セキュリティとネットワーク構成

最終公開日 : Oct 24, 2026
フェデレーション認証サービス (FAS) は、Microsoft Active Directory および Microsoft 証明機関と密接に統合されています。システムが適切に管理され、保護されていることを確認し、ドメインコントローラーやその他の重要なインフラストラクチャと同様にセキュリティポリシーを策定することが不可欠です。
このドキュメントでは、FAS を展開する際に考慮すべきセキュリティ問題の概要を説明します。また、インフラストラクチャのセキュリティ保護に役立つ利用可能な機能の概要も提供します。
Related information
高度な構成

ネットワークアーキテクチャ

次の図は、FAS展開で使用される主要なコンポーネントとセキュリティ境界を示しています。
FASサーバーは、証明機関およびドメインコントローラーと同様に、セキュリティ上重要なインフラストラクチャの一部として扱われるべきです。フェデレーション環境では、Citrix GatewayとCitrix StoreFrontはユーザー認証を実行するために信頼されるコンポーネントです。その他のCitrix Virtual Apps and Desktops™コンポーネントは、FASの導入による影響を受けません。
ローカライズされた画像(/en-us/federated-authentication-service/2303/media/fas-security-network.png)

ファイアウォールとネットワークセキュリティ

Citrix Gateway、StoreFront、および Delivery Controller™ コンポーネント間の通信は、ポート 443 経由の TLS によって保護される必要があります。StoreFront サーバーは送信接続のみを実行し、Citrix Gateway はインターネット経由の HTTPS ポート 443 を使用した接続のみを受け入れる必要があります。
StoreFront サーバーは、相互認証された Kerberos を使用してポート 80 経由で FAS サーバーに接続します。認証には、FAS サーバーの Kerberos HOST/fqdn ID と、StoreFront サーバーの Kerberos マシンアカウント ID が使用されます。これにより、ユーザーをログオンさせるために Citrix Virtual Delivery Agent (VDA) が必要とする単一使用の「資格情報ハンドル」が生成されます。
When an HDX session is connected to the VDA, the VDA also contacts the FAS server over port 80. Authentication uses the Kerberos HOST/fqdn identity of the FAS server, and the Kerberos machine identity of the VDA. Additionally, the VDA must supply the "credential handle" to access the certificate and private key.
The Microsoft certificate authority accepts communication using Kerberos authenticated DCOM, which can be configured to use a fixed TCP port. The certificate authority additionally requires that the FAS server supply a CMC packet signed by a trusted enrollment agent certificate.
サーバー ファイアウォールポート
フェデレーション認証サービス [in] StoreFront™およびVDAからのKerberos over HTTP、[out] Microsoft証明機関へのDCOM
シトリックス ゲートウェイ [in] クライアントマシンからのHTTPS、[in/out] StoreFrontサーバーとのHTTPS、[out] VDAへのHDX
StoreFront [in] シトリックス ゲートウェイからのHTTPS、[out] デリバリー コントローラーへのHTTPS、[out] FASへのKerberos HTTP
デリバリー コントローラー [in] StoreFrontサーバーからのHTTPS、[in/out] VDAからのKerberos over HTTP
VDA [in/out] デリバリー コントローラーからのKerberos over HTTP、[in] シトリックス ゲートウェイからのHDX、[out] FASへのKerberos HTTP
Microsoft 証明機関 [in] FASからのDCOMおよび署名

シトリックス フェデレーテッド認証サービスとシトリックスクラウド™間の接続

コンソールとFASは、それぞれユーザーアカウントとネットワークサービスアカウントを使用して、次のアドレスにアクセスします。
  • ユーザーアカウントでのFAS管理コンソール
    • *.cloud.com
    • *.citrixworkspacesapi.net
    • 環境で使用されている場合、サードパーティのIDプロバイダーが必要とするアドレス
  • ネットワークサービスアカウント下のFASサービス:
    • *.citrixworkspacesapi.net
    • *.citrixnetworkapi.net
環境にプロキシサーバーが含まれている場合は、FAS管理コンソールのアドレスでユーザープロキシを構成します。また、netshまたは同様のツールを使用して、ネットワークサービスアカウントのアドレスが構成されていることを確認してください。

セキュリティに関する考慮事項

FASは、ドメインユーザーに代わって自律的に証明書を発行できる登録機関証明書を持っています。そのため、FASサーバーを保護し、その権限を制限するためのセキュリティポリシーを策定し、実装することが重要です。

委任された登録エージェント

FASは、登録エージェントとして機能することでユーザー証明書を発行します。Microsoft証明機関では、登録エージェント、証明書テンプレート、および登録エージェントが証明書を発行できるユーザーを制限できます。
登録エージェントダイアログ
このダイアログを使用して、以下を確認できます:
  • 登録エージェントリストにはFASサーバーのみが含まれていること。
  • 証明書テンプレートリストにはFASテンプレートのみが含まれていること。
  • 権限リストには、FASの使用が許可されているユーザーのみが含まれていること。たとえば、FASが管理者グループまたは保護されたユーザーグループのユーザーに証明書を発行しないようにすることは良い習慣です。

アクセス制御リストの構成

ルールを構成するセクションで説明されているように、証明書が発行される際にFASにユーザーIDをアサートすることを信頼されているStoreFrontサーバーのリストを構成する必要があります。同様に、証明書が発行されるユーザー、およびそれらのユーザーが認証できるVDAマシンを制限できます。これは、構成する標準のActive Directoryまたは証明機関のセキュリティ機能に加えて行われます。

ファイアウォール設定

FASサーバーへのすべての通信は、ポート80を介した相互認証されたWindows Communication Foundation (WCF) Kerberosネットワーク接続を使用します。

イベントログの監視

FASとVDAはWindowsイベントログに情報を書き込みます。これは監視および監査情報として使用できます。イベントログセクションには、生成される可能性のあるイベントログエントリが一覧表示されています。

ハードウェアセキュリティモジュール

FASによって発行されたユーザー証明書の秘密キーを含むすべての秘密キーは、Network Serviceアカウントによってエクスポート不可能な秘密キーとして保存されます。セキュリティポリシーで必要とされる場合、FASは暗号化ハードウェアセキュリティモジュールの使用をサポートします。
低レベルの暗号化構成は、FederatedAuthenticationService.exe.configファイルで利用できます。これらの設定は、秘密キーが最初に作成されるときに適用されます。したがって、登録機関の秘密キー（例：4096ビット、TPM保護）とランタイムユーザー証明書には異なる設定を使用できます。
パラメーター 説明
ProviderLegacyCsp trueに設定すると、FASはMicrosoft CryptoAPI (CAPI)を使用します。それ以外の場合、FASはMicrosoft Cryptography Next Generation API (CNG)を使用します。
ProviderName 使用するCAPIまたはCNGプロバイダーの名前。
ProviderType Microsoft KeyContainerPermissionAccessEntry.ProviderType プロパティ PROV_RSA_AES 24 を参照します。CAPIでHSMを使用しており、HSMベンダーが別途指定しない限り、常に24である必要があります。
KeyProtection 秘密キーの「エクスポート可能」フラグを制御します。また、ハードウェアでサポートされている場合は、トラステッドプラットフォームモジュール (TPM) キーのストレージの使用も許可します。
KeyLength RSA秘密キーのキー長。サポートされている値は1024、2048、4096です (デフォルト: 2048)。

管理者の責任

環境の管理は、次のグループに分けられます。
名前 責任
エンタープライズ管理者 フォレスト内の証明書テンプレートをインストールして保護する
ドメイン管理者 グループポリシー設定を構成する
証明機関管理者 証明機関を構成する
FAS管理者 FASサーバーをインストールして構成する
StoreFront/Citrix Gateway管理者 ユーザー認証を構成する
シトリックス バーチャル デスクトップ™管理者 VDAとコントローラーを構成する
各管理者は、全体的なセキュリティモデルの異なる側面を制御し、システムを保護するための多層防御アプローチを可能にします。

グループポリシー設定

信頼されたFASマシンは、グループポリシーを通じて構成された「インデックス番号 -> FQDN」のルックアップテーブルによって識別されます。FASサーバーに接続する際、クライアントはFASサーバーのHOST\<fqdn> Kerberos IDを検証します。FASサーバーにアクセスするすべてのサーバーは、同じインデックスに対して同一のFQDN構成を持っている必要があります。そうでない場合、StoreFrontとVDAは異なるFASサーバーに接続する可能性があります。
誤った構成を避けるため、Citrixは環境内のすべてのマシンに単一のポリシーを適用することを推奨します。FASサーバーのリストを変更する際、特にエントリを削除したり並べ替えたりする際には注意してください。
このGPOの制御は、FASサーバーをインストールおよび廃止するFAS管理者（および/またはドメイン管理者）に限定されるべきです。FASサーバーを廃止した直後にマシンのFQDN名を再利用しないように注意してください。

証明書テンプレート

FASに付属のCitrix_SmartcardLogon証明書テンプレートを使用しない場合は、そのコピーを変更できます。以下の変更がサポートされています。

証明書テンプレートの名前を変更する

Citrix_SmartcardLogon を組織のテンプレート命名標準に合わせるために名前を変更したい場合は、次の操作を行う必要があります。
  • 証明書テンプレートのコピーを作成し、組織のテンプレート命名標準に合わせて名前を変更します。
  • 管理ユーザーインターフェイスではなく、FAS PowerShell コマンドを使用して FAS を管理します。（管理ユーザーインターフェイスは、Citrix のデフォルトテンプレート名でのみ使用することを目的としています。）
    • Microsoft MMC 証明書テンプレートスナップインまたは Publish-FasMsTemplate コマンドを使用してテンプレートを公開し、
    • New-FasCertificateDefinition コマンドを使用して、テンプレート名で FAS を構成します。

一般プロパティの変更

証明書テンプレートの有効期間を変更できます。
更新期間は変更しないでください。FAS は証明書テンプレートのこの設定を無視します。FAS は、有効期間の途中で証明書を自動的に更新します。

要求処理プロパティの変更

これらのプロパティは変更しないでください。FAS は証明書テンプレートのこれらの設定を無視します。FAS は常に Allow private key to be exported の選択を解除し、Renew with same key の選択を解除します。

暗号化プロパティの変更

これらのプロパティは変更しないでください。FAS は証明書テンプレートのこれらの設定を無視します。
FAS が提供する同等の設定については、秘密鍵の保護 を参照してください。

キー構成証明プロパティの変更

これらのプロパティは変更しないでください。FAS はキー構成証明をサポートしていません。

置き換えられたテンプレートのプロパティを変更する

これらのプロパティは変更しないでください。FAS はテンプレートの置き換えをサポートしていません。

拡張機能のプロパティを変更する

これらの設定は、組織のポリシーに合わせて変更できます。
注: 不適切な拡張機能設定は、セキュリティ上の問題を引き起こしたり、使用できない証明書になったりする可能性があります。

セキュリティプロパティを変更する

Citrix は、これらの設定を変更して、FAS サーバーのマシンアカウントのみに読み取りおよび登録権限を許可することを推奨します。FAS サービスには、他の権限は必要ありません。ただし、他の証明書テンプレートと同様に、次のことを検討する場合があります。
  • 管理者にテンプレートの読み取りまたは書き込みを許可する
  • 認証されたユーザーにテンプレートの読み取りを許可する
ローカライズされた画像

サブジェクト名のプロパティを変更する

Citrix は、これらのプロパティを変更しないことを推奨します。
テンプレートで「この Active Directory 情報から構築」が選択されているため、証明機関はユーザーの SID を証明書拡張機能に含めます。これにより、ユーザーの Active Directory アカウントへの強力なマッピングが提供されます。

サーバープロパティを変更する

Citrix は推奨しませんが、必要に応じてこれらの設定を組織のポリシーに合わせて変更できます。

発行要件プロパティの変更

これらの設定は変更しないでください。設定は次のように表示されるはずです。
ローカライズされた画像

互換性プロパティの変更

これらの設定は変更できます。設定は少なくとも Windows Server 2003 CA (スキーマバージョン 2) である必要があります。ただし、FAS は Windows Server 2008 以降の CA のみをサポートします。また、上記で説明したように、FAS は Windows Server 2008 CA (スキーマバージョン 3) または Windows Server 2012 CA (スキーマバージョン 4) を選択することで利用できる追加設定を無視します。

証明機関の管理

証明機関管理者は、証明機関サーバーの構成と、それが使用する発行証明書の秘密キーに責任を負います。

テンプレートの発行

証明機関がエンタープライズ管理者によって提供されたテンプレートに基づいて証明書を発行するには、証明機関管理者がそのテンプレートを発行することを選択する必要があります。
簡単なセキュリティ対策としては、FAS サーバーのインストール時に登録機関証明書テンプレートのみを発行するか、完全にオフラインの発行プロセスを要求することです。いずれの場合も、証明機関管理者は登録機関証明書要求の承認を完全に制御し、FAS サーバーを承認するためのポリシーを持つ必要があります。

ファイアウォール設定

一般的に、証明機関管理者は証明機関のネットワークファイアウォール設定も制御し、受信接続を制御できます。証明機関管理者は、FAS サーバーのみが証明書を要求できるように、DCOM TCP およびファイアウォールルールを構成できます。

登録の制限

デフォルトでは、登録機関証明書の所有者は、アクセスを許可する任意の証明書テンプレートを使用して、任意のユーザーに証明書を発行できます。これは、「登録エージェントの制限」証明機関プロパティを使用して、非特権ユーザーのグループに制限する必要があります。
ローカライズされた画像

ポリシーモジュールと監査

高度な展開では、カスタムセキュリティモジュールを使用して、証明書の発行を追跡および拒否できます。

FAS管理

FASにはいくつかのセキュリティ機能があります。

ACLを介してStoreFront、ユーザー、VDAを制限する

FASセキュリティモデルの中心は、どのKerberosアカウントが機能にアクセスできるかを制御することです。
アクセスベクター 説明
StoreFront [IdP] これらのKerberosアカウントは、ユーザーが正しく認証されたことを宣言するために信頼されています。これらのアカウントのいずれかが侵害された場合、FASの構成によって許可されたユーザーに対して証明書が作成され、使用される可能性があります。
VDA [Relying party] これらは、証明書と秘密キーへのアクセスが許可されているマシンです。IdPによって取得された資格情報ハンドルも必要であるため、このグループで侵害されたVDAアカウントがシステムを攻撃できる範囲は限られています。
ユーザー これは、IdPによってアサートできるユーザーを制御します。証明機関の「制限付き登録エージェント」構成オプションと重複することに注意してください。一般に、このリストには非特権アカウントのみを含めることをお勧めします。これにより、侵害されたStoreFrontアカウントがより高い管理レベルに特権を昇格させることを防ぎます。特に、ドメイン管理者アカウントはこのACLによって許可されるべきではありません。

ルールの構成

複数の独立したCitrix Virtual Apps™またはCitrix Virtual Desktops展開が同じFASサーバーインフラストラクチャを使用する場合、ルールは役立ちます。各ルールには、個別の構成オプションセットがあります。特に、Kerberosアクセス制御リスト（ACL）は個別に構成できます。

証明機関とテンプレートを構成する

異なるアクセス権限に対して、異なる証明書テンプレートとCAを構成できます。高度な構成では、環境に応じて、より強力な証明書またはより強力でない証明書を使用することを選択できます。たとえば、「外部」として識別されたユーザーは、「内部」ユーザーよりも少ない権限を持つ証明書を持つ場合があります。

セッション内証明書と認証証明書

FAS管理者は、認証に使用される証明書がユーザーのセッション内で使用可能であるかどうかを制御できます。たとえば、これにより、「署名」証明書のみをセッション内で利用可能にし、より強力な「ログオン」証明書はログオン時にのみ使用されるようにすることができます。

秘密鍵の保護と鍵長

FAS管理者は、秘密鍵をハードウェアセキュリティモジュール（HSM）またはトラステッドプラットフォームモジュール（TPM）に保存するようにFASを構成できます。Citrixは、少なくとも登録機関証明書の秘密鍵をTPMに保存して保護することを推奨しています。このオプションは、「オフライン」証明書要求プロセスの一部として提供されます。
同様に、ユーザー証明書の秘密鍵はTPMまたはHSMに保存できます。すべての鍵は「エクスポート不可」として生成され、長さは2048ビット以上である必要があります。

イベントログ

FASサーバーは、詳細な構成およびランタイムイベントログを提供します。これらは監査および侵入検知に使用できます。

管理アクセスと管理ツール

FASには、リモート管理機能（相互認証Kerberos）とツールが含まれています。「ローカル管理者グループ」のメンバーは、FAS構成を完全に制御できます。このリストは慎重に管理する必要があります。

シトリックス バーチャル アプリケーション、シトリックス バーチャル デスクトップ、およびVDA管理者

一般に、FASの使用は、Delivery ControllerおよびVDA管理者のセキュリティモデルを変更しません。FASの「資格情報ハンドル」は、単に「Active Directoryパスワード」を置き換えるだけだからです。ControllerおよびVDA管理グループには、信頼できるユーザーのみを含める必要があります。監査およびイベントログは維持する必要があります。

一般的なWindowsサーバーのセキュリティ

すべてのサーバーは完全にパッチが適用され、標準のファイアウォールおよびウイルス対策ソフトウェアが利用可能である必要があります。セキュリティ上重要なインフラストラクチャサーバーは、物理的に安全な場所に保管し、ディスク暗号化と仮想マシンのメンテナンスオプションに注意を払う必要があります。
監査ログとイベントログは、リモートマシンに安全に保存する必要があります。
RDPアクセスは、許可された管理者のみに制限する必要があります。可能な場合は、特に証明機関およびドメイン管理者アカウントの場合、ユーザーアカウントにスマートカードログオンを要求する必要があります。

関連情報

  • (/ja-jp/federated-authentication-service/2303/install-configure.html)は、FASのインストールと構成に関する主要なリファレンスです。
  • FASアーキテクチャについては、(/ja-jp/federated-authentication-service/2303/deployment-architectures.html)の記事で紹介されています。
  • その他の「ハウツー」記事については、(/ja-jp/federated-authentication-service/2303/config-manage.html)の記事で紹介されています。