ブラウザコンテンツリダイレクトポリシー設定
「ブラウザコンテンツリダイレクト」セクションには、この機能を構成するためのポリシー設定が含まれています。
ブラウザコンテンツリダイレクトは、Citrix Virtual Apps and Desktops™ があらゆるWebブラウザコンテンツ（HTML5など）をユーザーに配信する方法を制御し、最適化します。コンテンツが表示されるブラウザの表示領域のみがリダイレクトされます。
HTML5ビデオリダイレクトとブラウザコンテンツリダイレクトは独立した機能です。この機能が動作するためにHTML5ビデオリダイレクトポリシーは必要ありません。ただし、Citrix HDX HTML5 Video Redirection Serviceはブラウザコンテンツリダイレクトに使用されます。詳細については、「ブラウザコンテンツリダイレクト」を参照してください。
注:
Web Studioで利用可能なポリシー設定は、VDA上のレジストリキーで上書きできますが、レジストリキーはオプションです。
TLSとブラウザコンテンツリダイレクト
ブラウザコンテンツリダイレクトを使用してHTTPS Webサイトをリダイレクトできます。これらのWebサイトに挿入されるJavaScriptは、VDAで実行されているCitrix HDX HTML5ビデオのリダイレクトサービス（WebSocketService.exe）へのTLS接続を確立する必要があります。このリダイレクトを実現し、WebページのTLS整合性を維持するために、Citrix HDX HTML5ビデオのリダイレクトサービスはVDAの証明書ストアに2つのカスタム証明書を生成します。
HdxVideo.jsは、セキュアWebソケットを使用して、VDA上で実行されているWebSocketService.exeと通信します。このプロセスはローカルシステム上で実行され、SSL終端とユーザーセッションマッピングを実行します。
WebSocketService.exeは、127.0.0.1ポート9001でリッスンしています。
ブラウザコンテンツリダイレクト
デフォルトでは、Citrix Workspace™アプリはクライアントフェッチとクライアントレンダリングを試行します。クライアントフェッチとクライアントレンダリングが失敗した場合、サーバー側レンダリングが試行されます。ブラウザコンテンツリダイレクトプロキシ構成ポリシーも有効にすると、Citrix Workspaceアプリはサーバーフェッチとクライアントレンダリングのみを試行します。
デフォルトでは、この設定は「許可」です。
ブラウザコンテンツリダイレクトの統合Windows認証サポート設定
ブラウザコンテンツリダイレクトは、認証にNegotiateスキームを使用するオーバーレイを有効にします。この機能強化により、VDAと同じドメイン内の統合Windows認証（IWA）で構成されたWebサーバーへのシングルサインオンが提供されます。
「許可」に設定すると、ブラウザーコンテンツリダイレクトオーバーレイは、ユーザーのVDA資格情報を使用してNegotiateチケットを取得します。その後、ユーザーはシングルサインオンでWebサーバーに認証します。
「禁止」に設定すると、ブラウザーコンテンツリダイレクトオーバーレイはVDAからNegotiateチケットを要求しません。ユーザーは基本認証方法を使用してWebサーバーに認証します。この認証方法では、ユーザーがWebサーバーにアクセスするたびにVDA資格情報を入力する必要があります。
デフォルトでは、この設定は「禁止」です。
ブラウザーコンテンツリダイレクトサーバーフェッチWebプロキシ認証設定
この設定は、オーバーレイで発生するHTTPトラフィックをダウンストリームWebプロキシ経由でルーティングします。ダウンストリームWebプロキシは、Negotiate認証スキームを使用してVDAユーザーのドメイン資格情報によりHTTPトラフィックを承認および認証します。
ブラウザーコンテンツリダイレクトプロキシ構成ポリシーを使用して、PACファイルでサーバーフェッチモードのブラウザーコンテンツリダイレクトを構成する必要があります。PACスクリプトで、オーバーレイトラフィックをダウンストリームWebプロキシ経由でルーティングする手順を指定します。次に、ダウンストリームWebプロキシを構成して、Negotiate認証スキームを介してVDAユーザーを認証します。
「許可」に設定すると、WebプロキシはProxy-Authenticate: Negotiateヘッダーを含む407 Negotiateチャレンジで応答します。その後、ブラウザーコンテンツリダイレクトは、VDAユーザーのドメイン資格情報を使用してKerberosサービスチケットを取得します。また、その後のWebプロキシへの要求にはサービスチケットを含めます。
「禁止」に設定すると、ブラウザーコンテンツリダイレクトは、オーバーレイとWebプロキシ間のすべてのTCPトラフィックを干渉することなくプロキシします。オーバーレイは、基本認証資格情報またはその他の利用可能な資格情報を使用してWebプロキシに認証します。
デフォルトでは、この設定はProhibitedです。
ブラウザコンテンツリダイレクトACL（アクセス制御リスト）構成ポリシー設定
この設定を使用して、ブラウザーコンテンツリダイレクトを使用できる、またはブラウザーコンテンツリダイレクトへのアクセスが拒否されるURLのアクセス制御リスト（ACL）を構成します。
承認済みURLとは、コンテンツがクライアントにリダイレクトされる許可リスト内のURLです。
ワイルドカード
*は許可されていますが、URLのプロトコルまたはドメインアドレス部分内では許可されていません。ただし、Citrix Virtual Apps and Desktops 7 2206以降では、ワイルドカード*はURLのサブドメインアドレス部分内で許可されています。
許可:
http://www.xyz.com/index.html, https://www.xyz.com/*, http://www.xyz.com/*videos*, http://*.xyz.com/
許可されていません:
http://*.*.com/
URLでパスを指定することで、よりきめ細かな設定が可能です。たとえば、
https://www.xyz.com/sports/index.htmlを指定した場合、index.htmlページのみがリダイレクトされます。
デフォルトでは、この設定は
https://www.youtube.com/*に設定されています。
詳しくは、Knowledge Centerの記事CTX238236を参照してください。
注:
ACLを構成して、BCRがWebサイトをエンドポイントにリダイレクトすることを許可できます。また、認証サイトを構成して、構成されたURLで使用される認証のために、OktaやDuoなどのIDプロバイダー（IdP）を許可できます。
ブラウザーコンテンツリダイレクト認証サイト
この設定を使用して、URLのリストを構成します。ブラウザーコンテンツリダイレクトを使用してリダイレクトされたサイトは、このリストを使用してユーザーを認証します。この設定は、許可リスト内のURLから移動した場合に、ブラウザーコンテンツリダイレクトがアクティブ（リダイレクトされた状態）のままになるURLを指定します。
典型的なシナリオは、認証にIDプロバイダー（IdP）を使用するWebサイトです。たとえば、Webサイト
www.xyz.comはエンドポイントにリダイレクトする必要がありますが、Okta (www.xyz.okta.com) のようなサードパーティのIdPが認証部分を処理します。管理者は、ブラウザーコンテンツリダイレクトACL構成ポリシーを使用してwww.xyz.comを許可リストに追加します。次に、ブラウザーコンテンツリダイレクト認証サイトを使用してwww.xyz.okta.comを許可リストに追加します。
詳しくは、Knowledge Centerの記事CTX238236を参照してください。
ブラウザーコンテンツリダイレクトブロックリスト設定
この設定は、ブラウザーコンテンツリダイレクトACL構成設定と連携して機能します。ブラウザーコンテンツリダイレクトACL構成設定とブロックリスト構成設定の両方にURLが存在する場合、ブロックリスト構成が優先され、URLのブラウザーコンテンツはリダイレクトされません。
未承認URL： ブロックリスト内のURLのうち、ブラウザーコンテンツがクライアントにリダイレクトされず、サーバーでレンダリングされるURLを指定します。
ワイルドカード「*」は許可されますが、プロトコルまたはURLのドメインアドレス部分内では許可されません。
許可されるもの：
http://www.xyz.com/index.html、https://www.xyz.com/*、http://www.xyz.com/*videos*
許可されないもの：
http://*.xyz.com/
URL にパスを指定することで、より詳細な粒度を実現できます。たとえば、
https://www.xyz.com/sports/index.html を指定した場合、index.html のみがブロックリストに含まれます。
ブラウザコンテンツリダイレクトプロキシ設定
この設定は、ブラウザコンテンツリダイレクト用の VDA 上のプロキシ設定の構成オプションを提供します。有効なプロキシアドレスとポート番号、PAC / WPAD URL、または直接/透過設定で有効にすると、Citrix Workspace アプリはサーバーフェッチとクライアントレンダリングのみを試行します。
無効になっているか、構成されておらず、デフォルト値を使用している場合、Citrix Workspace アプリはクライアントフェッチとクライアントレンダリングを試行します。
デフォルトでは、この設定は禁止されています。
明示的なプロキシの許可パターン:
http://<hostname/ip address\>:\<port\>
例:
http://proxy.example.citrix.com:80 http://10.10.10.10:8080
PAC/WPAD ファイルの許可パターン:
http://<hostname/ip address>:<port>/<path>/<Proxy.pac>
例：
http://wpad.myproxy.com:30/configuration/pac/Proxy.pac
https://<hostname/ip address>:<port>/<path>/<wpad.dat>
例:
http://10.10.10.10/configuration/pac/wpad.dat
直接または透過プロキシの許可パターン:
ポリシーテキストボックスに「DIRECT」と入力します。
ブラウザコンテンツリダイレクトのレジストリキーのオーバーライド
警告:
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じる問題が解決できることを保証できません。レジストリエディターの使用は、お客様ご自身の責任において行ってください。編集する前に、必ずレジストリをバックアップしてください。
ポリシー設定のレジストリオーバーライドオプション:
\HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\HdxMediastream
| 名前 | タイプ | 値 |
|---|---|---|
| WebBrowserRedirection | DWORD | 1=許可, 0=禁止 |
| WebBrowserRedirectionAcl | REG_MULTI_SZ | |
| WebBrowserRedirectionAuthenticationSites | REG_MULTI_SZ | |
| WebBrowserRedirectionProxyAddress | REG_SZ | http://myproxy.citrix.com:8080 または http://10.10.10.10:8888 |
| WebBrowserRedirectionBlacklist | REG_MULTI_SZ |
ブラウザコンテンツリダイレクトのためのHDXVideo.jsの挿入
ブラウザコンテンツリダイレクトの画像(/en-us/citrix-virtual-apps-desktops/2407/media/browsercontentredirectionflowchart-blacklist.png)
HdxVideo.jsは、ブラウザコンテンツリダイレクトChrome拡張機能またはInternet Explorer Browser Helper Object (BHO) を使用して、Webページに挿入されます。BHOはInternet Explorer用のプラグインモデルです。これはブラウザAPIのフックを提供し、プラグインがページのDocument Object Model (DOM) にアクセスしてナビゲーションを制御できるようにします。
BHOは、特定のページにHdxVideo.jsを挿入するかどうかを決定します。その決定は、前のフローチャートに示されている管理ポリシーに基づいています。
JavaScriptを挿入し、ブラウザコンテンツをクライアントにリダイレクトすることを決定した後、VDA上のInternet ExplorerブラウザではWebページが空白になります。document.body.innerHTMLを空に設定すると、VDA上のWebページの本文全体が削除されます。ページは、クライアント上のオーバーレイブラウザ (Hdxbrowser.exe) に表示するために、クライアントに送信される準備ができています。