証明機関の構成

最終公開日 : Oct 24, 2026
この記事では、証明機関 (CA) サーバーと統合するためのFederated Authentication Service (FAS) の高度な構成について説明します。これらの構成のほとんどは、FAS管理コンソールではサポートされていません。手順では、FASが提供するPowerShell APIを使用します。この記事の指示を実行する前に、PowerShellの基本的な知識が必要です。
Related information
高度な構成

FASで使用する複数のCAサーバーをセットアップする

FAS管理コンソールを使用して、ルールを作成または編集する際に複数のCAでFASを構成できます。
2つのCAでルールを編集。(/en-us/federated-authentication-service/2209/media/edit-rule-2cas.png)
選択したすべてのCAは、Citrix_SmartcardLogon証明書テンプレート (またはルールで選択したテンプレート) を公開している必要があります。
使用したいCAのいずれかが目的のテンプレートを公開していない場合は、そのCAに対して証明機関をセットアップする手順を実行してください。
注:
すべてのCAに対してこのサービスを承認する手順を実行する必要はありません。この手順で構成された承認証明書は、どのCAでも使用できるためです。

予期される動作の変更

FASサーバーを複数のCAサーバーで構成すると、ユーザー証明書の生成は、構成されているすべてのCAサーバーに分散されます。また、構成されているCAサーバーのいずれかが失敗した場合、FASサーバーは別の利用可能なCAサーバーに切り替わります。

TCPアクセス用にMicrosoft証明機関を構成する

デフォルトでは、Microsoft CAはアクセスにDCOMを使用します。これにより、ファイアウォールセキュリティを実装する際に複雑さが増す可能性があります。そのため、Microsoftは静的TCPポートに切り替えるための規定を設けています。Microsoft CAで、Start>Run>dcomcnfg.exeを使用してDCOM構成パネルを開き、Computers>My computer>DCOM Configを展開してCertSrv Requestノードを表示し、CertSrv Request DCOMアプリケーションのプロパティを編集します。
ローカライズされた画像(/en-us/federated-authentication-service/2209/media/fas-caconfig-select-dcom-protocol.png)
「エンドポイント」を変更して静的エンドポイントを選択し、TCPポート番号 (上記の図では900) を指定します。
Microsoft 証明機関を再起動し、証明書要求を送信します。netstat –a –n –b を実行すると、certsvr がポート 900 でリッスンしていることがわかります。
ローカライズされた画像(/en-us/federated-authentication-service/2209/media/fas-caconfig-netstat.png)
DCOM には RPC ポートを使用したネゴシエーション段階があるため、FAS サーバー (または証明機関を使用するその他のマシン) を構成する必要はありません。クライアントが DCOM を使用する必要がある場合、証明書サーバー上の DCOM RPC サービスに接続し、特定の DCOM サーバーへのアクセスを要求します。これによりポート 900 が開かれ、DCOM サーバーは FAS サーバーに接続方法を指示します。

ユーザー証明書の事前生成

FAS サーバー内でユーザー証明書が事前生成されると、ユーザーのログオン時間が大幅に短縮されます。以下のセクションでは、単一または複数の FAS サーバーでこれを実行する方法について説明します。

Active Directory ユーザーのリストを取得する

以下の例に示すように、AD をクエリし、ユーザーのリストをファイル (たとえば、.csv ファイル) に保存することで、証明書の生成を改善できます。
Import-Module ActiveDirectory

$searchbase = "cn=users,dc=bvt,dc=local" # AD User Base to Look for Users, leave it blank to search all
$filename = "user_list.csv" # Filename to save

if ($searchbase -ne ""){
    Get-ADUser -Filter {(UserPrincipalName -ne "null") -and (Enabled -eq "true")} -SearchBase $searchbase -Properties UserPrincipalName | Select UserPrincipalName | Export-Csv -NoTypeInformation -Encoding utf8 -delimiter "," $filename
} else {
    Get-ADUser -Filter {(UserPrincipalName -ne "null") -and (Enabled -eq "true")} -Properties UserPrincipalName | Select UserPrincipalName | Export-Csv -NoTypeInformation -Encoding utf8 -delimiter "," $filename
}
Get-ADUser は、ユーザーのリストをクエリするための標準的なコマンドレットです。上記の例には、UserPrincipalName を持ち、アカウントステータスが「有効」であるユーザーのみをリストするためのフィルター引数が含まれています。
SearchBase 引数は、AD のどの部分でユーザーを検索するかを絞り込みます。AD 内のすべてのユーザーを含めたい場合は、これを省略できます。注: このクエリは多数のユーザーを返す可能性があります。
CSV は次のようになります。
ローカライズされた画像(/en-us/federated-authentication-service/2209/media/fas-caconfig-get-aduser-csv.png)

FAS サーバー

次の PowerShell スクリプトは、以前に生成されたユーザーリストを受け取り、ユーザー証明書のリストを作成します。
Add-PSSnapin Citrix.A*
$csv = "user_list.csv"
$rule = "default" # rule/role in your admin console
$users = Import-Csv -encoding utf8 $csv
foreach ( $user in $users )
{
    $server = Get-FasServerForUser -UserPrincipalNames $user.UserPrincipalName
    if( $server.Server -ne $NULL) {
        New-FasUserCertificate -Address $server.Server -UserPrincipalName $user.UserPrincipalName -CertificateDefinition $rule"_Definition" -Rule $rule
    }
    if( $server.Failover -ne $NULL) {
        New-FasUserCertificate -Address $server.Failover -UserPrincipalName $user.UserPrincipalName -CertificateDefinition $rule"_Definition" -Rule $rule
    }
}
複数の FAS サーバーがある場合、特定のユーザーの証明書はメインサーバーとフェイルオーバーサーバーでそれぞれ 1 回ずつ、合計 2 回生成されます。
上記のスクリプトは、「default」という名前のルールに対応しています。異なるルール名 (たとえば、「hello」) を使用している場合は、スクリプト内の $rule 変数を変更してください。
ローカライズされた画像

登録機関証明書を更新する

複数のFASサーバーが使用されている場合、ログイン中のユーザーに影響を与えることなく、FAS承認証明書を更新できます。
注:
GUIを使用してFASを再承認することもできます。
ローカライズされた画像
次の手順を完了します。
  1. 新しい承認証明書を作成します: New-FasAuthorizationCertificate
  2. 新しい承認証明書のGUIDをメモします。これは、Get-FasAuthorizationCertificateによって返されます。
  3. FASサーバーをメンテナンスモードにします: Set-FasServer –Address <FAS server> -MaintenanceMode $true
  4. 新しい承認証明書を交換します: Set-FasCertificateDefinition –AuthorizationCertificate <GUID>
  5. FASサーバーをメンテナンスモードから解除します: Set-FasServer –Address <FAS server> -MaintenanceMode $false
  6. 古い承認証明書を削除します: Remove-FasAuthorizationCertificate

関連情報

  • インストールと構成の記事は、FASのインストールと構成に関する主要な参照資料です。
  • 一般的なフェデレーション認証サービスの展開については、「展開アーキテクチャ」(/ja-jp/federated-authentication-service/2209/deployment-architectures.html)の記事にまとめられています。
  • その他の「ハウツー」記事は、「高度な構成」(/ja-jp/federated-authentication-service/2209/config-manage.html)の記事で紹介されています。