証明書管理

最終公開日 : Nov 13, 2026
Related information
HDX™ ダイレクト

概要

HDX™ Direct接続は、ネットワークレベルの暗号化によって保護されています。これを容易にするため、各セッションホストは一意の自己署名ルートCA証明書と、その自己署名ルートCA証明書によって署名された対応するサーバー証明書を持っています。
このソリューションには、次の利点があります。
  • セキュリティの合理化: HDX Direct接続は、環境内で証明書を管理する管理上のオーバーヘッドなしに保護されます。
  • 攻撃対象領域の削減: 各ホストは一意のキーと証明書のセットを持つため、攻撃対象領域は単一のホストに限定されます。
  • 非永続環境のセキュリティ強化: 非永続セッションホストを持つ環境では、再起動時に新しいキーと証明書が生成されるため、セキュリティがさらに強化されます。

セッションホスト

Citrix ClxMtp Service と Citrix Certificate Manager Service は、各セッションホストで証明書を管理する責任を負う2つのサービスです。ClxMtp Serviceはキーの生成とローテーションを処理し、Certificate Manager Serviceは証明書を生成および管理します。
自己署名ルートCAとサーバー証明書の2つの証明書が作成されます。どちらも2年間の有効期間で発行されますが、キーがローテーションされると置き換えられます。さらに、非永続マシンが再起動するたびに新しい証明書が生成されます。
各証明書の詳細は次のとおりです。
  • 自己署名ルートCA
    • 証明書発行先: CA-Citrix-Certificate-Manager
    • 証明書発行元: CA-Citrix-Certificate-Manager
    • 発行者詳細: 組織はCitrix Systems, Inc.です。
  • サーバー証明書
    • 発行先: \<ホストFQDN\> (例: FTLW11-001.ctxlab.net)
    • 発行元はCA-Citrix-Certificate-Managerです。
    • 発行者の詳細: 組織はCitrix Systems, Inc.です。
注：
Citrix Certificate Manager Serviceは、2048ビットキーを利用するRSA証明書を生成します。
Citrix Certificate Manager Serviceによって作成された既存のマシン証明書があり、サブジェクト名がマシンのFQDNと一致しない場合、新しい証明書が生成されます。

キーのローテーション

Citrix ClxMtp Serviceは、6か月ごとにキーを自動的にローテーションします。ただし、セッションホストのレジストリでローテーションカウンターを増やすことで、手動でキーのローテーションをトリガーできます。
キーをローテーションするには、次の値を更新します。
  • キー: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • 値の型: DWORD
  • 値の名前: ClxMtpRotateRequestCounter
  • データ: 整数 (10進数)
注：
初めてキーをローテーションする場合:
  1. ClxMtpConnectorSvcRotateKeyPairsキーを作成します。
  2. ClxMtpRotateRequestCounter値を1に作成して設定します。
その後のキーのローテーションでは、ClxMtpRotateRequestCounter値を1増やします。
値が更新されると、Citrix ClxMtp Serviceは再起動を必要とせずにキーを自動的にローテーションします。その後、Citrix Certificate Manager Serviceは新しいキーを検出すると、自動的に新しい証明書を生成します。

クライアントデバイス

ルートCA証明書は、確立済みの安全で信頼された接続パスを介して、WorkspaceまたはStorefront™によってクライアントに送信されます。これにより、CA証明書をクライアントデバイスの証明書ストアに配布する必要がなくなり、クライアントがHDX Direct接続を保護するために使用される証明書を信頼することが保証されます。

カスタム証明書の使用

HDX Directは、独自のPKIによって発行および管理される証明書の使用をサポートしています。以下の手順では、証明書のインストール方法、必要な権限の構成方法、セッションマネージャーサービスへのバインド方法、および必要なTLSリスナーの有効化方法について説明します。
  1. マシンでHDX Directが無効になっている場合は、手順2に進みます。HDX Directが有効になっている場合は、以下の手順に従います。
    1. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd に移動します。
    2. SSLEnabled の値を 0 に設定します。
    3. HKLM\Software\Citrix\HDX-Direct に移動します。
    4. HdxDirectCaInTls の値を 0 に設定します。
  2. PKIによって発行された適切な証明書を、マシンの証明書ストアにインストールします。
  3. セッションマネージャーサービスに、証明書の秘密キーへの読み取りアクセス権を付与します。
    1. Microsoft 管理コンソール (MMC) を起動します: > > mmc.exe。
    2. > に移動します。
    3. を選択し、 をクリックします。
    4. を選択し、 をクリックします。
    5. を選択し、 をクリックします。
    6. > > に移動します。
    7. 適切な証明書を右クリックし、 > を選択します。
    8. 次のいずれかのサービスを追加し、読み取りアクセス権を付与します。
      • シングルセッションVDAの場合: NT SERVICE\PorticaService
      • マルチセッションVDAの場合: NT SERVICE\TermService
    9. をクリックし、次に をクリックします。
  4. 証明書をセッションマネージャーサービスにバインドします。
    1. 証明書のサムプリントを取得します (証明書をダブルクリック > > )。
    2. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd に移動します。
    3. SSLThumbprint の値を編集し、証明書のサムプリントを貼り付けます。
  5. Citrix TLS リスナーを有効にします。
    1. 同じレジストリの場所で、SSLEnabled の値を 1 に設定します。
  6. HDX Direct を有効にします（Citrix ポリシー 内）。
Citrix Virtual Apps and Desktops のインストールメディアには、これらのタスクのいくつかを自動化する PowerShell スクリプト (Enable-VdaSSL.ps1) が含まれています。
  • 証明書のキーのアクセス許可を設定する
  • 証明書をセッションマネージャーサービスにバインドする
  • Citrix TLS リスナーを有効にする
このスクリプトは、Support > Tools > SslSupport ディレクトリにあります。詳細については、「PowerShell スクリプトを使用して VDA で TLS を構成する」を参照してください。
注：
独自の証明書を使用している場合、セッションホストに接続するデバイスには、正しいルート CA 証明書と中間 CA 証明書がインストールされている必要があります。