証明書管理

概要

• セキュリティの合理化: HDXダイレクト接続は、環境内で証明書を管理する管理上のオーバーヘッドなしに保護されます。
• 攻撃対象領域の縮小: 各ホストが一意のキーと証明書のセットを持つため、攻撃対象領域は単一のホストに限定されます。
• 非永続環境のセキュリティ強化: 非永続セッションホストがある環境では、再起動時に新しいキーと証明書が生成されるため、セキュリティがさらに強化されます。

セッションホスト

• 自己署名ルートCA
  • 発行先は CA-Citrix-Certificate-Manager です
  • 発行元はCA-Citrix-Certificate-Managerです。
  • 発行者詳細: 組織はCitrix Systems, Inc.です。
• サーバー証明書
  • 発行先: \<ホストFQDN\> (例: FTLW11-001.ctxlab.net)
  • 発行元はCA-Citrix-Certificate-Managerです。
  • 発行者詳細: 組織はCitrix Systems, Inc.です。

クライアントデバイス

カスタム証明書の使用

1. マシンでHDX Directが無効になっている場合は、手順2に進みます。HDX Directが有効になっている場合は、以下の手順に従います。
   1. レジストリエディター (regedit.exe) を開き、「HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd」に移動します。
   2. SSLEnabled の値を 0 に設定します。
   3. HKLM\Software\Citrix\HDX-Direct に移動します。
   4. HdxDirectCaInTls の値を 0 に設定します。
2. PKIによって発行された適切な証明書を、マシンの証明書ストアにインストールします。
3. セッションマネージャーサービスに、証明書の秘密キーへの読み取りアクセス権を付与します。
   1. Microsoft管理コンソール (MMC) を起動します: スタート > ファイル名を指定して実行 > mmc.exe。
   2. ファイル > スナップインの追加と削除 に移動します。
   3. 証明書 を選択し、追加 をクリックします。
   4. コンピューターアカウント を選択し、次へ をクリックします。
   5. ローカルコンピューター を選択し、完了 をクリックします。
   6. 「証明書 (ローカル コンピューター) > 個人 > 証明書」に移動します。
   7. 適切な証明書を右クリックし、「すべてのタスク > プライベート キーの管理」を選択します。
   8. 次のいずれかのサービスを追加し、読み取りアクセス権を付与します。
      • シングルセッションVDAの場合: NT SERVICE\PorticaService
      • マルチセッションVDAの場合: NT SERVICE\TermService
   9. 「適用」をクリックし、次に「OK」をクリックします。
4. 証明書をセッションマネージャーサービスにバインドします。
   1. 証明書のサムプリントを取得します (証明書をダブルクリック > 詳細 > サムプリント)。
   2. レジストリエディター (regedit.exe) を開き、「HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd」に移動します。
   3. SSLThumbprint の値を編集し、証明書のサムプリントを貼り付けます。
5. Citrix TLSリスナーを有効にします。
   1. 同じレジストリの場所で、SSLEnabled の値を 1 に設定します。
6. HDX Direct を有効にします (Citrix ポリシー内)。

• 証明書のキーのアクセス許可を設定する
• セッションマネージャーサービスへの証明書の結合
• Citrix TLSリスナーの有効化