秘密キーの保護

最終公開日 : Nov 03, 2026
Related information
高度な構成

はじめに

証明書はFASサーバー上の組み込みデータベースに保存されます。関連付けられた秘密キーは、FASサーバーのネットワークサービスアカウントによって保存され、デフォルトでエクスポート不可としてマークされます。
秘密キーには次の2種類があります。
  • Citrix_RegistrationAuthority証明書テンプレートからの、登録機関証明書に関連付けられた秘密キー。
  • Citrix_SmartcardLogon証明書テンプレートからの、ユーザー証明書に関連付けられた秘密キー。
実際には、2つの登録機関証明書があります。Citrix_RegistrationAuthority_ManualAuthorization（デフォルトで24時間有効）とCitrix_RegistrationAuthority（デフォルトで2年間有効）です。
Federated Authentication Service (FAS) 管理コンソールの タブのステップ3で、 をクリックすると、FASサーバーはキーペアを生成し、Citrix_RegistrationAuthority_ManualAuthorization証明書の証明書署名要求を証明機関に送信します。これは一時的な証明書で、デフォルトで24時間有効です。証明機関はこの証明書を自動的に発行しません。発行は、証明機関で管理者によって手動で承認される必要があります。証明書がFASサーバーに発行されると、FASはCitrix_RegistrationAuthority_ManualAuthorization証明書を使用してCitrix_RegistrationAuthority証明書（デフォルトで2年間有効）を自動的に取得します。FASサーバーは、Citrix_RegistrationAuthority証明書を取得するとすぐに、Citrix_RegistrationAuthority_ManualAuthorizationの証明書とキーを削除します。
登録機関証明書に関連付けられた秘密キーは特に機密性が高くなります。これは、登録機関証明書ポリシーにより、秘密キーを所有する者がテンプレートで構成されたユーザーセットの証明書要求を発行できるためです。結果として、このキーを制御する者は、セット内の任意のユーザーとして環境に接続できます。
FASサーバーは、組織のセキュリティ要件に合った方法で秘密キーを保護するように構成できます。次のいずれかを使用します。
  • 登録機関証明書とユーザー証明書の秘密キーの両方に、Microsoft Enhanced RSA and AES Cryptographic ProviderまたはMicrosoft Software Key Storage Providerを使用します。
  • 登録機関証明書の秘密キーにはTrusted Platform Module (TPM) チップを備えたMicrosoft Platform Key Storage Providerを、ユーザー証明書の秘密キーにはMicrosoft Enhanced RSA and AES Cryptographic ProviderまたはMicrosoft Software Key Storage Providerを使用します。
  • 登録機関証明書とユーザー証明書の秘密キーの両方に、HSMデバイスを備えたハードウェアセキュリティモジュール (HSM) ベンダーの暗号化サービスまたはキーストレージプロバイダーを使用します。

秘密キーの構成設定

FASが3つのオプションのいずれかを使用するように構成します。テキストエディターを使用してCitrix.Authentication.FederatedAuthenticationService.exe.configファイルを編集します。ファイルのデフォルトの場所は、FASサーバーのProgram Files\Citrix\Federated Authentication Serviceフォルダー内です。
「ローカライズされた画像」(/en-us/federated-authentication-service/2308/media/fas-privatekeys-config-file.png)
FASは、サービス開始時にのみ構成ファイルを読み取ります。値が変更された場合、新しい設定を反映させるにはFASを再起動する必要があります。
Citrix.Authentication.FederatedAuthenticationService.exe.configファイルで関連する値を次のように設定します。
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp (CAPI APIとCNG APIを切り替える)
値 コメント
有効 CAPI APIを使用する
false (デフォルト) CNG APIを使用する
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName (使用するプロバイダーの名前)
値 コメント
Microsoft 強化RSAおよびAES暗号化プロバイダー デフォルトのCAPIプロバイダー
Microsoft ソフトウェア キー ストレージ プロバイダー デフォルトのCNGプロバイダー
Microsoft プラットフォーム キー ストレージ プロバイダー デフォルトのTPMプロバイダー。TPMはユーザーキーには推奨されません。TPMは登録機関キーにのみ使用してください。仮想化環境でFASサーバーを実行する予定がある場合は、仮想化がサポートされているかどうかをTPMおよびハイパーバイザーベンダーに確認してください。
HSM_ベンダー CSP/キー ストレージ プロバイダー HSMベンダーによって提供されます。値はベンダーによって異なります。仮想化環境でFASサーバーを実行する予定がある場合は、仮想化がサポートされているかどうかをHSMベンダーに確認してください。
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType (CAPI APIの場合にのみ必須)
値 コメント
24 デフォルト。Microsoft KeyContainerPermissionAccessEntry.ProviderType プロパティ PROV_RSA_AES 24 を参照します。CAPIでHSMを使用しており、HSMベンダーが別途指定しない限り、常に24である必要があります。
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection (FASが秘密鍵操作を実行する必要がある場合、ここで指定された値を使用します) 秘密鍵の「エクスポート可能」フラグを制御します。ハードウェアでサポートされている場合、TPMキーストレージの使用を許可します。
値 コメント
NoProtection 秘密鍵はエクスポートできます。
GenerateNonExportableKey デフォルト。秘密鍵はエクスポートできません。
GenerateTPMProtectedKey 秘密鍵はTPMを使用して管理されます。秘密鍵は、ProviderNameで指定したProviderName（例：Microsoft Platform Key Storage Provider）を介して保存されます。
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength (秘密鍵のサイズをビット単位で指定します)
値 コメント
2048 デフォルト。1024または4096も使用できます。
設定ファイルの設定は、次のようにグラフィカルに表示されます（インストール時のデフォルトは赤で表示されています）。
ローカライズされた画像

構成シナリオの例

例 1

この例では、Microsoft Software Key Storage Providerを使用して保存された登録機関証明書の秘密鍵とユーザー証明書の秘密鍵について説明します。
これはデフォルトのインストール後構成です。追加の秘密鍵構成は不要です。

例2

この例では、登録機関証明書の秘密鍵がMicrosoft Platform Key Storage Providerを介してFASサーバーのマザーボードのハードウェアTPMに保存され、ユーザー証明書の秘密鍵がMicrosoft Software Key Storage Providerを使用して保存される様子を示します。
このシナリオでは、FASサーバーのマザーボード上のTPMが、TPMメーカーのドキュメントに従ってBIOSで有効にされ、Windowsで初期化されていることを前提としています。<https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-vista/cc749022(v=ws.10)>を参照してください。

FAS管理コンソールの使用

FAS管理コンソールはオフラインの証明書署名要求を実行できないため、組織が登録機関証明書のオンライン証明書署名要求を許可しない限り、その使用は推奨されません。
FASの初期設定を行う際、証明書テンプレートを展開し、証明機関を設定した後、サービスを承認する前（構成シーケンスのステップ3）に、次の手順を実行します。
ステップ1: 構成ファイルを次のように変更して編集します。
ローカライズされた画像
ファイルは次のようになります。
ローカライズされた画像
一部のTPMは鍵長を制限します。デフォルトの鍵長は2048ビットです。ハードウェアでサポートされている鍵長を指定してください。
ステップ2: Citrix Federated Authentication Serviceを再起動して、構成ファイルから値を読み取ります。
ステップ3: サービスを承認します。
ステップ4: 証明機関サーバーから保留中の証明書要求を手動で発行します。登録機関証明書が取得されると、管理コンソールのセットアップシーケンスのステップ3が緑色になります。この時点で、登録機関証明書の秘密鍵がTPMで生成されます。証明書はデフォルトで2年間有効です。
登録機関証明書の秘密キーがTPMに正しく保存されていることを確認するには、以下のPowerShellコマンドを使用します。登録機関証明書の秘密キーがTPMに保存されている場合、PrivateKeyProviderフィールドはMicrosoft Platform Crypto Providerに設定されます。
Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1
Get-FasAuthorizationCertificate -FullCertInfo -Address localhost
ステップ5: 設定ファイルを以下のように編集し直します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-addkey-gennonexportablekey.png)
注:
FASはTPMで保護されたキーを持つユーザー証明書を生成できますが、大規模な展開ではTPMハードウェアが遅すぎる場合があります。
ステップ6: FASを再起動します。これにより、サービスは設定ファイルを再読み込みし、変更された値を反映します。その後の自動秘密キー操作はユーザー証明書キーに影響を与えます。これらの操作は秘密キーをTPMに保存せず、Microsoft Software Key Storage Providerを使用します。
ステップ7: FAS管理コンソールでルールタブを選択し、インストールと構成で説明されているように設定を編集します。

PowerShellの使用

登録機関証明書はPowerShellを使用してオフラインで要求できます。これは、証明機関がオンライン証明書署名要求を介して登録機関証明書を発行することを望まない組織に適しています。FAS管理コンソールを使用してオフラインの登録機関証明書署名要求を行うことはできません。
ステップ1: 管理コンソールを使用してFASの初期構成を行う際、「証明書テンプレートの展開」と「証明機関のセットアップ」の最初の2つのステップのみを完了します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-startup-twostep.png)
ステップ2: 証明機関サーバーで、証明書テンプレートMMCスナップインを追加します。Citrix_RegistrationAuthority_ManualAuthorizationテンプレートを右クリックし、テンプレートの複製を選択します。
全般タブを選択します。名前と有効期間を変更します。この例では、名前はOffline_RAで、有効期間は2年です。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-template-properties.png)
ステップ3: 証明機関サーバーで、証明機関MMCスナップインを追加します。証明書テンプレートを右クリックします。新規を選択し、発行する証明書テンプレートをクリックします。作成したばかりのテンプレートを選択します。
ステップ4: FASサーバーで次のPowerShellコマンドレットをロードします。
Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1
ステップ5: FASサーバーのTPM内でRSAキーペアを生成し、FASサーバーで次のPowerShellコマンドレットを入力して証明書署名要求を作成します。注: 一部のTPMはキー長を制限します。デフォルトのキー長は2048ビットです。ハードウェアでサポートされているキー長を指定してください。
New-FasAuthorizationCertificateRequest -UseTPM $true -address \<FQDN of FAS Server>
例:
New-FasAuthorizationCertificateRequest -UseTPM $true -address fashsm.auth.net
以下が表示されます。
ローカライズされた画像
注:
  • Id GUID (この例では「5ac3d8bd-b484-4ebe-abf8-4b2cfd62ca39」) は、後続のステップで必要になります。
  • このPowerShellコマンドレットは、登録機関証明書の秘密キーを生成するために使用される1回限りの「オーバーライド」と考えてください。
  • このコマンドレットを実行すると、FASの起動時に構成ファイルから読み取られた値がチェックされ、使用するキー長が決定されます (デフォルトは2048)。
  • この手動のPowerShellで開始された登録機関証明書の秘密キー操作では、-UseTPMが$trueに設定されているため、システムはTPMの使用に必要な設定と一致しないファイルからの値を無視します。
  • このコマンドレットを実行しても、構成ファイルの設定は変更されません。
  • その後の自動FAS開始ユーザー証明書秘密キー操作では、FASの起動時にファイルから読み取られた値が使用されます。
  • FASサーバーがユーザー証明書を発行してTPMで保護されたユーザー証明書秘密鍵を生成する場合、設定ファイルでKeyProtectionの値をGenerateTPMProtectedKeyに設定することも可能です。
キーペアの生成にTPMが使用されたことを確認するには、キーペアが生成されたときにFASサーバーのWindowsイベントビューアーのアプリケーションログを確認してください。
ローカライズされた画像
注: 「」
その後：
ローカライズされた画像
注: 「プロバイダー: Microsoft Platform Crypto Provider」
ステップ6: 証明書要求セクションをテキストエディターにコピーし、テキストファイルとしてディスクに保存します。
ローカライズされた画像
ステップ7: FASサーバーでPowerShellに以下を入力して、証明書署名要求を証明機関に送信します。
certreq -submit -attrib "certificatetemplate:\<certificate template from step 2>" \<certificate request file from step 6>
例：
certreq -submit -attrib "certificatetemplate:Offline_RA" C:\Users\Administrator.AUTH\Desktop\usmcertreq.txt
以下が表示されます。
ローカライズされた画像
この時点で、証明機関リストウィンドウが表示される場合があります。この例の証明機関では、http (上) と DCOM (下) の両方の登録が有効になっています。利用可能な場合は、DCOM オプションを選択してください。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-certificate-authority-list.png)
証明機関が指定されると、PowerShell は RequestID を表示します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-certificate-authority-list-display.png)
ステップ 8: 証明機関サーバーで、証明機関 MMC スナップインにおいて、保留中の要求をクリックします。要求 ID をメモします。次に、要求を右クリックして発行を選択します。
ステップ 9: 発行された証明書ノードを選択します。発行されたばかりの証明書を見つけます (要求 ID が一致するはずです)。証明書をダブルクリックして開きます。詳細タブを選択します。ファイルへコピーをクリックします。証明書のエクスポートウィザードが起動します。次へをクリックします。ファイル形式について、以下のオプションを選択します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-certificate-export-wizard.png)
形式は「暗号メッセージ構文標準 – PKCS #7 証明書 (.P7B)」であり、「可能であれば、証明のパスにあるすべての証明書を含める」が選択されている必要があります。
ステップ 10: エクスポートした証明書ファイルを FAS サーバーにコピーします。
ステップ 11: FAS サーバーで以下の PowerShell コマンドレットを入力して、登録機関証明書を FAS サーバーにインポートします。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-import-fasauthorizationcertificiate-response.png)
例:
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-import-fasauthorizationcertificiate-response-example.png)
以下が表示されます。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-import-fasauthorizationcertificiate-response-display.png)
登録機関証明書の秘密キーがTPMに正しく保存されていることを確認するには、次のPowerShellコマンドを使用します。登録機関証明書の秘密キーがTPMに保存されている場合、PrivateKeyProviderフィールドはMicrosoft Platform Crypto Providerに設定されます。
Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1
Get-FasAuthorizationCertificate -FullCertInfo -Address localhost
手順12： FAS管理コンソールを閉じ、再起動します。
ローカライズされた画像
注： 「このサービスを承認する」という手順には、緑色のチェックマークが付いています。
手順13： FAS管理コンソールでルールタブを選択し、インストールと構成で説明されている設定を編集します。

例3

この例では、HSMに保存されている登録機関証明書の秘密キーとユーザー証明書の秘密キーについて説明します。この例では、HSMが構成されていることを前提としています。HSMには、たとえば「HSM_Vendor's Key Storage Provider」のようなプロバイダー名があります。
仮想化環境でFASサーバーを実行する予定がある場合は、ハイパーバイザーのサポートについてHSMベンダーに確認してください。
手順1. 管理コンソールを使用してFASの初期設定を行う際に、最初の2つの手順（「証明書テンプレートの展開」と「証明機関のセットアップ」）のみを完了します。
ローカライズされた画像
手順2： HSMベンダーのドキュメントを参照して、HSMのProviderName値が何であるべきかを判断します。HSMがCAPIを使用している場合、プロバイダーはドキュメントでCryptographic Service Provider (CSP)として参照されることがあります。HSMがCNGを使用している場合、プロバイダーはKey Storage Provider (KSP)として参照されることがあります。
手順3： 構成ファイルを次のように編集します。
ローカライズされた画像
ファイルは次のようになります。
ローカライズされた画像
このシナリオでは、HSMがCNGを使用しているため、ProviderLegacyCspの値はfalseに設定されています。HSMがCAPIを使用している場合、ProviderLegacyCspの値はtrueに設定する必要があります。HSMがCAPIとCNGのどちらを使用しているかを確認するには、HSMベンダーのドキュメントを参照してください。また、非対称RSAキー生成でサポートされているキー長については、HSMベンダーのドキュメントを参照してください。この例では、キー長はデフォルトの2048ビットに設定されています。指定するキー長がハードウェアでサポートされていることを確認してください。
手順4： 設定ファイルから値を読み取るために、Citrix Federated Authentication Serviceを再起動します。
手順5： FAS管理コンソールの**［初期セットアップ］タブで［承認］**をクリックして、HSM内にRSAキーペアを生成し、証明書署名要求を作成します。
手順6： キーペアがHSMで生成されたことを確認するには、Windowsイベントログのアプリケーションエントリを確認します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-eventlog-hsm.png)
注：［プロバイダー： HSMベンダーのキーストレージプロバイダー］
手順7： 証明機関サーバーの証明機関MMCで、**［保留中の要求］**ノードを選択します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-cammc-pendingrequests.png)
要求を右クリックし、**［発行］**を選択します。
注： 「このサービスを承認する」の手順に緑色のチェックマークが付いています。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-startup-threestep.png)
手順8： FAS管理コンソールで**［ルール］**タブを選択し、(/ja-jp/federated-authentication-service/2308/install-configure.html)に記載されているとおりに設定を編集します。

FAS証明書ストレージ

FASは、証明書を保存するためにFASサーバー上のMicrosoft証明書ストアを使用しません。組み込みデータベースを使用します。
登録機関証明書のGUIDを特定するには、FASサーバーで次のPowerShellコマンドレットを入力します。
Add-pssnapin Citrix.a&ast;
Get-FasAuthorizationCertificate –address \<FAS server FQDN>
例えば、Get-FasAuthorizationCertificate –address cg-fas-2.auth.net：
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-get-fasauthorizationcertificate-example.png)
ユーザー証明書のリストを取得するには、次を入力します。
Get-FasUserCertificate –address \<FAS server FQDN>
例えば、Get-FasUserCertificate –address cg-fas-2.auth.net
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/fas-privatekeys-get-fasusercertificate-example.png)
注：
HSM を使用して秘密鍵を保存する場合、HSM コンテナは GUID で識別されます。HSM 内の秘密鍵の GUID は、次を使用して取得できます。
Get-FasUserCertificate –address \<FAS server FQDN> -KeyInfo $true
例えば：
Get-FasUserCertificate –address fas3.djwfas.net -KeyInfo $true
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/get-fasusercertificate.png)

関連情報

  • 「インストールと構成」(/ja-jp/federated-authentication-service/2308/install-configure.html)は、FASのインストールと構成に関する主要なリファレンスです。
  • 一般的なFAS展開は、「フェデレーション認証サービスアーキテクチャの概要」(/ja-jp/federated-authentication-service/2308/deployment-architectures.html)の記事にまとめられています。
  • その他の「ハウツー」記事は、「高度な構成」(/ja-jp/federated-authentication-service/2308/config-manage.html)の記事で紹介されています。