セキュリティとネットワーク構成

最終公開日 : Oct 24, 2026
Federated Authentication Service (FAS) は、Microsoft Active Directory および Microsoft 証明機関と密接に統合されています。ドメインコントローラーやその他の重要なインフラストラクチャと同様に、セキュリティポリシーを策定し、システムが適切に管理および保護されていることを確認することが不可欠です。
このドキュメントでは、FAS を展開する際に考慮すべきセキュリティ問題の概要を説明します。また、インフラストラクチャの保護に役立つ利用可能な機能の概要も提供します。
Related information
高度な構成

ネットワークアーキテクチャ

次の図は、FAS 展開で使用される主要なコンポーネントとセキュリティ境界を示しています。
FAS サーバーは、証明機関およびドメインコントローラーとともに、セキュリティ上重要なインフラストラクチャの一部として扱われるべきです。フェデレーション環境では、Citrix Gateway と Citrix Storefront はユーザー認証を実行するために信頼されるコンポーネントです。その他の Citrix Virtual Apps and Desktops™ コンポーネントは、FAS の導入による影響を受けません。
ローカライズされた画像

ファイアウォールとネットワークセキュリティ

Citrix Gateway、StoreFront、および Delivery Controller™ コンポーネント間の通信は、ポート 443 経由の TLS によって保護される必要があります。StoreFront サーバーは発信接続のみを実行し、Citrix Gateway はインターネット経由の HTTPS ポート 443 を使用した接続のみを受け入れる必要があります。
StoreFront サーバーは、相互認証された Kerberos を使用してポート 80 経由で FAS サーバーに接続します。認証には、FAS サーバーの Kerberos HOST/fqdn ID と、StoreFront サーバーの Kerberos マシンアカウント ID が使用されます。これにより、Citrix Virtual Delivery Agent (VDA) がユーザーをログオンするために必要な、単一使用の「資格情報ハンドル」が生成されます。
HDX セッションが VDA に接続されると、VDA もポート 80 経由で FAS サーバーに接続します。認証には、FAS サーバーの Kerberos HOST/fqdn ID と、VDA の Kerberos マシン ID が使用されます。さらに、VDA は証明書と秘密鍵にアクセスするために「資格情報ハンドル」を提供する必要があります。
Microsoft 証明機関は、Kerberos 認証された DCOM を使用した通信を受け入れます。これは固定 TCP ポートを使用するように構成できます。証明機関はさらに、FAS サーバーが信頼された登録エージェント証明書によって署名された CMC パケットを提供することを要求します。
サーバー ファイアウォールポート
フェデレーション認証サービス [in] StoreFront™およびVDAからのHTTP経由Kerberos、[out] Microsoft証明機関へのDCOM
シトリックス ゲートウェイ [in] クライアントマシンからのHTTPS、[in/out] StoreFrontサーバーとのHTTPS、[out] VDAへのHDX
StoreFront シトリックス ゲートウェイからのHTTPS [in]、デリバリー コントローラーへのHTTPS [out]、FASへのKerberos HTTP [out]
デリバリー コントローラー [in] StoreFrontサーバーからのHTTPS、[in/out] VDAからのHTTP経由Kerberos
VDA デリバリー コントローラーからのHTTP経由Kerberos [in/out]、シトリックス ゲートウェイからのHDX [in]、FASへのKerberos HTTP [out]
Microsoft証明機関 [in] FASからのDCOMおよび署名済み

シトリックス フェデレーテッド認証サービスとシトリックス クラウド™間の接続

コンソールとFASは、それぞれユーザーアカウントとネットワークサービスアカウントを使用して、次のアドレスにアクセスします。
  • ユーザーアカウント下のFAS管理コンソール
    • *.cloud.com
    • *.citrixworkspacesapi.net
    • 環境でサードパーティのIDプロバイダーが使用されている場合、そのプロバイダーが必要とするアドレス
  • ネットワークサービスアカウント下のFASサービス: *.citrixworkspacesapi.net
環境にプロキシサーバーが含まれている場合は、FAS管理コンソールのアドレスでユーザープロキシを構成します。また、ネットワークサービスアカウントのアドレスがnetshまたは同様のツールを使用して構成されていることを確認してください。

管理者の役割

環境の管理は、以下のグループに分けられます。
名前 責任
エンタープライズ管理者 フォレストに証明書テンプレートをインストールして保護する
ドメイン管理者 グループポリシー設定を構成する
証明機関管理者 証明機関を構成する
FAS管理者 FASサーバーをインストールして構成する
StoreFront/Citrix Gateway管理者 ユーザー認証を構成する
シトリックス バーチャル デスクトップ™ 管理者 VDAとコントローラーを構成する
各管理者は、全体的なセキュリティモデルの異なる側面を制御し、システムを保護するための多層防御アプローチを可能にします。

グループポリシー設定

信頼されたFASマシンは、グループポリシーを通じて構成された「インデックス番号 -> FQDN」のルックアップテーブルによって識別されます。FASサーバーに接続する際、クライアントはFASサーバーのHOST\<fqdn> Kerberos IDを検証します。FASサーバーにアクセスするすべてのサーバーは、同じインデックスに対して同一のFQDN構成を持つ必要があります。そうでない場合、StoreFrontとVDAは異なるFASサーバーに接続する可能性があります。
誤った構成を避けるため、Citrixは環境内のすべてのマシンに単一のポリシーを適用することを推奨しています。FASサーバーのリストを変更する際、特にエントリを削除したり並べ替えたりする際には注意してください。
このGPOの制御は、FASサーバーをインストールおよび廃止するFAS管理者（および/またはドメイン管理者）に限定されるべきです。FASサーバーを廃止した直後にマシンのFQDN名を再利用しないように注意してください。

証明書テンプレート

FASに付属のCitrix_SmartcardLogon証明書テンプレートを使用しない場合は、そのコピーを変更できます。以下の変更がサポートされています。

証明書テンプレートの名前を変更する

Citrix_SmartcardLogonの名前を組織のテンプレート命名標準に合わせて変更したい場合は、次の手順を実行する必要があります。
  • 証明書テンプレートのコピーを作成し、組織のテンプレート命名標準に合わせて名前を変更します。
  • 管理ユーザーインターフェイスではなく、FAS PowerShellコマンドを使用してFASを管理します。(管理ユーザーインターフェイスは、Citrixのデフォルトテンプレート名でのみ使用することを目的としています。)
    • テンプレートを公開するには、Microsoft MMC証明書テンプレートスナップインまたはPublish-FasMsTemplateコマンドのいずれかを使用し、
    • New-FasCertificateDefinitionコマンドを使用して、テンプレート名でFASを構成します。

全般プロパティを変更する

証明書テンプレートの有効期間を変更できます。
更新期間は変更しないでください。FASは、証明書テンプレートのこの設定を無視します。FASは、有効期間の途中で証明書を自動的に更新します。

要求処理プロパティを変更する

これらのプロパティは変更しないでください。FASは、証明書テンプレートのこれらの設定を無視します。FASは常に秘密キーのエクスポートを許可するの選択を解除し、同じキーで更新するの選択を解除します。

暗号化プロパティを変更する

これらのプロパティは変更しないでください。FASは、証明書テンプレートのこれらの設定を無視します。
FASが提供する同等の設定については、秘密キーの保護を参照してください。

キー構成証明プロパティを変更する

これらのプロパティは変更しないでください。FASはキー構成証明をサポートしていません。

置き換えられたテンプレートプロパティを変更する

これらのプロパティは変更しないでください。FASはテンプレートの置き換えをサポートしていません。

拡張機能のプロパティを変更する

これらの設定は、組織のポリシーに合わせて変更できます。
注：不適切な拡張機能の設定は、セキュリティ上の問題を引き起こしたり、証明書が使用できなくなる原因となる可能性があります。

セキュリティプロパティを変更する

Citrixでは、これらの設定を変更して、FASサーバーのマシンアカウントのみに読み取りおよび登録のアクセス許可を付与することを推奨しています。FASサービスでは、その他のアクセス許可は必要ありません。ただし、他の証明書テンプレートと同様に、次のことを検討する場合があります。
  • 管理者がテンプレートを読み取りまたは書き込みできるようにする
  • 認証済みユーザーがテンプレートを読み取れるようにする
ローカライズされた画像

サブジェクト名のプロパティを変更する

Citrixでは、これらのプロパティを変更しないことを推奨しています。
テンプレートには「このActive Directory情報から構築」が選択されており、これにより証明機関はユーザーのSIDを証明書拡張機能に含めます。これは、ユーザーのActive Directoryアカウントへの強力なマッピングを提供します。

サーバープロパティを変更する

Citrixは推奨していませんが、必要に応じて、これらの設定を組織のポリシーに合わせて変更できます。

発行要件のプロパティを変更する

これらの設定は変更しないでください。これらの設定は次のように表示されるはずです。
ローカライズされた画像(/en-us/federated-authentication-service/1912-ltsr/media/fas-security-props-issuance.png)

互換性プロパティの変更

これらの設定を変更できます。設定は少なくともWindows Server 2003 CA（スキーマバージョン2）である必要があります。ただし、FASはWindows Server 2008以降のCAのみをサポートします。また、前述のとおり、FASはWindows Server 2008 CA（スキーマバージョン3）またはWindows Server 2012 CA（スキーマバージョン4）を選択することで利用できる追加設定を無視します。

証明機関の管理

証明機関管理者は、証明機関サーバーの構成と、それが使用する発行証明書秘密キーの責任を負います。

テンプレートの公開

エンタープライズ管理者が提供するテンプレートに基づいて証明機関が証明書を発行するには、証明機関管理者はそのテンプレートを公開することを選択する必要があります。
単純なセキュリティ対策としては、FASサーバーのインストール時に登録機関証明書テンプレートのみを公開するか、完全にオフラインの発行プロセスを徹底することです。いずれの場合も、証明機関管理者は登録機関証明書要求の承認を完全に制御し、FASサーバーを承認するためのポリシーを持つ必要があります。

ファイアウォール設定

一般的に、証明機関管理者は証明機関のネットワークファイアウォール設定も制御し、受信接続を制御できます。証明機関管理者は、FASサーバーのみが証明書を要求できるようにDCOM TCPおよびファイアウォールルールを構成できます。

登録の制限

デフォルトでは、登録機関証明書の所有者は、アクセスを許可する任意の証明書テンプレートを使用して、任意のユーザーに証明書を発行できます。これは、「登録エージェントの制限」証明機関プロパティを使用して、非特権ユーザーのグループに制限する必要があります。
ローカライズされた画像(/en-us/federated-authentication-service/1912-ltsr/media/fas-security-props-enrollmentagents.png)

ポリシーモジュールと監査

高度な展開の場合、カスタムセキュリティモジュールを使用して証明書の発行を追跡および拒否できます。

FAS管理

FASにはいくつかのセキュリティ機能があります。

ACLによるStoreFront、ユーザー、VDAの制限

FASセキュリティモデルの中心は、どのKerberosアカウントが機能にアクセスできるかを制御することです。
アクセスベクター 説明
StoreFront [IdP] これらのKerberosアカウントは、ユーザーが正しく認証されたことを宣言するために信頼されています。これらのアカウントのいずれかが侵害された場合、FASの構成によって許可されたユーザーのために証明書が作成され、使用される可能性があります。
VDA [Relying party] これらは、証明書と秘密キーへのアクセスが許可されているマシンです。IdPによって取得された資格情報ハンドルも必要であるため、このグループ内の侵害されたVDAアカウントがシステムを攻撃できる範囲は限られています。
ユーザー これは、IdPによってアサートできるユーザーを制御します。証明機関の「Restricted Enrollment Agent」構成オプションと重複する点があることに注意してください。一般的に、このリストには非特権アカウントのみを含めることをお勧めします。これにより、侵害されたStoreFrontアカウントがより高い管理レベルに特権を昇格させることを防ぎます。特に、ドメイン管理者アカウントはこのACLによって許可されるべきではありません。

ルールの構成

複数の独立したCitrix Virtual Apps™またはCitrix Virtual Desktops展開が同じFASサーバーインフラストラクチャを使用する場合、ルールは役立ちます。各ルールには個別の構成オプションセットがあり、特にACLは個別に構成できます。

証明機関とテンプレートの構成

異なる証明書テンプレートとCAは、異なるアクセス権限に対して構成できます。高度な構成では、環境に応じて、より強力な証明書またはより強力でない証明書を使用することを選択できます。たとえば、「外部」として識別されたユーザーは、「内部」ユーザーよりも少ない権限を持つ証明書を持つ場合があります。

セッション内証明書と認証証明書

FAS管理者は、認証に使用される証明書がユーザーのセッション内で使用可能であるかどうかを制御できます。たとえば、これにより、「署名」証明書のみをセッション内で利用可能にし、より強力な「ログオン」証明書はログオン時にのみ使用されるようにすることができます。

秘密鍵の保護と鍵長

FAS管理者は、FASが秘密鍵をハードウェアセキュリティモジュール (HSM) またはトラステッドプラットフォームモジュール (TPM) に保存するように構成できます。Citrixは、少なくとも登録機関の証明書秘密鍵をTPMに保存することで保護することを推奨しています。このオプションは、「オフライン」証明書要求プロセスの一部として提供されます。
同様に、ユーザー証明書の秘密鍵はTPMまたはHSMに保存できます。すべての鍵は「エクスポート不可」として生成され、長さは2048ビット以上である必要があります。

イベントログ

FASサーバーは、監査および侵入検知に使用できる詳細な構成およびランタイムイベントログを提供します。

管理アクセスと管理ツール

FASには、リモート管理機能（相互認証Kerberos）とツールが含まれています。「ローカル管理者グループ」のメンバーは、FAS構成を完全に制御できます。このリストは慎重に管理する必要があります。

シトリックス バーチャル アプリ、シトリックス バーチャル デスクトップ、およびVDA管理者

一般に、FASの使用は、FASの「資格情報ハンドル」が「Active Directoryパスワード」を単に置き換えるため、Delivery ControllerおよびVDA管理者のセキュリティモデルを変更しません。ControllerおよびVDA管理グループには、信頼できるユーザーのみを含める必要があります。監査およびイベントログは維持する必要があります。

一般的なWindowsサーバーのセキュリティ

すべてのサーバーは完全にパッチが適用され、標準のファイアウォールおよびウイルス対策ソフトウェアが利用可能である必要があります。セキュリティ上重要なインフラストラクチャサーバーは、物理的に安全な場所に保管し、ディスク暗号化と仮想マシンのメンテナンスオプションに注意を払う必要があります。
監査およびイベントログは、リモートマシンに安全に保存する必要があります。
RDPアクセスは、許可された管理者に限定されるべきです。可能な限り、ユーザーアカウントはスマートカードログオンを必要とすべきであり、特に証明機関およびドメイン管理者アカウントの場合に必要です。

関連情報

  • (/ja-jp/federated-authentication-service/1912-ltsr/install-configure.html)は、FASのインストールと構成に関する主要なリファレンスです。
  • FASアーキテクチャについては、(/ja-jp/federated-authentication-service/1912-ltsr/deployment-architectures.html)記事で紹介されています。
  • その他の「ハウツー」記事については、(/ja-jp/federated-authentication-service/1912-ltsr/config-manage.html)記事で紹介されています。