Web Studio のスマートカード認証を設定する
この記事では、Web Studio のスマートカード認証を設定および有効にするために必要な手順を概説します。
注:
スマートカード認証は、Web Studio サーバーと同じ Active Directory ドメインのユーザーに対してのみサポートされます。
ステップ 1: スマートカードドライバーをインストールする
以下のマシンにスマートカードドライバーをインストールします。
-
証明書サービスがインストールされているドメインコントローラー。
-
Web Studio サーバー
-
エンドユーザーが Web Studio にアクセスするために使用するマシン
-
スマートカードユーザーの証明書を登録するために使用するマシン
スマートカードドライバーはベンダーによって異なります。たとえば、ITS が提供するスマートカードハードウェアを使用している場合は、
<https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers> から SaftNet ドライバーをダウンロードしてください。
ステップ2：スマートカードユーザーの証明書を発行する
注:
以下の手順は、プロセスを案内するための例として提供されています。
ドメインコントローラーで、以下の手順に従ってタスクを完了します。
-
ドメインコントローラーにアクセスし、証明機関を開きます。
-
登録エージェントテンプレートを複製します。詳細な手順は次のとおりです。
-
証明書テンプレートを右クリックし、管理を選択します。
-
登録エージェントを右クリックし、テンプレートの複製を選択します。
-
サブジェクト名タブで、サブジェクト名に電子メールを含めるが選択されていないことを確認します。
-
暗号化タブで、Microsoft Base Smart Card Crypto Providerを選択し、OKをクリックします。証明書テンプレートリストに登録エージェントのコピーという名前のテンプレートが表示されます。
-
-
スマートカードの証明書を発行します。詳細な手順は次のとおりです。
-
「証明書テンプレート」を右クリックし、「新規 > 発行するテンプレート」を選択します。
-
「登録エージェントのコピー」と「スマートカードユーザー」を選択します。
-
OKをクリックします。
-
ステップ3：スマートカードユーザーの証明書を登録する
注:
以下の手順は、プロセスをガイドするための例として提供されています。
ドメインに参加している物理Windowsマシンで、各スマートカードの証明書を登録するには、以下の手順に従います。
-
登録用にドメインに参加している物理Windowsマシンを準備します。
-
スマートカードドライバーがインストールされていることを確認します。
-
スマートカードをマシンに挿入します。
-
スマートカードに割り当てるユーザーアカウントを使用してマシンにログオンします。
-
-
ステップ1で準備したマシンに証明書スナップインを追加します。詳細な手順は次のとおりです。
-
「mmc」を開きます。
-
「ファイル」をクリックし、次に「スナップインの追加と削除」をクリックします。
-
表示される「スナップインの追加と削除」ウィンドウで、「証明書」を選択し、「追加 >」をクリックします。
-
表示されるダイアログボックスで、「マイユーザーアカウント」を選択し、「完了」をクリックします。
-
OKをクリックします。証明書の追加(/en-us/citrix-virtual-apps-desktops/current-release/media/add-certificate-1.png)
-
-
「証明書」スナップインの新しい証明書を要求します。詳細な手順は次のとおりです。
-
証明書 - 現在のユーザー > 個人に移動し、証明書を右クリックして、すべてのタスク > 新しい証明書の要求を選択します。
-
表示される証明書の要求ダイアログボックスで、登録エージェントのコピーとスマートカードユーザーを選択します。
-
上記のダイアログボックスで、Smartcard User の 詳細 をクリックし、次に プロパティ をクリックします。証明書のプロパティ ダイアログボックスが表示されます。
-
秘密キータブで、暗号化サービスプロバイダーを展開し、Microsoft Strong Cryptographic Provider (Encrption) のチェックを外し、Microsoft Base Smart Card Crypto Provider (Encryption) のみを選択して、OKをクリックします。
-
登録をクリックします。
-
表示される Windows セキュリティ ダイアログボックスで、スマートカードの PIN コードを入力し、OK をクリックします。登録が完了したら、完了 をクリックします。
-
登録が成功すると、次のスクリーンショットに示すように、証明書 - 現在のユーザー -> 個人 -> 証明書の下に2つの証明書が表示されます。 
手順4：Web Studio IISサーバーを構成する
各Web Studioサーバーで、スマートカード認証用にIISを構成するには、次の手順に従います。
-
Web Studio マシンで クライアント証明書マッピング認証 を有効にします。
<clientCertificateMappingAuthentication>要素は、IIS 7以降のデフォルトインストールでは利用できません。インストールと有効化の詳細については、このMicrosoftの記事を参照してください。 -
Web StudioマシンでIIS マネージャーを起動します。
-
「Active Directory クライアント証明書認証」をマシンで有効にします。詳細な手順は次のとおりです。
-
左ペインでマシンを選択し、「認証」をダブルクリックします。
-
「Active Directory クライアント証明書認証」を有効にします。
-
-
クライアント証明書認証を使用して、より安全なHTTPSプロトコルのWeb Studioバックエンドモジュールを構成します。
-
サイト >
the IIS site name where Web Studio is installed (site ID = 1, by default, Default Web Site)> Studio > Backend > Smartcard に移動し、次に、IIS セクションで SSL 設定 をダブルクリックします。
-
「クライアント証明書」で「要求」を選択します。
-
サイト >
the IIS site name where Web Studio is installed (site ID = 1, by default, Default Web Site)> Studio > Backend > Smartcard に戻り、次に、IIS セクションで 構成エディター をダブルクリックします。
-
/clientCertificateMappingAuthenticationが有効になっていることを確認します。
-
-
(Windows 2022のみ) TCP経由のTLS 3.1を無効にします。詳細な手順は次のとおりです。
-
サイト >
the IIS site name where Web Studio is installed (site ID = 1, by default, Default Web Site)に移動します。 -
「サイトの編集 > バインド」をクリックします。
-
表示される「サイトバインド」ダイアログボックスで、「https」レコードを選択し、「編集」をクリックします。Windows 2022 のみ https 編集(/en-us/citrix-virtual-apps-desktops/current-release/media/iis-server-default-site-https-edit.png)
-
表示される「サイトバインドの編集」ダイアログボックスで、「TCP 経由の TLS 1.3 を無効にする」を選択し、「OK」をクリックします。Windows 2022 のみ https 編集無効(/en-us/citrix-virtual-apps-desktops/current-release/media/iis-server-default-site-https-edit-disable.png)
-
知っておくと良いこと:
Web Studio バックエンドは、Web Studio のモジュールであり、次の機能を提供します。
-
スマートカード認証。
-
統合 Windows 認証を使用したオーケストレーションサービスからの FMA ベアラートークンの取得。
手順 5 (オプション) Web Studio の認証委任を構成する
Web Studio と Delivery Controller が異なるサーバーにインストールされている場合、各 Web Studio サーバーから Delivery Controller への HOST および HTTPS サービスに対する委任を構成する必要があります。
各 Web Studio サーバーでタスクを完了するには、次の手順に従います。
Delivery Controller Orchestration HTTPS証明書のインポート
Web Studioサーバーで、Delivery Controller Orchestration HTTPS証明書を信頼されたルート証明機関にインポートします。詳細な手順は次のとおりです。
-
設定 > コンピューター証明書の管理を開始します。
-
信頼されたルート証明機関 > 証明書を右クリックし、すべてのタスク > インポートを選択します。DDC証明書のインポート(/en-us/citrix-virtual-apps-desktops/current-release/media/web-server-ddc-cert-import.png)
-
画面の指示に従って、Delivery Controller Orchestration HTTPS証明書をインポートします。
Web Studioサーバーの委任を構成する
ドメインコントローラーで、Web StudioサーバーからDelivery ControllerへのHOSTおよびHTTPサービスの委任を構成します。タスクを完了するには、次の手順に従います。
-
ドメインコントローラーで、Active Directory管理センターを開始します。
-
委任を構成する Web Studio サーバーの コンピューター アカウントを見つけます（例: Dan002）。
-
アカウントを右クリックし、プロパティ を選択し、次の手順を実行します。Studioサーバーの委任を構成する(/en-us/citrix-virtual-apps-desktops/current-release/media/kerbero-delegation-1.png)
-
委任タブに移動します。委任設定を入力する(/en-us/citrix-virtual-apps-desktops/current-release/media/kerbero-delegation-2.png)
-
構成結果を次のスクリーンショットに示します。 
（オプション）Web Studio IIS サーバーのサービスアカウントの委任を構成する
Web Studio IIS サーバーにサービスアカウントを構成している場合は、このサービスアカウントの委任を、HOST および HTTP サービス用の Delivery Controller に対して構成する必要もあります。この委任が確立されると、Web Studio サーバーはサービスアカウントを使用して、現在のスマートカードユーザーになりすまし、HOST および HTTP サービス用の Delivery Controller にアクセスできます。構成を完了するには、次の手順に従います。
-
ドメインコントローラーで、Active Directory管理センターを開始します。
-
委任を構成する Web Studio IIS サーバーの ユーザー アカウント（サービスアカウント）を見つけます（例: svr-stud-002）。
-
アカウントを右クリックし、プロパティを選択します。
-
「Web Studioサーバーの委任を構成する」(#configure-delegation-for-the-web-studio-server)のステップ3で説明されている手順に従い、Web Studio IISサーバーのサービスアカウントを、HOSTサービスおよびHTTPサービスのためにDelivery Controllerに委任します。
構成結果を次のスクリーンショットに示します。
手順 6：Web Studio のスマートカード認証を有効にする
Web Studio のスマートカード認証を有効にするには、次の手順に従います。
-
Web Studioにサインインし、左側のペインで設定を選択します。
-
必要に応じて、スマートカード認証またはドメイン資格情報またはスマートカード認証を選択します。
-
適用をクリックします。証明書テンプレートの管理(/en-us/citrix-virtual-apps-desktops/current-release/media/enable-stud-settings.png)