セキュリティに関する考慮事項とベストプラクティス

最終公開日 : Nov 13, 2026
注:
組織は、規制要件を満たすために特定のセキュリティ標準に準拠する必要がある場合があります。このようなセキュリティ標準は時間とともに変化するため、このドキュメントではこの主題については扱いません。セキュリティ標準とCitrix製品に関する最新情報については、Citrix Trust Centerを参照してください。
Related information
セキュリティ

ファイアウォール

環境内のすべてのマシンを、必要に応じてエンクレーブ境界を含め、境界ファイアウォールで保護します。
環境内のすべてのマシンは、パーソナルファイアウォールによって保護されている必要があります。コアコンポーネントとVDAをインストールする際、Windowsファイアウォールサービスが検出された場合（ファイアウォールが有効になっていない場合でも）、コンポーネントと機能の通信に必要なポートを自動的に開くように選択できます。これらのファイアウォールポートを手動で構成することもできます。別のファイアウォールを使用する場合は、手動で構成する必要があります。必要なポートの詳細については、Tech Paper: Communication Ports Used by Citrix Technologiesを参照してください。
従来の環境をこのリリースに移行する場合、既存の境界ファイアウォールの再配置や新しい境界ファイアウォールの追加が必要になる場合があります。たとえば、データセンター内の従来のクライアントとデータベースサーバーの間に境界ファイアウォールがあるとします。このリリースを使用する場合、その境界ファイアウォールは、仮想デスクトップとユーザーデバイスが一方にあり、データセンター内のデータベースサーバーとDelivery Controllerがもう一方にあるように配置する必要があります。したがって、データセンター内にデータベースサーバーとControllerを収容するためのエンクレーブを作成することを検討してください。また、ユーザーデバイスと仮想デスクトップ間の保護も検討してください。
注:
TCPポート1494と2598はICAとCGPに使用されるため、データセンター外のユーザーがアクセスできるようにファイアウォールで開かれている可能性が高いです。Citrixは、管理インターフェイスが意図せず攻撃に対して開かれたままになる可能性を避けるため、これらのポートを他の目的で使用しないことを推奨します。ポート1494と2598は、Internet Assigned Number Authority (http://www.iana.org/) に正式に登録されています。

Delivery Controller™とのセキュアな通信

HTTPSを使用した通信の暗号化

StoreFrontとNetScaler Gatewayは、配信コントローラーで実行されているXMLサービスとHTTPまたはHTTPS経由で通信します。構成によっては、VDAはWebSocketを使用して配信コントローラーと通信する場合があります。Directorは、ODataを使用してHTTPまたはHTTPS経由で監視データと通信します。HTTPSを有効にし、HTTPを無効にすることをお勧めします。これには、Delivery ControllerでTLSを有効にする必要があります。
  • StoreFrontをHTTPSを使用して接続するように構成するには、(/ja-jp/storefront/current-release/configure-manage-stores/manage-controllers#add-resource-feeds-for-citrix-virtual-apps-and-desktops)および(/ja-jp/storefront/current-release/integrate-with-citrix-gateway-and-citrix-adc/configure-citrix-gateway#add-citrix-gateway-appliance)を参照してください。
  • NetScaler GatewayをHTTPSを使用してDelivery Controllerに接続するように構成するには、NetScaler GatewayでのSecure Ticket Authorityの構成を参照してください。

セキュリティキー

承認されたStoreFrontサーバーとNetScalerサーバーのみがクラウドコネクタ経由でDaaSに接続できるように、セキュリティキーを使用できます。これは、XML信頼を有効にしている場合に特に重要です。

XML信頼

デフォルトでは、StoreFrontが列挙や起動などのアクションのためにデリバリーコントローラーに接続する場合、DaaSがユーザーを認証し、ユーザーのグループメンバーシップを確認できるように、StoreFrontはユーザーのActive Directory資格情報を渡す必要があります。ただし、ドメインパススルー、スマートカード、SAMLなどの他の認証方法を使用する場合、StoreFrontはActive Directoryパスワードを持っていません。この場合、「XML信頼」を有効にする必要があります。XML信頼が有効になっている場合、Citrix Virtual Apps and Desktopsは、ユーザーのパスワードを検証することなく、アプリケーションの列挙や起動など、ユーザーに代わってStoreFrontがアクションを実行することを許可します。XML信頼を有効にする前に、セキュリティキーまたはファイアウォールやIPsecなどの別のメカニズムを使用して、信頼できるStoreFrontサーバーのみがデリバリーコントローラーに接続できるようにしてください。
XML信頼設定を確認、有効化、または無効化するには、Citrix Virtual Apps and Desktops PowerShell SDKを使用します。
  • XML信頼設定の現在の値を確認するには、Get-BrokerSiteを実行し、TrustRequestsSentToTheXMLServicePortの値を調べます。
  • XML信頼を有効または無効にするには、パラメーターTrustRequestsSentToTheXmlServicePortを指定してSet-BrokerSiteを実行します。

VDAとDelivery Controller間の通信

VDAがコントローラーと通信するためのメカニズムは2つあります。
  • ウィンドウズ コミュニケーション ファンデーション
    Windows Communication Foundation (WCF) のメッセージレベル保護は、デリバリーコントローラーとVDA間の通信を保護します。これにより、TLSを使用した追加のトランスポートレベル保護の必要がなくなります。VDAとデリバリーコントローラー間の通信に使用されるデフォルトポートは80です。ただし、ポートをカスタマイズできます。詳細については、VDAのカスタマイズを参照してください。
    WCFにおけるメッセージセキュリティの詳細については、MicrosoftドキュメントWCFにおけるメッセージセキュリティを参照してください。
    WCF構成では、ControllerとVDA間の相互認証にKerberosを使用します。暗号化には256ビットキーのCBCモードでAESを使用します。メッセージの整合性にはSHA-1を使用します。
    Microsoftによると、WCFで使用されるセキュリティプロトコルは、WS-SecurityPolicy 1.2を含むOASIS（Organization for the Advancement of Structured Information Standards）の標準に準拠しています。また、Microsoftは、WCFがSecurity Policy 1.2に記載されているすべてのアルゴリズムスイートをサポートしていると述べています。
    コントローラーとVDA間の通信には、前述のアルゴリズムを使用するbasic256アルゴリズムスイートが使用されます。
    WCF構成では、メッセージレベルのセキュリティ暗号化とともに、SOAP over HTTPプロトコルを使用します。
  • WebSockets
    これはWCFの最新の代替手段です。VDAからDelivery Controllerへの通信にはTLSポート443のみを使用するという利点があります。現在、MCSでプロビジョニングされたマシンでのみ利用可能です。詳細については、「VDAとDelivery Controller間のWebSocket通信」を参照してください。

Delivery ControllerとLicense Server間のセキュアな通信

Delivery ControllerはHTTPS経由でLicense Serverと通信します。デフォルトでは自己署名証明書を使用しますが、これをエンタープライズまたは公開証明機関によって発行された証明書に置き換えることをお勧めします。詳細については、「Citrix Licensing ManagerおよびWeb Services for Licensingで使用される証明書を手動でインストールする」を参照してください。

WebブラウザとWeb StudioおよびDirector間の通信を保護する

Web StudioとDirectorは、Delivery Controllerと同じマシン、または別のマシンにインストールできます。ユーザーはWebブラウザを使用してWeb StudioとDirectorに接続します。デフォルトでは、Web Studioは自己署名証明書を使用してHTTPSを有効にしますが、スタンドアロンでインストールされたDirectorはHTTPSを構成しません。適切な証明書を使用して、Web StudioおよびDirectorでTLSを有効にすることをお勧めします。

ICA®通信の保護

Citrix Virtual Apps and Desktops™は、クライアントとVDA間のICAトラフィックを保護するためのいくつかのオプションを提供します。利用可能なオプションは次のとおりです。
  • 基本暗号化: デフォルト設定です。
  • SecureICA: RC5 (128ビット) 暗号化を使用してセッションデータを暗号化できます。
  • VDA TLS/DTLS: TLS/DTLSを使用してネットワークレベルの暗号化を可能にします。

基本暗号化

基本暗号化を使用する場合、トラフィックは次の図に示すように暗号化されます。
基本暗号化を使用する場合のトラフィック暗号化

SecureICA

SecureICAを使用する場合、トラフィックは次の図に示すように暗号化されます。
SecureICA使用時のトラフィック暗号化
詳細については、「セキュリティポリシー設定」を参照してください(/ja-jp/citrix-virtual-apps-desktops/2411/policies/reference/ica-policy-settings/security-policy-settings.html)。
注1：
SecureICAは、Workspace app for HTML5ではサポートされていません。
注2：
Citrix SecureICAはICA/HDXプロトコルの一部ですが、Transport Layer Security (TLS) のような標準準拠のネットワークセキュリティプロトコルではありません。

VDA TLS/DTLS

VDA TLS/DTLS暗号化を使用する場合、トラフィックは次の図に示すように暗号化されます。
VDA TLS/DTLSを構成するには、「VDA上のTLS設定」を参照してください(/ja-jp/citrix-virtual-apps-desktops/2411/secure/tls-vda)。

仮想チャネル

環境で許可されるCitrix以外の仮想チャネルを制御するには、「仮想チャネル許可リスト」を使用します(/ja-jp/citrix-virtual-apps-desktops/2411/secure/virtual-channel-security)。

印刷サーバーとの安全な通信

Virtual Delivery Agent (VDA) とUniversal Print Server間のTCPベースの接続にTLSを有効にできます。詳細については、「Universal Print ServerでのTransport Layer Security (TLS)」を参照してください(/ja-jp/citrix-virtual-apps-desktops/2411/secure/tls-ups)。

サイトデータベースとのセキュアな通信

サイトデータベースへのTLSの有効化については、「CTX137556」を参照してください。

VDAマシンのセキュリティ

一般的な推奨事項

VDAを最新のオペレーティングセキュリティ更新プログラムとウイルス対策で常に最新の状態に保つようにしてください。

アプリケーションのセキュリティ

管理者以外のユーザーが悪意のある操作を実行するのを防ぐため、Citrix®は、VDAホスト上のインストーラー、アプリケーション、実行可能ファイル、およびスクリプトに対してWindows AppLockerルールを構成することを推奨します。

8.3形式のファイル名

VDAで8.3形式のファイル名を無効にできます。Microsoft fsutil documentationを参照してください。

データストレージに関する考慮事項

デスクトップ環境は、プールされたデスクトップや専用デスクトップなど、さまざまな種類のデスクトップで構成されている場合があります。ユーザーは、プールされたデスクトップなど、ユーザー間で共有されるデスクトップにデータを保存してはなりません。ユーザーが専用デスクトップにデータを保存した場合、そのデスクトップが後で他のユーザーに利用可能になった場合は、そのデータを削除する必要があります。

ユーザーアカウント管理

アカウント管理にはWindowsのベストプラクティスを適用してください。Machine Creation ServicesまたはProvisioning Servicesによって複製される前に、テンプレートまたはイメージ上にアカウントを作成しないでください。保存された特権ドメインアカウントを使用してタスクをスケジュールしないでください。共有Active Directoryマシンアカウントを手動で作成しないでください。これらの慣行は、マシン攻撃がローカルの永続的なアカウントパスワードを取得し、それらを使用して他のユーザーに属するMCS/PVS共有イメージにログオンするのを防ぐのに役立ちます。
ユーザーには、必要な機能のみを付与してください。Microsoft Windowsの特権は、通常の方法でデスクトップに引き続き適用されます。つまり、ユーザー権利の割り当てを通じて特権を構成し、グループポリシーを通じてグループメンバーシップを構成します。このリリースの一つの利点は、デスクトップが保存されているコンピューターに対する物理的な制御を付与することなく、ユーザーにデスクトップへの管理者権限を付与できることです。
デスクトップの特権を計画する際には、次の点に注意してください。
  • デフォルトでは、非特権ユーザーがデスクトップに接続すると、自身のユーザーデバイスのタイムゾーンではなく、デスクトップを実行しているシステムのタイムゾーンが表示されます。ユーザーがデスクトップを使用する際にローカルタイムを表示できるようにする方法については、「デリバリーグループの管理」の記事を参照してください。
  • デスクトップの管理者であるユーザーは、そのデスクトップを完全に制御できます。デスクトップが専用デスクトップではなくプールされたデスクトップである場合、そのユーザーは、将来のユーザーを含むそのデスクトップの他のすべてのユーザーに対して信頼されなければなりません。デスクトップのすべてのユーザーは、この状況によってデータセキュリティに潜在的に永続的なリスクがあることを認識する必要があります。この考慮事項は、単一のユーザーのみが使用する専用デスクトップには適用されません。そのユーザーは、他のどのデスクトップでも管理者であってはなりません。
  • デスクトップの管理者であるユーザーは、悪意のある可能性のあるソフトウェアを含め、そのデスクトップにソフトウェアを一般的にインストールできます。また、そのユーザーは、デスクトップに接続されている任意のネットワーク上のトラフィックを監視または制御できる可能性もあります。

ログオン権限を管理する

ログオン権限は、ユーザーアカウントとコンピューターアカウントの両方に必要です。Microsoft Windowsの特権と同様に、ログオン権限は通常の方法でデスクトップに適用され続けます。ユーザー権利の割り当てを通じてログオン権限を構成し、グループポリシーを通じてグループメンバーシップを構成します。
Windowsのログオン権限は、ローカルログオン、リモートデスクトップサービス経由のログオン、ネットワーク経由のログオン（ネットワークからこのコンピューターにアクセス）、バッチジョブとしてログオン、サービスとしてログオンです。
コンピューターアカウントの場合、コンピューターが必要とするログオン権限のみを付与します。ログオン権限「ネットワークからこのコンピューターにアクセス」は、デリバリーコントローラーのコンピューターアカウントに必要です。
ユーザーアカウントの場合、ユーザーには必要なログオン権限のみを付与します。
Microsoftによると、デフォルトではRemote Desktop Usersグループにログオン権限「リモートデスクトップサービス経由のログオンを許可」が付与されています（ドメインコントローラーを除く）。
組織のセキュリティポリシーによっては、このグループをそのログオン権限から削除すべきであると明示的に規定している場合があります。次のアプローチを検討してください。
  • マルチセッションOS用Virtual Delivery Agent (VDA)は、Microsoft Remote Desktop Servicesを使用します。Remote Desktop Usersグループを制限付きグループとして構成し、Active Directoryグループポリシーを介してグループのメンバーシップを制御できます。詳細については、Microsoftのドキュメントを参照してください。
  • シングルセッションOS用VDAを含むCitrix Virtual Apps and Desktopsの他のコンポーネントでは、Remote Desktop Usersグループは不要です。したがって、これらのコンポーネントでは、Remote Desktop Usersグループにログオン権限「リモートデスクトップサービス経由のログオンを許可」は不要であり、削除できます。さらに、次の点に注意してください。
    • リモートデスクトップサービスを介してそれらのコンピューターを管理する場合、そのようなすべての管理者がすでにAdministratorsグループのメンバーであることを確認してください。
    • リモートデスクトップサービスを介してそれらのコンピューターを管理しない場合、それらのコンピューターでリモートデスクトップサービス自体を無効にすることを検討してください。
ログオン権限「リモートデスクトップサービス経由のログオンを拒否」にユーザーとグループを追加することは可能ですが、拒否ログオン権限の使用は一般的に推奨されません。詳細については、Microsoftのドキュメントを参照してください。

Delivery Controllerのセキュリティ

Delivery Controller上のWindowsサービス

Delivery Controllerのインストールにより、以下のWindowsサービスが作成されます。
  • Citrix AD Identity Service (NT SERVICE\CitrixADIdentityService): VM 用の Microsoft Active Directory コンピューターアカウントを管理します。
  • Citrix Analytics (NT SERVICE\CitrixAnalytics): サイト管理者によってこの収集が承認されている場合、Citrix が使用するサイト構成の使用状況情報を収集します。その後、製品の改善に役立てるため、この情報を Citrix に送信します。
  • Citrix App Library (NT SERVICE\CitrixAppLibrary): AppDisk の管理とプロビジョニング、AppDNA 統合、および App-V の管理をサポートします。
  • Citrix Broker Service (NT SERVICE\CitrixBrokerService): ユーザーが利用できる仮想デスクトップまたはアプリケーションを選択します。
  • Citrix Configuration Logging Service (NT SERVICE\CitrixConfigurationLogging): 管理者によってサイトに対して行われたすべての構成変更およびその他の状態変更を記録します。
  • Citrix Configuration Service (NT SERVICE\CitrixConfigurationService): 共有構成用のサイト全体のレポジトリ。
  • Citrix Delegated Administration Service (NT SERVICE\CitrixDelegatedAdmin): 管理者に付与された権限を管理します。
  • Citrix Environment Test Service (NT SERVICE\CitrixEnvTest): 他の Delivery Controller サービスの自己テストを管理します。
  • Citrix Host Service (NT SERVICE\CitrixHostService): Citrix Virtual Apps または Citrix Virtual Desktops 展開で使用されるハイパーバイザーインフラストラクチャに関する情報を格納し、コンソールがハイパーバイザープール内のリソースを列挙するために使用する機能も提供します。
  • Citrix Machine Creation Services (NT SERVICE\CitrixMachineCreationService): デスクトップ VM の作成をオーケストレーションします。
  • Citrix Monitor Service (NT SERVICE\CitrixMonitor): Citrix Virtual Apps または Citrix Virtual Desktops のメトリックを収集し、履歴情報を格納し、トラブルシューティングツールとレポートツール用のクエリインターフェイスを提供します。
  • Citrix StoreFront Service (NT SERVICE\ CitrixStorefront): StoreFront の管理をサポートします。(StoreFront コンポーネント自体の一部ではありません。)
  • Citrix StoreFront Privileged Administration Service (NT SERVICE\CitrixPrivilegedService): StoreFrontの特権管理操作をサポートします。(StoreFrontコンポーネント自体の一部ではありません。)
  • Citrix Config Synchronizer Service (NT SERVICE\CitrixConfigSyncService): メインサイトデータベースからローカルホストキャッシュに構成データを伝播します。
  • Citrix High Availability Service (NT SERVICE\CitrixHighAvailabilityService): メインサイトデータベースが利用できない場合に、ユーザーが利用できる仮想デスクトップまたはアプリケーションを選択します。
Delivery Controllerのインストールでは、以下のWindowsサービスも作成されます。これらは、他のCitrixコンポーネントと一緒にインストールされた場合にも作成されます。
  • Citrix Diagnostic Facility COM Server (NT SERVICE\CdfSvc): Citrixサポートが使用する診断情報の収集をサポートします。
  • Citrix Telemetry Service (NT SERVICE\CitrixTelemetryService): Citrixによる分析のために診断情報を収集し、管理者が分析結果と推奨事項を表示してサイトの問題の診断に役立てられるようにします。
Delivery Controllerのインストールでは、以下のWindowsサービスも作成されます。これは現在使用されていません。有効になっている場合は、無効にしてください。
  • Citrix リモート ブローカー プロバイダー (NT SERVICE\XaXdCloudProxy)
Delivery Controllerのインストールでは、以下のWindowsサービスも作成されます。これらは現在使用されていませんが、有効にする必要があります。無効にしないでください。
  • Citrix オーケストレーション サービス (NT SERVICE\CitrixOrchestration)
  • Citrix トラスト サービス (NT SERVICE\CitrixTrust)
Citrix StoreFront™ Privileged Administration Serviceを除き、これらのサービスには「サービスとしてログオン」のログオン権限と、「プロセスのメモリクォータの調整」、「セキュリティ監査の生成」、「プロセスレベルトークンの置き換え」の特権が付与されています。これらのユーザー権限を変更する必要はありません。これらの特権はDelivery Controllerでは使用されず、自動的に無効になります。
Citrix StoreFront Privileged AdministrationサービスとCitrix Telemetry Serviceを除き、前述のDelivery Controller WindowsサービスはNETWORK SERVICE IDとしてログオンするように構成されています。これらのサービス設定を変更しないでください。
Citrix Config Synchronizer Service は、Delivery Controller 上のローカル管理者グループに NETWORK SERVICE アカウントが属している必要があります。これにより、ローカルホストキャッシュが正しく機能します。
Citrix StoreFront Privileged Administration サービスは、ローカルシステム (NT AUTHORITY\SYSTEM) としてログオンするように構成されています。これは、通常サービスでは利用できない Delivery Controller StoreFront の操作 (Microsoft IIS サイトの作成を含む) に必要です。サービス設定を変更しないでください。
Citrix Telemetry Service は、サービス固有の ID としてログオンするように構成されています。
Citrix Telemetry Service は無効にできます。このサービスと、すでに無効になっているサービスを除き、これらの Delivery Controller Windows サービスの他のサービスを無効にしないでください。

ログオン権限の管理

VDAのコンピューターアカウントには、「ネットワークからこのコンピューターにアクセス」のログオン権限が必要です。(/ja-jp/advanced-concepts/implementation-guides/ad-ou-controller-discovery.html)を参照してください。

クライアントアクセス

クライアントアクセスは通常、(/ja-jp/storefront)を展開することで提供されます。StoreFrontのセキュリティ保護について詳しくは、(/ja-jp/storefront/current-release/install-standard/secure)を参照してください。
リモートユーザーが StoreFront および VDA に安全に接続できるようにするには、NetScaler® Gateway を展開します。
Citrixでは、クライアントがCitrix Workspaceアプリを使用してStoreFrontに接続することを推奨しています。詳しくは、各オペレーティングシステム用のCitrix Workspaceアプリの(/ja-jp/citrix-workspace-app.html)のセキュリティに関するセクションを参照してください。または、ユーザーはWebブラウザーを使用してStoreFrontにアクセスすることもできます。
ユーザーがCitrix Workspace™アプリ以外のアプリケーションを実行する能力が制限されているシンクライアントをユーザーに提供することを検討してください。デバイスが組織によって管理されている場合は、オペレーティングシステムのセキュリティ更新プログラムとウイルス対策ソフトウェアの展開を確実にするためのポリシーを設定する必要があります。ただし、多くの場合、ユーザーは組織の管理外にある管理されていないデバイスから接続できる必要があります。次の機能の使用を検討してください。
  • Endpoint Analysisは、オペレーティングシステムやウイルス対策などのセキュリティ情報についてエンドポイントをスキャンし、セキュリティ要件を満たさないクライアントへのアクセスを拒否します。
  • (/ja-jp/citrix-workspace-app/app-protection.html)は、キーロガーと画面キャプチャをブロックします。

混在バージョン環境

VDAがDelivery Controllerとは異なるバージョンである場合など、混在バージョン環境は一部のアップグレード中に避けられません。ベストプラクティスに従い、異なるバージョンのCitrixコンポーネントが共存する時間を最小限に抑えてください。混在バージョン環境では、たとえばセキュリティポリシーが一律に適用されない場合があります。
注:
これは他のソフトウェア製品にも共通しています。以前のバージョンの Active Directory を使用すると、後のバージョンの Windows ではグループポリシーが部分的にしか適用されません。
以下のシナリオでは、特定の混在バージョンCitrix環境で発生する可能性のあるセキュリティ問題について説明します。Citrix Receiver 1.7を使用して、XenAppおよびXenDesktop 7.6 Feature Pack 2のVDAを実行している仮想デスクトップに接続する場合、ポリシー設定 デスクトップとクライアント間のファイル転送を許可する はサイトで有効になっていますが、XenAppおよびXenDesktop 7.1を実行しているDelivery Controllerでは無効にできません。これは、製品の後のバージョンでリリースされたポリシー設定を認識しないためです。このポリシー設定により、ユーザーはファイルを仮想デスクトップにアップロードおよびダウンロードできますが、これがセキュリティ問題です。この問題を回避するには、Delivery Controller（またはStudioのスタンドアロンインスタンス）をバージョン7.6 Feature Pack 2にアップグレードし、グループポリシーを使用してポリシー設定を無効にします。または、影響を受けるすべての仮想デスクトップでローカルポリシーを使用します。

Remote PC Accessのセキュリティに関する考慮事項

Remote PC Accessは、次のセキュリティ機能を実装しています。
  • スマートカードの使用がサポートされています。
  • リモートセッションが接続されると、オフィスのPCのモニターは空白で表示されます。
  • Remote PC Accessは、CTRL+ALT+DELおよびUSB対応のスマートカードと生体認証デバイスを除く、すべてのキーボードおよびマウス入力をリモートセッションにリダイレクトします。
  • SmoothRoamingは単一ユーザーのみがサポートされます。
  • ユーザーがオフィスPCにリモートセッションを接続している場合、そのユーザーのみがオフィスPCのローカルアクセスを再開できます。ローカルアクセスを再開するには、ユーザーはローカルPCでCtrl-Alt-Delを押し、リモートセッションで使用したのと同じ資格情報でログオンします。システムに適切なサードパーティのCredential Provider統合がある場合、ユーザーはスマートカードを挿入するか、生体認証を利用してローカルアクセスを再開することもできます。このデフォルトの動作は、グループポリシーオブジェクト（GPO）を介してFast User Switchingを有効にするか、レジストリを編集することで上書きできます。
注:
Citrixは、VDA管理者権限を一般セッションユーザーに割り当てないことを推奨します。

自動割り当て

デフォルトでは、Remote PC Accessは複数のユーザーのVDAへの自動割り当てをサポートしています。XenDesktop 5.6 Feature Pack 1では、管理者はRemotePCAccess.ps1 PowerShellスクリプトを使用してこの動作を上書きできます。このリリースでは、複数の自動リモートPC割り当てを許可または禁止するためにレジストリエントリを使用します。この設定はサイト全体に適用されます。
注意:
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrixは、レジストリエディターの誤った使用によって生じる問題が解決できることを保証できません。レジストリエディターは自己責任で使用してください。編集する前にレジストリをバックアップしてください。
自動割り当てを単一ユーザーに制限するには：
Site内の各Controllerで、次のレジストリエントリを設定します。
HKEY_LOCAL_MACHINE\Software\Citrix|DesktopServer
Name: AllowMultipleRemotePCAssignments
Type: REG_DWORD
Data: 0 = Disable multiple user assignment, 1 = (Default) Enable multiple user assignment.
既存のユーザー割り当てがある場合は、VDAが単一の自動割り当ての対象となるように、SDKコマンドを使用してそれらを削除します。
  • VDAから割り当て済みのすべてのユーザーを削除します: $machine.AssociatedUserNames | %{ Remove-BrokerUser-Name $_ -Machine $machine
  • デリバリーグループからVDAを削除します: $machine | Remove-BrokerMachine -DesktopGroup $desktopGroup
物理的なオフィスPCを再起動します。