Web StudioとDirectorでTLSを有効にする

最終公開日 : Nov 13, 2026
HTTPSを有効にすることで、Web StudioおよびDirectorへの接続を保護するために、常にTLSを使用することをお勧めします。この記事では、Web StudioおよびDirectorが信頼された証明書を使用し、HTTPS経由で安全なアクセスを確保するように構成する方法について説明します。
Related information
../secure.md

デフォルトの動作

Web Studioをインストールすると、インストーラーは自己署名証明書を作成し、現在のサーバーのポート443にバインドします。ローカルサーバーでは、WebブラウザーからHTTPS経由でWeb StudioおよびDirectorにアクセスできます。
ただし、別のマシンからHTTPS経由でWeb StudioまたはDirectorにアクセスしようとすると、ブラウザーは証明書を信頼しないため、セキュリティエラーを表示します。
注:
Web StudioなしでDirectorをインストールした場合、インストーラーは自己署名証明書を作成しません。

HTTPS経由で安全なアクセスを有効にする

Web Studioサーバー以外のマシンからHTTPS経由でWeb StudioまたはDirectorへのアクセスを許可するには、次の手順に従います。
  1. 信頼された証明書を作成またはインポートする(#create-or-import-a-trusted-certificate)。
  2. IISで証明書をポート443にバインドする(#bind-the-certificate-to-port-443)。
  3. （オプション）HTTP Strict Transport Security（HSTS）を有効にする(#optional-enable-http-strict-transport-security-hsts)。
  4. Web Studioがプロキシとして構成されていない場合（クライアントマシンがWeb StudioとDelivery Controllerの両方に接続する場合）、Delivery ControllerでTLSを有効にする(/ja-jp/citrix-virtual-apps-desktops/2503/secure/tls-ddc)。
注:
自己署名証明書の使用は、各マシンでの手動構成が必要となるため、推奨されません。詳細については、「自己署名証明書を使用する(#use-the-self-signed-certificate)」を参照してください。

信頼された証明書を作成またはインポートする

サーバーに接続するマシンによって信頼されている、エンタープライズまたはパブリック認証局からの証明書を使用することをお勧めします。
詳細については、「新しい証明書の作成」および「既存の証明書のインポート」を参照してください。証明書の共通名またはサブジェクトの別名は、ユーザーがWeb StudioまたはDirectorに接続するために使用するFQDNと一致している必要があります。サーバーの前にロードバランサーが展開されている場合は、ロードバランサーのFQDNを使用します。

証明書をポート443にバインドする

信頼された証明書を作成またはインポートした後、IISでポート 443 にバインドします。これはインストール前でもインストール後でも実行できます。ポート 443 の証明書バインドがすでに構成されている場合、インストーラーは変更を行いません。
注:
デフォルトでは、Web StudioとDirectorはセキュアなHTTPSアクセスにポート443を使用します。必要に応じてポート番号を変更できます。詳細については、デフォルトのポート番号の変更 を参照してください。
証明書をポート 443 にバインドするには、次の手順に従います。
  1. 管理者としてサーバーにログオンします。
  2. IISマネージャーを開き、サイト > 既定のWebサイト > バインド に移動します。
  3. 種類が https の既存のバインドがある場合は、それを選択して 編集... をクリックします。https バインドがない場合は、追加 をクリックします。
    サイトバインドを開く方法を強調するスクリーンショット
  4. サイトバインドを作成または編集します。
    1. 新しいバインドの場合、種類を https に、ポートを 443 に設定します。
    2. 適切なSSL証明書を選択します。
    3. Windows Server 2022以降では、オプションで レガシーTLSを無効にする を選択して、ユーザーが最新のTLSバージョンのみを使用して接続できるようにします。
    4. OKをクリックします。
    サイトバインドの追加
または、PowerShellを使用して証明書を変更することもできます。たとえば、次のスクリプトは、指定された共通名を持つ証明書を検索し、それをすべてのIPアドレス、ポート443にバインドし、レガシーTLSバージョンを無効にします。
$certSName = 'CN=whpdevddc0.bvttree.local'  # The subject name of the certificate
$certificate = Get-ChildItem -Path Cert:\LocalMachine\My\ | ? {$_.Subject -eq $certSName}
netsh http add sslcert ipport=0.0.0.0:443 certhash=$($certificate.Thumbprint) certstorename=My appid="{91fe7386-e0c2-471b-a252-1e0a805febac}" disablelegacytls=enable
なお、appid は、どのアプリケーションが証明書を追加したかを識別するために使用できる任意の GUID です。

自己署名証明書を使用する

既存の自己署名証明書を使用できますが、サーバーにアクセスする各マシンを手動で構成する必要があるため、推奨されません。
Web Studio に接続する必要があるマシンに自己署名証明書をインストールするには、次の手順を実行します。
  1. Web StudioおよびDelivery Controllerサーバーから既存の自己署名証明書をエクスポートします。
  2. サーバーにアクセスする必要があるマシンの信頼されたルート証明書ストアに証明書をインポートします。

(オプション) HTTP Strict Transport Security (HSTS) を有効にする

HTTP Strict Transport Security (HSTS)は、サイトにアクセスする際にHTTPSのみを使用するようWebブラウザに指示します。ユーザーがHTTPを使用してURLにアクセスしようとすると、ブラウザは自動的にHTTPSに切り替わります。この設定により、クライアント側とサーバー側の両方で安全な接続検証が保証されます。ブラウザは、設定された期間この検証を維持します。
Windows Server 2019 以降では、IIS で HSTS を構成できます。
  1. インターネットインフォメーションサービス (IIS) マネージャーを開きます。
  2. 既定のWebサイト (または適切なWebサイト) を選択します。
  3. 右側の操作ペインで、HSTS... を選択します。
  4. 有効にするを選択し、最大有効期間を入力します（例: 1年の場合は31536000）。
  5. HTTP を HTTPS にリダイレクトを選択します。
    注:
    Web Studio は、Studio Web サイトへのアクセス時に HTTP を HTTPS にリダイレクトする URL 書き換えルールを自動的に構成します。ただし、このオプションは Director および IIS サイト上の他のすべてのアプリケーションにも適用されます。
  6. OK をクリックします。
    HSTS 設定のスクリーンショット(/en-us/citrix-virtual-apps-desktops/2503/media/iis-hsts.png)

(オプション) デフォルトのポート番号を変更する

デフォルトでは、Web Studio と Director はセキュアな HTTPS アクセスにポート 443 を使用します。このポート番号を変更するには、Default Web Site で目的のポートのサイトバインディングを作成するために、次の手順に従います。
手順:
  1. Web Studio をホストしているサーバーで、インターネット インフォメーション サービス (IIS) マネージャーを開きます。
  2. 接続ペインで、サーバーノードを展開し、サイトの下にある既定の Web サイトを選択します。
  3. 右側の操作ペインで、バインドをクリックします。
    新しいポートを設定(/en-us/citrix-virtual-apps-desktops/2503/media/web-studio-new-port.png)
  4. サイトバインドウィンドウで、追加をクリックします。
  5. 「サイトバインドの追加」ウィンドウで、新しいバインドに対して以下を設定します。
    1. 種類: https を選択します。
    2. IPアドレス: 適切なIPアドレスを選択するか、該当する場合は「未割り当てのすべて」のままにします。
    3. ポート: 目的のポート番号（例: 444）を入力します。
    4. SSL証明書: セキュアな通信のために適切なSSL証明書を選択します。
    注:
    Delivery Controller™ と Web Studio が別々のマシンにインストールされており、サーバーに他のサービスやWebサイトが展開されていない場合は、ポート443を削除できます。それ以外の場合は、オーケストレーションサービスや他のFMAサービスとの通信問題を避けるために、このポートを維持してください。
  6. OK をクリックしてバインドを保存し、サイトバインド ウィンドウを閉じます。
  7. IISマネージャー で、サーバーノードをクリックし、操作 ペインで 再起動 をクリックして新しいバインドを適用します。

（オプション）HTTPS リダイレクトを無効にする

Web Studio をインストールすると、デフォルトで、すべてのHTTPアクセスはHTTPSに自動的にリダイレクトされます。このリダイレクトを無効にしてHTTPアクセスを許可することも可能です。この方法は、HTTPアクセスをブロックするための他の対策を講じている場合にのみ推奨されます。Web Studio の前にTLS終端ロードバランサーがある場合でも、ロードバランサーとWeb Studio の間でHTTPSを使用することをお勧めします。
  1. Web Studio サーバーにログオンします。
  2. インターネットインフォメーションサービス (IIS) マネージャー を開き、Server_name > サイト > 既定のWebサイト > URL書き換え に移動します。
  3. 次のスクリーンショットに示すように、httpsへのリダイレクト の 受信規則 を無効にします。
    HTTPSリダイレクトを無効にする
IIS で HSTS を有効にしている場合は、Redirect Http to Https もクリアする必要があります。