スマートカード

• スマートカードの使用に関する組織のセキュリティポリシーを理解してください。これらのポリシーには、たとえば、スマートカードの発行方法やユーザーがスマートカードを保護する方法が記載されている場合があります。これらのポリシーの一部は、Citrix Virtual Apps™またはCitrix Virtual Desktops環境で再評価する必要があるかもしれません。
• スマートカードで使用するユーザーデバイスの種類、オペレーティングシステム、および公開アプリケーションを決定します。
• スマートカードテクノロジーと、選択したスマートカードベンダーのハードウェアおよびソフトウェアについて理解を深めてください。
• 分散環境でデジタル証明書を展開する方法を理解してください。

スマートカードの種類

• スマートカードと同等のUSBトークンは、USBポートに直接接続します。これらのUSBトークンは通常、USBフラッシュドライブと同じくらいのサイズですが、携帯電話で使用されるSIMカードと同じくらい小さい場合もあります。これらは、スマートカードとUSBスマートカードリーダーの組み合わせとして表示されます。
• Windows Trusted Platform Module (TPM) を使用する仮想スマートカードは、スマートカードとして表示されます。これらの仮想スマートカードは、Citrix Workspace app (最小バージョン Citrix Receiver 4.3) を使用して、Windows 8およびWindows 10でサポートされています。
  • XenAppおよびXenDesktop 7.6 FP3より前のバージョンのCitrix Virtual Apps and Desktops（旧XenAppおよびXenDesktop）は、仮想スマートカードをサポートしていません。
  • 仮想スマートカードの詳細については、「仮想スマートカードの概要」を参照してください。
  注：「仮想スマートカード」という用語は、ユーザーコンピューターに保存されているデジタル証明書を指す場合もあります。これらのデジタル証明書は、厳密にはスマートカードと同等ではありません。

リモートPCアクセス

高速スマートカード

• HKLM\SOFTWARE\Citrix\ICA Client\SmartCard\ForceEnableCryptographicRedirection (ゼロ以外のDWORDとして)

• HKLM\SOFTWARE\Citrix\ICA Client\SmartCard\ForceDisableCryptographicRedirection (ゼロ以外のDWORDとして)

• Citrix Workspaceアプリ for Windowsのみが高速スマートカードをサポートします。default.icaファイルで高速スマートカードを設定した場合でも、Windows用ではないCitrix Workspaceアプリは、既存のPC/SCリダイレクトを使用します。
• 高速スマートカードがサポートする唯一のダブルホップシナリオは、両方のホップで高速スマートカードが有効になっているICA® > ICAです。高速スマートカードはICA > RDPダブルホップシナリオをサポートしないため、これらのシナリオは機能しません。
• 高速スマートカードはCryptography Next Generationをサポートしていません。したがって、高速スマートカードは楕円曲線暗号（ECC）スマートカードをサポートしていません。
• 高速スマートカードは読み取り専用のキーコンテナ操作のみをサポートしています。
• 高速スマートカードはスマートカードPINの変更をサポートしていません。

• EnablePinSessionCache をDWORDとして（有効にするにはゼロ以外）
• EnableLogonPinSessionCache をDWORDとして（有効にするにはゼロ以外）
• PinSessionCacheEntryStaleTimeout をDWORDとして（エントリが古くなるまでの秒数、デフォルトは1時間）

スマートカードリーダーの種類

• クラス1スマートカードリーダーは最も一般的で、通常はスロットを備えています。クラス1スマートカードリーダーは、通常、オペレーティングシステムに付属の標準CCIDデバイスドライバーでサポートされています。
• クラス2スマートカードリーダーには、ユーザーデバイスからアクセスできないセキュアなキーパッドも含まれています。クラス2スマートカードリーダーは、統合されたセキュアなキーパッドを備えたキーボードに組み込まれている場合があります。クラス2スマートカードリーダーについては、Citrix担当者にお問い合わせください。セキュアなキーパッド機能を有効にするには、リーダー固有のデバイスドライバーが必要になる場合があります。
• クラス3スマートカードリーダーには、セキュアなディスプレイも含まれています。クラス3スマートカードリーダーはサポートされていません。
• クラス4スマートカードリーダーには、セキュアトランザクションモジュールも含まれています。クラス4スマートカードリーダーはサポートされていません。

ユーザーエクスペリエンス

• スマートカードがすでにリーダーに挿入されているにもかかわらず、スマートカードの挿入を促すプロンプトが表示された場合は、ユーザーはキャンセルを選択する必要があります。
• PINの入力を求められた場合は、ユーザーはPINを再度入力する必要があります。

スマートカードを展開する前に

• スマートカードリーダー用のデバイスドライバーを入手し、ユーザーデバイスにインストールします。多くのスマートカードリーダーは、Microsoftが提供するCCIDデバイスドライバーを使用できます。
• スマートカードベンダーからデバイスドライバーと暗号サービスプロバイダー (CSP) ソフトウェアを入手し、ユーザーデバイスと仮想デスクトップの両方にインストールします。ドライバーとCSPソフトウェアは、Citrix Virtual Apps and Desktopsと互換性がある必要があります。互換性については、ベンダーのドキュメントを確認してください。ミニドライバーモデルをサポートおよび使用するスマートカードを使用する仮想デスクトップの場合、スマートカードミニドライバーは自動的にダウンロードされますが、http://catalog.update.microsoft.comまたはベンダーから入手することもできます。また、PKCS#11ミドルウェアが必要な場合は、カードベンダーから入手してください。
• 重要: Citrixでは、Citrixソフトウェアをインストールする前に、物理コンピューターにドライバーとCSPソフトウェアをインストールしてテストすることをお勧めします。
• Windows 10でInternet Explorerを使用してスマートカードを使用するユーザーのために、Citrix Receiver™ for WebのURLを信頼済みサイトリストに追加します。Windows 10では、信頼済みサイトの場合、Internet Explorerはデフォルトで保護モードで実行されません。
• 公開キーインフラストラクチャ (PKI) が適切に構成されていることを確認します。これには、Active Directory環境で証明書からアカウントへのマッピングが正しく構成されており、ユーザー証明書の検証が正常に実行できることを確認することが含まれます。
• 展開が、Citrix WorkspaceアプリやStoreFrontなど、スマートカードで使用される他のCitrixコンポーネントのシステム要件を満たしていることを確認します。
• サイト内の以下のサーバーへのアクセスを確保します。
  • スマートカード上のログオン証明書に関連付けられているユーザーアカウントのActive Directoryドメインコントローラー
  • デリバリーコントローラー™
  • シトリックス ストアフロント
  • シトリックス ゲートウェイ/シトリックス アクセス ゲートウェイ 10.x
  • VDA
  • (Remote PC Accessの場合オプション): Microsoft Exchange Server

スマートカードの使用を有効にする

• VDA に必要なアプリケーションと更新プログラムがあることを確認します。
• ミドルウェアをインストールします。
• スマートカードのリモート処理を設定し、ユーザーデバイス上のCitrix Workspace アプリと仮想デスクトップセッション間のスマートカードデータの通信を有効にします。

• 証明機関のルート証明書と発行証明機関の証明書をデバイスのキーストアにインポートします。
• ベンダーのスマートカードミドルウェアをインストールします。
• Windows 用 Citrix Workspace アプリをインストールして構成します。その際、グループポリシー管理コンソールを使用して icaclient.adm をインポートし、スマートカード認証を有効にしてください。

スマートカードリーダーの挿入回数を追跡する