証明書管理

概要

• セキュリティの合理化: HDX Direct接続は、環境内で証明書を管理する管理上のオーバーヘッドなしに保護されます。
• 攻撃対象領域の削減: 各ホストは一意のキーと証明書のセットを持つため、攻撃対象領域は単一のホストに限定されます。
• 非永続環境のセキュリティ強化: 非永続セッションホストを持つ環境では、再起動時に新しいキーと証明書が生成されるため、セキュリティがさらに強化されます。

セッションホスト

• 自己署名ルートCA
  • 発行先は CA-Citrix-Certificate-Manager です
  • 発行元はCA-Citrix-Certificate-Managerです。
  • 発行者の詳細: 組織はCitrix Systems, Inc.です。
• サーバー証明書
  • 発行先: \<ホストFQDN\> (例: FTLW11-001.ctxlab.net)
  • 発行元: CA-Citrix-Certificate-Manager
  • 発行元詳細: 組織はCitrix Systems, Inc.

クライアントデバイス

カスタム証明書の使用

1. マシンでHDX Directが無効になっている場合は、ステップ2に進みます。HDX Directが有効になっている場合は、以下の手順に従ってください。
   1. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd に移動します。
   2. SSLEnabled の値を 0 に設定します。
   3. HKLM\Software\Citrix\HDX-Direct に移動します。
   4. HdxDirectCaInTls の値を 0 に設定します。
2. PKIによって発行された適切な証明書を、マシンの証明書ストアにインストールします。
3. セッションマネージャーサービスに証明書の秘密キーへの読み取りアクセス権を付与します。
   1. Microsoft 管理コンソール (MMC) を起動します: > > mmc.exe。
   2. ファイル > スナップインの追加と削除に移動します。
   3. 証明書を選択し、追加をクリックします。
   4. コンピューターアカウントを選択し、次へをクリックします。
   5. ローカルコンピューターを選択し、完了をクリックします。
   6. 証明書 (ローカルコンピューター) > 個人 > 証明書に移動します。
   7. 適切な証明書を右クリックし、すべてのタスク > 秘密キーの管理を選択します。
   8. 次のいずれかのサービスを追加し、読み取りアクセス権を付与します。
      • シングルセッションVDAの場合: NT SERVICE\PorticaService
      • マルチセッションVDAの場合: NT SERVICE\TermService
   9. 適用をクリックし、次にOKをクリックします。
4. 証明書をセッションマネージャーサービスにバインドします。
   1. 証明書のサムプリントを取得します (証明書をダブルクリック > 詳細 > サムプリント)。
   2. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawdに移動します。
   3. 「SSLThumbprint」の値を編集し、証明書のサムプリントを貼り付けます。
5. Citrix TLSリスナーを有効にします。
   1. 同じレジストリの場所で、「SSLEnabled」の値を「1」に設定します。
6. HDX Directを有効にします（Citrixポリシー内）。

• 証明書のキーのアクセス許可を設定する
• 証明書をセッションマネージャーサービスにバインドする
• Citrix TLSリスナーを有効にする