Web StudioとDirectorでTLSを有効にする

最終公開日 : Nov 13, 2026
Web StudioおよびDirectorへの接続をHTTPSを有効にして保護するために、常にTLSを使用することをお勧めします。この記事では、Web StudioおよびDirectorを信頼された証明書を使用するように構成し、HTTPS経由で安全なアクセスを確保する方法について説明します。
Related information
セキュリティ

デフォルトの動作

Web Studioをインストールすると、インストーラーは自己署名証明書を作成し、現在のサーバーのポート443にバインドします。ローカルサーバー上のWebブラウザーからHTTPS経由でWeb StudioおよびDirectorにアクセスできます。
ただし、別のマシンからHTTPS経由でWeb StudioまたはDirectorにアクセスしようとすると、ブラウザーは証明書を信頼しないため、セキュリティエラーを表示します。
注：
Web StudioなしでDirectorをインストールした場合、インストーラーは自己署名証明書を作成しません。

HTTPS経由で安全なアクセスを有効にする

Web Studioサーバー以外のマシンからHTTPS経由でWeb StudioまたはDirectorへのアクセスを許可するには、次の手順に従います。
  1. 信頼された証明書を作成またはインポートする。
  2. IISで証明書をポート443にバインドする。
  3. (オプション) HTTP Strict Transport Security (HSTS) を有効にする。
  4. Web Studioがプロキシとして構成されていない場合（クライアントマシンがWeb StudioとDelivery Controllerの両方に接続する場合）、Delivery ControllerでTLSを有効にする。
注：
自己署名証明書の使用は、各マシンでの手動構成が必要なため、推奨されません。詳細については、「自己署名証明書を使用する」を参照してください。

信頼された証明書を作成またはインポートする

サーバーに接続するマシンによって信頼されている、エンタープライズまたはパブリック認証局からの証明書を使用することをお勧めします。
詳細については、「新しい証明書の作成」および「既存の証明書のインポート」を参照してください。証明書の共通名またはサブジェクトの別名は、ユーザーがWeb StudioまたはDirectorに接続するために使用するFQDNと一致している必要があります。サーバーの前にロードバランサーが展開されている場合は、ロードバランサーのFQDNを使用します。

証明書をポート443にバインドする

信頼された証明書を作成またはインポートした後、IISでポート443にバインドします。これは、インストール前またはインストール後に行うことができます。ポート443の証明書バインドがすでに構成されている場合、インストーラーは変更を行いません。
注:
デフォルトでは、Web StudioとDirectorはセキュアなHTTPSアクセスにポート443を使用します。必要に応じてポート番号を変更できます。詳細については、デフォルトのポート番号の変更 を参照してください。
証明書をポート 443 にバインドするには、次の手順に従います。
  1. 管理者としてサーバーにログオンします。
  2. IISマネージャーを開き、サイト > 既定のWebサイト > バインドに移動します。
  3. 種類がhttpsの既存のバインドがある場合は、それを選択して**編集...**をクリックします。httpsバインドがない場合は、追加をクリックします。
    サイトバインドの開き方を強調表示するスクリーンショット(/en-us/citrix-virtual-apps-desktops/2411/media/site-bindings.png)
  4. サイトバインドを作成または編集します。
    1. 新しいバインドの場合、種類を https に、ポートを 443 に設定します。
    2. 適切なSSL証明書を選択します。
    3. Windows Server 2022以降では、必要に応じて、レガシーTLSを無効にするを選択して、ユーザーが最新のTLSバージョンのみを使用して接続できるようにします。
    4. OKをクリックします。
    サイトバインドの追加
または、PowerShellを使用して証明書を変更することもできます。たとえば、次のスクリプトは、指定された共通名を持つ証明書を検索し、それをすべてのIPアドレス、ポート443にバインドし、レガシーTLSバージョンを無効にします。
$certSName = 'CN=whpdevddc0.bvttree.local'  # The subject name of the certificate
$certificate = Get-ChildItem -Path Cert:\LocalMachine\My\ | ? {$_.Subject -eq $certSName}
netsh http add sslcert ipport=0.0.0.0:443 certhash=$($certificate.Thumbprint) certstorename=My appid="{91fe7386-e0c2-471b-a252-1e0a805febac}" disablelegacytls=enable
なお、appid は、どのアプリケーションが証明書を追加したかを識別するために使用できる任意の GUID です。

自己署名証明書を使用する

既存の自己署名証明書を使用できますが、サーバーにアクセスする各マシンを手動で構成する必要があるため、推奨されません。
Web Studio に接続する必要があるマシンに自己署名証明書をインストールするには、次の手順を実行します。
  1. Web StudioおよびDelivery Controllerサーバーから既存の自己署名証明書をエクスポートします。
  2. サーバーにアクセスする必要があるマシンの信頼されたルート証明書ストアに証明書をインポートします。

(オプション) HTTP Strict Transport Security (HSTS) を有効にする

HTTP Strict Transport Security (HSTS)は、サイトにアクセスする際にHTTPSのみを使用するようにWebブラウザに指示します。ユーザーがHTTPを使用してURLにアクセスしようとすると、ブラウザは自動的にHTTPSに切り替わります。この設定により、クライアント側とサーバー側の両方で安全な接続検証が保証されます。ブラウザは、構成された期間、この検証を維持します。
Windows Server 2019 以降では、IIS で HSTS を構成できます。
  1. インターネットインフォメーションサービス (IIS) マネージャーを開きます。
  2. 既定のWebサイト (または適切なWebサイト) を選択します。
  3. 右側の**「操作」ペインで、「HSTS...」**を選択します。
  4. **「有効にする」**を選択し、最大有効期間を入力します (例: 1年間で31536000)。
  5. **「HttpをHttpsにリダイレクト」**を選択します。
    注:
    Web Studioは、Studio Webサイトにアクセスする際にHTTPをHTTPSにリダイレクトするURL書き換えルールを自動的に構成します。ただし、このオプションはDirectorおよびIISサイト上の他のすべてのアプリケーションにも適用されます。
  6. **「OK」**をクリックします。
    HSTS設定のスクリーンショット(/en-us/citrix-virtual-apps-desktops/2411/media/iis-hsts.png)

(オプション) デフォルトのポート番号を変更する

デフォルトでは、Web StudioとDirectorはセキュアなHTTPSアクセスにポート443を使用します。このポート番号を変更するには、以下の手順に従ってDefault Web Siteで目的のポートのサイトバインディングを作成します。
手順:
  1. Web Studioをホストしているサーバーで、インターネットインフォメーションサービス (IIS) マネージャーを開きます。
  2. **「接続」ペインで、サーバーノードを展開し、「サイト」の下にある「Default Web Site」**を選択します。
  3. 右側の**「操作」ペインで、「バインディング」**をクリックします。
    新しいポートを設定(/en-us/citrix-virtual-apps-desktops/2411/media/web-studio-new-port.png)
  4. **「サイトバインディング」ウィンドウで、「追加」**をクリックします。
  5. 「サイトバインドの追加」ウィンドウで、新しいバインドに対して以下を設定します。
    1. 種類: https を選択します。
    2. IPアドレス: 適切なIPアドレスを選択するか、該当する場合は「未割り当てのIPすべて」のままにします。
    3. ポート: 目的のポート番号を入力します（例: 444）。
    4. SSL証明書: セキュアな通信のために適切なSSL証明書を選択します。
    注:
    Delivery Controller™とWeb Studioが別々のマシンにインストールされており、サーバーに他のサービスやWebサイトが展開されていない場合は、ポート443を削除できます。そうでない場合は、オーケストレーションサービスや他のFMAサービスとの通信問題を避けるために、このポートを維持してください。
  6. OK をクリックしてバインドを保存し、サイトバインド ウィンドウを閉じます。
  7. IISマネージャー でサーバーノードをクリックし、操作 ペインで 再起動 をクリックして新しいバインドを適用します。

（オプション）HTTPS リダイレクトを無効にする

Web Studio をインストールすると、デフォルトでHTTPアクセスはHTTPSに自動的にリダイレクトされます。このリダイレクトを無効にしてHTTPアクセスを許可することも可能です。この方法は、HTTPアクセスをブロックするための他の対策を講じている場合にのみ推奨されます。Web Studio の前にTLS終端ロードバランサーがある場合でも、ロードバランサーと Web Studio の間ではHTTPSを使用することをお勧めします。
  1. Web Studioサーバーにログオンします。
  2. インターネットインフォメーションサービス (IIS) マネージャー を開き、Server_name > サイト > Default Web Site > URL Rewrite に移動します。
  3. 次のスクリーンショットに示すように、httpsへのリダイレクト の 受信規則 を無効にします。
    HTTPS リダイレクトを無効にする
IISでHSTSを有効にしている場合は、Redirect Http to Httpsもクリアする必要があります。