スマートカードの展開
この製品バージョンおよびこのバージョンを含む混在環境では、以下の種類のスマートカード展開がサポートされています。その他の構成も動作する可能性がありますが、サポートされていません。
| タイプ | StoreFront™ 接続 |
|---|---|
| ローカルのドメイン参加済みコンピューター | 直接接続 |
| ドメイン参加済みコンピューターからのリモートアクセス | Citrix Gateway 経由で接続 |
| ドメインに参加していないコンピューター | 直接接続 |
| ドメインに参加していないコンピューターからのリモートアクセス | Citrix Gateway経由で接続 |
| ドメインに参加していないコンピューターおよびシンクライアントがDesktop Applianceサイトにアクセスする場合 | Desktop Applianceサイト経由で接続 |
| ドメイン参加済みコンピューターおよびシンクライアントがXenApp® Services URL経由でStoreFrontにアクセスする場合 | XenApp Services URL経由で接続 |
展開タイプは、スマートカードリーダーが接続されているユーザーデバイスの特性によって定義されます。
-
デバイスがドメイン参加済みか、ドメイン非参加か。
-
デバイスがStoreFrontにどのように接続されているか。
-
仮想デスクトップとアプリケーションの表示にどのソフトウェアが使用されているか。
さらに、Microsoft WordやMicrosoft Excelなどのスマートカード対応アプリケーションをこれらの展開で使用できます。これらのアプリケーションを使用すると、ユーザーはドキュメントにデジタル署名したり、暗号化したりできます。
バイモーダル認証
これらの展開のそれぞれにおいて、可能な場合、Receiverはスマートカードの使用とユーザー名およびパスワードの入力の選択肢をユーザーに提供することで、バイモーダル認証をサポートします。これは、スマートカードが使用できない場合（たとえば、ユーザーが自宅に忘れた場合やログオン証明書の有効期限が切れた場合）に役立ちます。
ドメイン非参加デバイスのユーザーはReceiver for Windowsに直接ログオンするため、明示的な認証にフォールバックできるようにすることができます。バイモーダル認証を構成すると、ユーザーは最初にスマートカードとPINを使用してログオンするように求められますが、スマートカードに問題が発生した場合は、明示的な認証を選択するオプションがあります。
Citrix Gatewayを展開する場合、ユーザーはデバイスにログオンし、Receiver for WindowsによってCitrix Gatewayへの認証を求められます。これは、ドメイン参加済みデバイスとドメイン非参加デバイスの両方に適用されます。ユーザーは、スマートカードとPIN、または明示的な資格情報のいずれかを使用してCitrix Gatewayにログオンできます。これにより、Citrix Gatewayログオンにバイモーダル認証をユーザーに提供できます。Citrix GatewayからStoreFrontへのパススルー認証を構成し、スマートカードユーザーの資格情報検証をCitrix Gatewayに委任することで、ユーザーはStoreFrontにサイレント認証されます。
複数のActive Directoryフォレストに関する考慮事項
Citrix環境では、スマートカードは単一のフォレスト内でサポートされます。フォレストをまたがるスマートカードログオンには、すべてのユーザーアカウントへの直接的な双方向フォレスト信頼が必要です。スマートカードを含むより複雑なマルチフォレスト展開（つまり、信頼が一方通行であるか、異なるタイプである場合）はサポートされていません。
リモートデスクトップを含むCitrix環境でスマートカードを使用できます。この機能は、ローカル（スマートカードが接続されているユーザーデバイス上）またはリモート（ユーザーデバイスが接続するリモートデスクトップ上）にインストールできます。
スマートカード取り外しポリシー
製品に設定されているスマートカード取り外しポリシーは、セッション中にリーダーからスマートカードを取り外した場合に何が起こるかを決定します。スマートカード取り外しポリシーは、Windowsオペレーティングシステムを介して構成および処理されます。
| ポリシー設定 | デスクトップの動作 |
|---|---|
| アクションなし | アクションなし。 |
| ワークステーションをロック | デスクトップセッションが切断され、仮想デスクトップがロックされます。 |
| 強制ログオフ | ユーザーは強制的にログオフされます。ネットワーク接続が失われ、この設定が有効になっている場合、セッションがログオフされ、ユーザーはデータを失う可能性があります。 |
| リモートターミナルサービスセッションの場合に切断 | セッションが切断され、仮想デスクトップがロックされます。 |
証明書失効チェック
証明書失効チェックが有効になっていて、ユーザーが無効な証明書を含むスマートカードをカードリーダーに挿入した場合、ユーザーは認証できず、その証明書に関連するデスクトップまたはアプリケーションにアクセスできません。たとえば、無効な証明書がメールの復号化に使用されている場合、メールは暗号化されたままになります。認証に使用されるものなど、カード上の他の証明書がまだ有効な場合、それらの機能はアクティブなままです。
展開例：ドメイン参加済みコンピューター
この展開では、Desktop Viewer を実行し、StoreFront に直接接続するドメイン参加済みユーザーデバイスを使用します。
展開例：ドメイン参加済みコンピューター(/en-us/citrix-virtual-apps-desktops/2411/media/smartcard1_1.png)
ユーザーはスマートカードとPINを使用してデバイスにログオンします。Receiverは、統合Windows認証 (IWA) を使用して、ユーザーをStoreFrontサーバーに認証します。StoreFrontは、ユーザーセキュリティ識別子 (SID) をCitrix Virtual AppsまたはCitrix Virtual Desktopsに渡します。ユーザーが仮想デスクトップまたはアプリケーションを起動すると、Receiverでシングルサインオン機能が構成されているため、PINの入力を再度求められることはありません。
この展開は、2つ目のStoreFrontサーバーとアプリケーションをホストするサーバーを追加することで、ダブルホップに拡張できます。仮想デスクトップからのReceiverは、2つ目のStoreFrontサーバーに対して認証を行います。この2つ目の接続には、任意の認証方法を使用できます。最初のホップで示されている構成は、2つ目のホップで再利用することも、2つ目のホップでのみ使用することもできます。
展開例: ドメイン参加済みコンピューターからのリモートアクセス
この展開では、Desktop Viewer を実行し、Citrix Gateway/Access Gateway を介して StoreFront に接続するドメイン参加済みユーザーデバイスが関与します。
ユーザーはスマートカードとPINを使用してデバイスにログオンし、その後、Citrix Gateway/Access Gatewayに再度ログオンします。この2回目のログオンは、この展開ではReceiverがバイモーダル認証を許可しているため、スマートカードとPIN、またはユーザー名とパスワードのいずれかを使用できます。
ユーザーはStoreFrontに自動的にログオンします。StoreFrontは、ユーザーセキュリティ識別子 (SID) をCitrix Virtual Apps™またはCitrix Virtual Desktopsに渡します。ユーザーが仮想デスクトップまたはアプリケーションを起動すると、Receiverでシングルサインオン機能が構成されているため、PINの入力を再度求められることはありません。
この展開は、2つ目のStoreFrontサーバーとアプリケーションをホストするサーバーを追加することで、ダブルホップに拡張できます。仮想デスクトップからのReceiverは、2つ目のStoreFrontサーバーに対して認証を行います。この2つ目の接続には、任意の認証方法を使用できます。最初のホップで示されている構成は、2つ目のホップで再利用することも、2つ目のホップでのみ使用することもできます。
展開例: ドメインに参加していないコンピューター
この展開には、Desktop Viewerを実行し、StoreFrontに直接接続するドメインに参加していないユーザーデバイスが含まれます。
ユーザーはデバイスにログオンします。通常、ユーザーはユーザー名とパスワードを入力しますが、デバイスがドメインに参加していないため、このログオンの資格情報はオプションです。この展開ではバイモーダル認証が可能であるため、ReceiverはユーザーにスマートカードとPIN、またはユーザー名とパスワードのいずれかを要求します。その後、ReceiverはStoreFrontに対して認証を行います。
StoreFrontは、ユーザーセキュリティ識別子 (SID) をCitrix Virtual AppsまたはCitrix Virtual Desktopsに渡します。ユーザーが仮想デスクトップまたはアプリケーションを起動すると、この展開ではシングルサインオン機能が利用できないため、PINの入力を再度求められます。
この展開は、2つ目のStoreFrontサーバーとアプリケーションをホストするサーバーを追加することで、ダブルホップに拡張できます。仮想デスクトップからのReceiverは、2つ目のStoreFrontサーバーに対して認証を行います。この2つ目の接続には、任意の認証方法を使用できます。最初のホップで示されている構成は、2つ目のホップで再利用することも、2つ目のホップでのみ使用することもできます。
展開例: ドメインに参加していないコンピューターからのリモートアクセス
この展開では、Desktop Viewer を実行し、StoreFront に直接接続するドメイン非参加のユーザーデバイスが関与します。
展開例: ドメイン非参加コンピューターからのリモートアクセス(/en-us/citrix-virtual-apps-desktops/2411/media/smartcard4_1.png)
ユーザーはデバイスにログオンします。通常、ユーザーはユーザー名とパスワードを入力しますが、デバイスがドメインに参加していないため、このログオンの資格情報はオプションです。この展開ではバイモーダル認証が可能であるため、Receiver はユーザーにスマートカードとPIN、またはユーザー名とパスワードのいずれかを要求します。その後、Receiver はStoreFrontに対して認証を行います。
StoreFront はユーザーセキュリティ識別子 (SID) を Citrix Virtual Apps または Citrix Virtual Desktops に渡します。ユーザーが仮想デスクトップまたはアプリケーションを起動すると、この展開ではシングルサインオン機能が利用できないため、ユーザーは再度PINの入力を求められます。
この展開は、2台目のStoreFrontサーバーとアプリケーションをホストするサーバーを追加することで、ダブルホップに拡張できます。仮想デスクトップからのReceiverは、2台目のStoreFrontサーバーに対して認証を行います。この2番目の接続には、任意の認証方法を使用できます。最初のホップで示された構成は、2番目のホップで再利用することも、2番目のホップでのみ使用することもできます。
展開例: Desktop Appliance サイトにアクセスするドメイン非参加コンピューターとシンクライアント
この展開では、Desktop Lock を実行し、Desktop Appliance サイトを通じてStoreFrontに接続する可能性のあるドメイン非参加のユーザーデバイスが関与します。
Desktop Lock は、Citrix Virtual Apps、Citrix Virtual Desktops、および VDI-in-a-Box とともにリリースされる別のコンポーネントです。これは Desktop Viewer の代替であり、主に再利用された Windows コンピューターおよび Windows シンクライアント向けに設計されています。Desktop Lock は、これらのユーザーデバイスの Windows シェルとタスクマネージャーを置き換え、ユーザーが基盤となるデバイスにアクセスするのを防ぎます。Desktop Lock を使用すると、ユーザーは Windows Server Machine デスクトップおよび Windows Desktop Machine デスクトップにアクセスできます。Desktop Lock のインストールはオプションです。
展開例: Desktop Appliance サイトにアクセスするドメイン非参加コンピューターとシンクライアント(/en-us/citrix-virtual-apps-desktops/2411/media/smartcard5_1.png)
ユーザーはスマートカードを使用してデバイスにログオンします。デバイスで Desktop Lock が実行されている場合、デバイスはキオスクモードで実行されている Internet Explorer を介して Desktop Appliance サイトを起動するように構成されます。サイト上の ActiveX コントロールがユーザーにPINを要求し、それをStoreFrontに送信します。StoreFront はユーザーセキュリティ識別子 (SID) を Citrix Virtual Apps または Citrix Virtual Desktops に渡します。割り当てられたデスクトップグループのアルファベット順リストで最初に利用可能なデスクトップが起動します。
この展開は、2台目のStoreFrontサーバーとアプリケーションをホストするサーバーを追加することで、ダブルホップに拡張できます。仮想デスクトップからのReceiverは、2台目のStoreFrontサーバーに対して認証を行います。この2番目の接続には、任意の認証方法を使用できます。最初のホップで示された構成は、2番目のホップで再利用することも、2番目のホップでのみ使用することもできます。
展開例: XenApp Services URL を介して StoreFront にアクセスするドメイン参加コンピューターとシンクライアント
この展開では、Desktop Lock を実行し、XenApp Services URL を介して StoreFront に接続するドメイン参加のユーザーデバイスが関与します。
Desktop Lock は、Citrix Virtual Apps、Citrix Virtual Desktops、および VDI-in-a-Box とともにリリースされる別のコンポーネントです。これは Desktop Viewer の代替であり、主に再利用された Windows コンピューターおよび Windows シンクライアント向けに設計されています。Desktop Lock は、これらのユーザーデバイスの Windows シェルとタスクマネージャーを置き換え、ユーザーが基盤となるデバイスにアクセスするのを防ぎます。Desktop Lock を使用すると、ユーザーは Windows Server Machine デスクトップおよび Windows Desktop Machine デスクトップにアクセスできます。Desktop Lock のインストールはオプションです。
展開例: XenApp Services URL を介して StoreFront にアクセスするドメイン参加コンピューターとシンクライアント(/en-us/citrix-virtual-apps-desktops/2411/media/smartcard6.png)
ユーザーはスマートカードとPINを使用してデバイスにログオンします。デバイスでDesktop Lockが実行されている場合、統合Windows認証 (IWA) を使用してユーザーをStoreFrontサーバーに認証します。StoreFrontは、ユーザーセキュリティ識別子 (SID) をCitrix Virtual AppsまたはCitrix Virtual Desktopsに渡します。ユーザーが仮想デスクトップを起動すると、Receiverでシングルサインオン機能が構成されているため、PINの再入力を求められることはありません。
この展開は、2つ目のStoreFrontサーバーとアプリケーションをホストするサーバーを追加することで、ダブルホップに拡張できます。仮想デスクトップからのReceiverは、2つ目のStoreFrontサーバーに認証します。この2つ目の接続には、任意の認証方法を使用できます。最初のホップで示された構成は、2つ目のホップで再利用することも、2つ目のホップでのみ使用することもできます。