。

クライアントでのFIPSモードの有効化

Delivery Controller™でWeb Studioを実行し、UPS FIPSモードのCitrixポリシー設定を有効に設定します。Citrixポリシーを有効にします。
各VDAで以下を実行します。
  1. Windows FIPSモードを有効にします。
  2. VDAを再起動します。

サーバーでのFIPSモードの有効化

各Universal Print Serverで以下を実行します。
  1. Windows FIPSモードを有効にします。
  2. 管理者としてこのPowerShellコマンドを実行します: stop-service CitrixXTEServer, UpSvc
  3. -Enable -FIPSMode $trueパラメーターを指定して、Enable-UpsSsl.ps1スクリプトを実行します。
  4. Universal Print Serverを再起動します。

クライアントでのFIPSモードの無効化

Web Studioで、Citrixポリシー設定のUPS FIPS ModeをDisabledに設定します。Citrixポリシーを有効にします。UPS FIPS Mode Citrixポリシー設定を削除することもできます。
各VDAで以下を実行します:
  1. Windows FIPSモードを無効にします。
  2. VDAを再起動します。

サーバーでのFIPSモードの無効化

各Universal Print Serverで以下を実行します:
  1. Windows FIPSモードを無効にします。
  2. 管理者としてこのPowerShellコマンドを実行します: stop-service CitrixXTEServer, UpSvc
  3. -Enable -FIPSMode $falseパラメーターを指定して、Enable-UpsSsl.ps1スクリプトを実行します。
  4. Universal Print Serverを再起動します。
注：
SSLプロトコルバージョンがTLS 1.3に設定されている場合、FIPSモードはサポートされません。

SSL/TLSプロトコルバージョンの構成

デフォルトのSSL/TLSプロトコルバージョンはTLS 1.2です。TLS 1.2とTLS 1.3は、本番環境での使用が推奨されるSSL/TLSプロトコルバージョンです。トラブルシューティングのために、非本番環境でSSL/TLSプロトコルバージョンを一時的に変更する必要がある場合があります。
SSL 2.0およびSSL 3.0は、Universal Print Serverではサポートされていません。

サーバーでのSSL/TLSプロトコルバージョンの設定

Studioで、SSLプロトコルバージョンポリシー設定を目的のプロトコルバージョンに設定し、ポリシーを有効にします。
VDAのオペレーティングシステムが選択したTLSバージョンをサポートしていることを確認してください。WindowsでサポートされているTLSバージョンについては、Microsoft Learn - TLSプロトコルバージョンのサポートを参照してください。デフォルトを上書きするようにレジストリを構成するには、Microsoft Learn - TLS、DTLS、およびSSLプロトコルバージョンの設定を参照してください。

クライアントでのSSL/TLSプロトコルバージョンの設定

各VDAで以下を実行します。
  1. Delivery Controllerで、SSLプロトコルバージョンポリシー設定を目的のプロトコルバージョンに設定し、ポリシーを有効にします。
  2. Microsoftサポート記事TLSレジストリ設定は、Microsoft SCHANNEL SSPのレジストリ設定について説明しています。レジストリ設定を使用して、クライアント側のTLS 1.2またはTLS 1.3を有効にします。
    重要:
    テストが完了したら、レジストリ設定を元の値に戻すことを忘れないでください。
  3. VDAを再起動します。

トラブルシューティング

接続エラーが発生した場合は、Universal Print Server上のC:\Program Files (x86)\Citrix\XTE\logs\error.logファイルを確認してください。
SSL/TLSハンドシェイクが失敗した場合、このログファイルにエラーメッセージSSL handshake from client failedが表示されます。このような失敗は、VDAとUniversal Print ServerのSSL/TLSプロトコルバージョンが一致しない場合に発生する可能性があります。
Universal Print Serverのホスト名を含む以下のポリシー設定で、Universal Print ServerのFQDNを使用します。
  • セッションプリンター
  • プリンターの割り当て
  • 負荷分散用のUniversal Print Server
Universal Print ServerとVDAでシステムクロック（日付、時刻、タイムゾーン）が正しいことを確認してください。