インストールと構成
インストールとセットアップの順序
-
フェデレーション認証サービス (FAS) のインストール
-
FAS管理コンソールを使用して、次の操作を行います。
-
FASをCitrix Cloudに接続する (オプション)
フェデレーション認証サービスのインストール
セキュリティ上の理由から、Citrixでは、フェデレーション認証サービス (FAS) を、ドメインコントローラーまたは証明機関と同様の方法で保護された専用サーバーにインストールすることをお勧めします。FASは、次のいずれかからインストールできます。
-
Citrix Virtual Apps and Desktops™インストーラー（ISO挿入時の自動実行スプラッシュ画面にあるFederated Authentication Serviceボタンから）、または
-
スタンドアロンのFASインストーラーファイル（Citrix DownloadsでMSIファイルとして入手可能）。
これらは次のコンポーネントをインストールします。
-
フェデレーション認証サービス
-
高度なFAS構成用のPowerShellスナップインコマンドレット
-
FASグループポリシーテンプレート (CitrixFederatedAuthenticationService.admx/adml)
-
証明書テンプレートファイル
FASのアップグレード
インプレースアップグレードを使用して、FASを新しいバージョンにアップグレードできます。アップグレードする前に、次の点を考慮してください。
-
インプレースアップグレードを実行すると、すべてのFASサーバー設定が保持されます。
-
FASをアップグレードする前に、FAS管理コンソールが閉じていることを確認してください。
-
常に少なくとも1つのFASサーバーが利用可能であることを確認してください。Federation Authentication Serviceが有効なStoreFront™サーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。
アップグレードを開始するには、Citrix Virtual Apps and DesktopsインストーラーまたはスタンドアロンのFASインストーラーファイルからFASをインストールします。
StoreFrontストアでFASプラグインを有効にする
注記:
FAS を Citrix Cloud のみで使用している場合、この手順は不要です。
StoreFront ストアで FAS 統合を有効にするには、管理者アカウントとして以下の PowerShell コマンドレットを実行します。ストア名が異なる場合は、
$StoreVirtualPath を変更してください。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
FAS の使用を停止するには、以下の PowerShell スクリプトを使用します。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
デリバリーコントローラー™ を構成する
注記:
FAS を Citrix Cloud のみで使用している場合、この手順は不要です。
FAS を使用するには、Citrix Virtual Apps または Citrix Virtual Desktops™ Delivery Controller を構成して、それに接続できる StoreFront サーバーを信頼するようにします。Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true PowerShell コマンドレットを実行します。これは、サイト内の Delivery Controller の数に関係なく、サイトごとに 1 回だけ実行すれば十分です。
グループポリシーの構成
FAS をインストールした後、インストールで提供されるグループポリシーテンプレートを使用して、FAS サーバーの完全修飾ドメイン名 (FQDN) をグループポリシーで指定する必要があります。
重要:
チケットを要求する StoreFront サーバーと、チケットを引き換える Virtual Delivery Agent (VDA) が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、FQDN の構成が同一であることを確認してください。
簡素化のため、以下の例では、すべてのマシンに適用される単一のポリシーをドメインレベルで構成します。ただし、これは必須ではありません。FAS は、StoreFront サーバー、VDA、および FAS 管理コンソールを実行しているマシンが同じ FQDN のリストを参照している限り機能します。手順 6 を参照してください。
手順 1. FAS をインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx および CitrixBase.admx ファイルと、en-US フォルダーを見つけます。
ステップ 2. これらをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitions および en-US サブフォルダーに配置します。
ステップ 3. Microsoft Management Console (コマンドラインから mmc.exe) を実行します。メニューバーから、ファイル > スナップインの追加と削除を選択します。グループポリシー管理エディターを追加します。
グループポリシーオブジェクトの入力を求められたら、参照を選択し、既定のドメインポリシーを選択します。または、任意のツールを使用して、環境に適したポリシーオブジェクトを作成して選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア（VDA、StoreFrontサーバー、管理ツール）を実行しているすべてのマシンに適用する必要があります。
ステップ 4. コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証にあるフェデレーション認証サービスポリシーに移動します。
注：
フェデレーション認証サービスポリシー設定は、CitrixBase.admx/CitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加した場合にのみ、ドメインGPOで利用できます。ステップ3の後、フェデレーション認証サービスポリシー設定は、管理用テンプレート > Citrixコンポーネント > 認証フォルダーに表示されます。
ステップ 5. フェデレーション認証サービスポリシーを開き、有効を選択します。これにより、表示ボタンを選択できるようになり、FASサーバーのFQDNを構成できます。
ステップ 6. FASサーバーのFQDNを入力します。
重要：
複数のFQDNを入力する場合、リストの順序はVDA、StoreFrontサーバー（存在する場合）、およびFASサーバーから見て一貫している必要があります。グループポリシー設定を参照してください。
ステップ 7. OKをクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。変更を有効にするには、マシンを再起動するか（またはコマンドラインからgpupdate /forceを実行する）必要がある場合があります。
セッション内の動作
このポリシーは、ユーザーのVDAセッションでエージェントプロセスをアクティブ化し、インセッション証明書、同意、およびロック時の切断をサポートします。インセッション証明書は、このポリシーが有効になっている かつ 証明書の作成に使用されるFASルールでインセッション使用が許可されている場合にのみ利用可能です。ルールの構成を参照してください。
有効にすると、このポリシーが有効になり、FASエージェントプロセスがユーザーのVDAセッションで実行できるようになります。
無効にすると、ポリシーが無効になり、FASエージェントプロセスの実行が停止します。
プロンプトスコープ
このポリシーが有効な場合、プロンプトスコープは、アプリケーションがインセッション証明書を使用することを許可するための同意をユーザーに求める方法を制御します。次の3つのオプションがあります。
-
同意不要—このオプションはセキュリティプロンプトを無効にし、秘密鍵はサイレントに使用されます。
-
プロセスごとの同意—実行中の各プログラムが個別に同意を求めます。
-
セッションごとの同意—ユーザーがOKをクリックすると、セッション内のすべてのプログラムに適用されます。
同意タイムアウト
このポリシーが有効な場合、同意タイムアウトは同意が持続する時間（秒単位）を制御します。たとえば、300秒に設定すると、ユーザーは5分ごとにプロンプトが表示されます。値がゼロの場合、秘密鍵の操作ごとにユーザーにプロンプトが表示されます。
ロック時の切断
このポリシーが有効な場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この機能は、「スマートカード取り外し時の切断」ポリシーと同様の動作を提供し、ユーザーがActive Directoryログオン資格情報を持っていない状況で役立ちます。
注記:
ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。
Federated Authentication Service 管理コンソールの使用
注：
FAS管理コンソールはほとんどの展開に適していますが、PowerShellインターフェイスはより高度なオプションを提供します。FAS PowerShellコマンドレットの詳細については、「PowerShell コマンドレット」(/ja-jp/federated-authentication-service/2212/config-manage/ps-sdk.html)を参照してください。
FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）がスタートメニューに配置されます。
管理コンソールを初めて使用すると、証明書テンプレートの展開、証明機関の設定、およびFASが証明機関を使用するための承認を行うプロセスが案内されます。一部の手順は、OS構成ツールを使用して手動で完了することもできます。
FAS管理コンソールは、デフォルトでローカルFASサービスに接続します。必要に応じて、コンソールの右上にあるConnect to another serverを使用してリモートサービスに接続できます。
証明書テンプレートを展開する
他のソフトウェアとの相互運用性の問題を回避するため、FASは独自の用途のために3つのCitrix証明書テンプレートを提供します。
-
Citrix_RegistrationAuthority_ManualAuthorization
-
Citrix_RegistrationAuthority
-
Citrix_SmartcardLogon
これらのテンプレートはActive Directoryに登録する必要があります。Deployボタンをクリックし、次にOKをクリックします。
テンプレートの構成は、FASとともにインストールされる拡張子.certificatetemplateのXMLファイルにあります。
C:\プログラムファイル\Citrix\フェデレーション認証サービス\証明書テンプレート
これらのテンプレートファイルをインストールする権限がない場合は、Active Directory管理者に渡してください。
テンプレートを手動でインストールするには、テンプレートを含むフォルダーから以下のPowerShellコマンドを実行します。
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)
Active Directory証明書サービスをセットアップする
Citrix証明書テンプレートをインストールした後、1つ以上のMicrosoft Enterprise Certification Authorityサーバーに公開する必要があります。Active Directory証明書サービスの展開方法については、Microsoftのドキュメントを参照してください。
テンプレートが少なくとも1つのサーバーに公開されていない場合は、証明機関のセットアップを使用して公開します。これは、証明機関を管理する権限を持つユーザーとして行う必要があります。
（証明書テンプレートは、Microsoft Certification Authorityコンソールを使用して公開することもできます。）
フェデレーション認証サービスを承認する
この手順により、FASの承認が開始されます。管理コンソールは、Citrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書要求を生成し、そのテンプレートを公開している証明機関のいずれかに送信します。
要求が送信されると、Microsoft Certification Authorityコンソールの保留中の要求リストに、FASマシンアカウントからの保留中の要求として表示されます。FASの構成を続行する前に、証明機関管理者は要求を発行または拒否する必要があります。
管理者が発行または拒否を選択するまで、FAS管理コンソールはビジー状態の「スピナー」を表示します。
Microsoft Certification Authorityコンソールで、すべてのタスクを右クリックし、証明書要求に対して発行または拒否を選択します。発行を選択すると、FAS管理コンソールに承認証明書が表示されます。拒否を選択すると、コンソールにエラーメッセージが表示されます。
FAS管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。
ルールの構成
FASは、StoreFrontの指示に従い、VDAログオンおよびセッション内使用のための証明書の発行を承認するためにルールを使用します。各ルールは、証明書を要求することが信頼されているStoreFrontサーバー、要求できるユーザーのセット、およびそれらを使用することが許可されているVDAマシンのセットを指定します。
FASでは、少なくとも1つのルールを作成および構成する必要があります。StoreFrontはFASに接続する際にデフォルトで「default」という名前のルールを要求するため、「default」という名前のルールを作成することをお勧めします。
異なる証明書テンプレートや証明機関を参照し、異なるプロパティと権限を持つように構成する追加のカスタムルールを作成できます。これらのルールは、異なるStoreFrontサーバーまたはWorkspaceで使用するように構成できます。グループポリシー構成オプションを使用して、カスタムルールを名前で要求するようにStoreFrontサーバーを構成します。
「作成」をクリック（または「ルール」タブで「ルールの作成」をクリック）して、ルールを作成するための情報を収集するルール作成ウィザードを開始します。「ルール」タブには、各ルールの概要が表示されます。
ウィザードによって収集される情報は次のとおりです。
テンプレート: ユーザー証明書の発行に使用される証明書テンプレートです。これはCitrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります（証明書テンプレートを参照）。
証明機関: ユーザー証明書を発行する証明機関です。テンプレートは証明機関によって公開されている必要があります。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。選択した証明機関のステータスが「Template available」と表示されていることを確認してください。証明機関の管理を参照してください。
セッション内使用: セッション内使用を許可オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。
-
セッション内使用を許可が選択されていない（デフォルト、推奨）—証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後に証明書にアクセスできません。
-
セッション内使用を許可が選択されている—ユーザーは認証後に証明書にアクセスできます。ほとんどのお客様はこのオプションを選択すべきではありません。イントラネットのWebサイトやファイル共有など、VDAセッション内からアクセスされるリソースはKerberosシングルサインオンを使用してアクセスできるため、セッション内証明書は必要ありません。「セッション内での使用を許可」を選択した場合、セッション内動作グループポリシーも有効にしてVDAに適用する必要があります。証明書は、ログオン後にアプリケーションで使用するためにユーザーの個人証明書ストアに配置されます。たとえば、VDAセッション内のWebサーバーへのTLS認証が必要な場合、証明書はInternet Explorerで使用できます。
「アクセスコントロール」：ユーザーのログオンまたは再接続のために証明書を要求することを許可されている、信頼されたStoreFrontサーバーマシンのリスト。これらのすべての権限に対して、個々のADオブジェクトまたはグループを追加できます。
「重要：」:
「アクセスコントロール」設定はセキュリティ上重要であり、慎重に管理する必要があります。
「注：」:
FASサーバーをCitrix Cloudでのみ使用している場合、アクセスコントロールを構成する必要はありません。ルールがCitrix Cloudで使用される場合、StoreFrontのアクセス許可は無視されます。Citrix CloudとオンプレミスのStoreFront展開の両方で同じルールを使用できます。オンプレミスのStoreFrontでルールが使用される場合、StoreFrontのアクセス許可は引き続き適用されます。
デフォルトの権限（「IDアサート」許可）はすべてを拒否します。したがって、StoreFrontサーバーを明示的に許可する必要があります。
「制限」：FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを通じて証明書を発行できるユーザーのリスト。
-
「VDA権限の管理」では、どのVDAがFASを使用してユーザーをログオンできるかを指定できます。VDAのリストはデフォルトで「ドメインコンピューター」です。
-
「ユーザー権限の管理」では、どのユーザーがFASを使用してVDAにサインインできるかを指定できます。ユーザーのリストはデフォルトで「ドメインユーザー」です。
「注：」:
FASサーバーがVDAおよびユーザーとは異なるドメインにある場合、デフォルトの制限を変更する必要があります。
クラウドルール: Citrix Workspace から ID アサーションが受信されたときにルールが適用されるかどうかを示します。Citrix Cloud に接続するときに、Citrix Cloud で使用するルールを選択します。Citrix Cloud に接続した後、Connect to Citrix Cloud セクションのリンクからルールを変更することもできます。
Citrix Cloud への接続
FAS サーバーを Citrix Workspace を使用して Citrix Cloud に接続できます。この Citrix Workspace の記事を参照してください。
-
-
注プレビューでは Citrix Cloud のみが利用可能です。 -
ウィンドウに一意の登録コードが表示されます。これは Citrix Cloud で承認する必要があります。詳しくは、「オンプレミス製品を Citrix Cloud に登録する」を参照してください。
-
-
「ルールの選択」セクションで、既存のルールを使用するか、新しいルールを作成します。「次へ」をクリックします。ルールの選択(/en-us/federated-authentication-service/2212/media/connect-cloud-choose-rule.png)
-
「概要」セクションで、「完了」をクリックしてCitrix Cloudへの接続を完了します。クラウド接続の概要(/en-us/federated-authentication-service/2212/media/connect-cloud-summary.png)
Citrix CloudはFASサーバーを登録し、Citrix Cloudアカウントのリソースの場所ページに表示します。
Citrix Cloudから切断する
Citrix Cloudのリソースの場所からFASサーバーを削除した後、このCitrix Workspaceの記事に記載されているように、「Citrix Cloudに接続」で「無効にする」を選択します。