Delivery ControllerでTLSを有効にする

• すべてのDelivery Controllerでサーバー証明書を取得、インストール、登録します。詳細については、証明書の要求とインストールを参照してください。
• TLS証明書を使用してポートを構成します。詳細については、証明書のインストールを参照してください。
• 監視サービスでHTTPSを有効にする。
• HTTPを無効にすることでHTTPSトラフィックを強制します。詳細については、HTTPSトラフィックのみを強制するHTTPSトラフィックのみを強制するを参照してください。
• オプションで、ControllerがHTTPおよびHTTPSトラフィックをリッスンするために使用するポートを変更できます。詳細については、HTTPまたはHTTPSポートの変更を参照してください。

証明書の要求とインストール

SSL/TLSリスナーポートの構成

1. 既存の証明書がバインドされているかどうかを確認するには、コマンドプロンプトを開き、netsh http show sslcertを実行します:
   netsh http show sslcert
2. 既存のバインディングがある場合は、それを削除します。
   netsh http delete sslcert ipport=0.0.0.0:443
   既存のバインディングで指定されていた場合は、0.0.0.0:443を特定のIPアドレスとポートに置き換えます。
3. 以前にインストールした証明書のサムプリントを見つけます。サムプリントを表示するには、コンピューター証明書の管理を開き、証明書を参照して開き、詳細タブに移動します。
   
   または、PowerShell を使用することもできます。たとえば、次のスクリプトは、共通名がサーバーのホスト名と一致する証明書を検索し、サムネイルを出力します。
   $HostName = ([System.Net.Dns]::GetHostByName(($env:computerName))).Hostname
$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -match ("CN=" + $HostName)}).Thumbprint -join ';'
Write-Host -Object "Certificate Thumbprint for $($HostName): $($Thumbprint)" -Foreground Yellow
   証明書の共通名がホスト名と一致しない場合、これは失敗します。ホスト名に対して複数の証明書がある場合、これは連結された複数のサムプリントを返し、適切なサムプリントを選択する必要があります。
   次の例は、フレンドリ名で証明書を検索します。
   $friendlyName = "My certificate name"
$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.FriendlyName -eq $friendlyNam}).Thumbprint -join ';'
Write-Host -Object "Certificate Thumbprint for $friendlyName: $($Thumbprint)" -Foreground Yellow
   指定されたフレンドリ名を持つ証明書が複数ある場合、これは連結された複数のサムプリントを返し、適切なサムプリントを選択する必要があります。
4. 証明書をポートにバインドするには、netsh http add sslcert コマンドを使用します。
   netsh http add sslcert ipport=[IP address]:443 certhash=[certificate hash] appid=[application GUID] disablelegacytls=enable
   • ipport: IP アドレスとポート。0.0.0.0:443 を使用すると、すべての IP アドレスに適用されます。代わりに特定の IP アドレスを指定することもできます。
   • certhash: 前のステップで特定した証明書のサムプリント。
   • appid: シトリックス ブローカー サービスの GUID。
     注：
     証明書を更新または再バインドする場合は、任意の GUID ではなく、Broker Service に関連付けられている特定の appid を使用します。 Citrix Broker Service の正しい appid を見つけるには、次の手順を実行します。
     1. 管理者として PowerShell コマンドウィンドウを開き、次のコマンドを実行します。
        Get-WmiObject -Class Win32_Product | Select-String -Pattern "broker"
     2. 出力で Citrix Broker Service の IdentifyingNumber (GUID) を見つけます (例: {D333C884-187F-447C-8C67-463F33989C8F})。この GUID を appid パラメーターに使用します。
   • disablelegacytls=enable: 以前のバージョンの TLS を無効にします。このパラメーターは Windows 2022 以降で利用可能です。Windows 2022 では TLS 1.0 および 1.1 を無効にします。Windows 2025 では、TLS 1.0 および 1.1 はデフォルトで無効になっているため、これは不要です。
   たとえば、次のコマンドを実行して、サムプリント bc96f958848639fd101a793b87915d5f2829b0b6 の証明書をすべての IP アドレスのポート 443 にバインドします。
   netsh http add sslcert ipport=0.0.0.0:443 certhash=bc96f958848639fd101a793b87915d5f2829b0b6 appid={91fe7386-e0c2-471b-a252-1e0a805febac} disablelegacytls=enable

HTTPS 用のモニターサービス OData API を構成する

1. 次の PowerShell を実行します。
   $serviceGroup = Get-ConfigRegisteredServiceInstance -ServiceType Monitor | Select -First 1 ServiceGroupUid
Remove-ConfigServiceGroup -ServiceGroupUid $serviceGroup.ServiceGroupUid
& 'C:\Program Files\Citrix\Monitor\Service\citrix.monitor.exe' -ConfigureFirewall -RequireODataTls –OdataPort 443 -RequireODataSdkTls –OdataSdkPort 443
get-MonitorServiceInstance | register-ConfigServiceInstance
Get-ConfigRegisteredServiceInstance -ServiceType Config | Reset-MonitorServiceGroupMembership
2. テキストエディターでファイル C:\Program Files\Citrix\Monitor\Service\Citrix.Monitor.exe.Config を開きます。要素 <add key="owin:baseAddress" value="http://localhost/citrix/monitor/odata/v4" /> を見つけて、<add key="owin:baseAddress" value="https://localhost/citrix/monitor/odata/v4" /> に変更します。

暗号スイートを構成する

1. Microsoft グループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL 構成設定 に移動します。
2. ポリシー「SSL Cipher Suite Order」を編集します。デフォルトでは、このポリシーは「未構成」に設定されています。このポリシーを「有効」に設定します。
3. スイートを正しい順序に並べ替えます。使用したくない暗号スイートはすべて削除します。

HTTPS トラフィックのみを強制する

1. regedit を実行します。
2. HKLM\Software\Citrix\DesktopServer\ を開きます
3. 新しいDWORD値を作成し、名前をXmlServicesEnableNonSslに設定して、0に設定します。
4. ブローカーサービスを再起動します。

HTTPまたはHTTPSポートを変更する

• <http-port>はHTTPトラフィックのポート番号です
• <https-port>はHTTPSトラフィックのポート番号です。