インストールと構成

最終公開日 : Nov 03, 2026

インストールとセットアップの順序

  1. フェデレーション認証サービス (FAS) をインストールする(/ja-jp/federated-authentication-service/2308/install-configure.html#install-the-federated-authentication-service)
  2. StoreFrontストアでFASプラグインを有効にする(/ja-jp/federated-authentication-service/2308/install-configure.html#enable-the-fas-plug-in-on-storefront-stores)
  3. Delivery Controllerを構成する(/ja-jp/federated-authentication-service/2308/install-configure.html#configure-the-delivery-controller)
  4. グループポリシーを構成する(/ja-jp/federated-authentication-service/2308/install-configure.html#configure-group-policy)
  5. FAS管理コンソールを使用して、次の操作を行います。
    1. 証明書テンプレートを展開する(/ja-jp/federated-authentication-service/2308/install-configure.html#deploy-certificate-templates)
    2. 証明機関をセットアップする(/ja-jp/federated-authentication-service/2308/install-configure.html#set-up-active-directory-certificate-services)
    3. FASが証明機関を使用することを承認する(/ja-jp/federated-authentication-service/2308/install-configure.html#authorize-federated-authentication-service)
    4. ルールを構成する(/ja-jp/federated-authentication-service/2308/install-configure.html#configure-rules)
    5. FASをCitrix Cloudに接続する(/ja-jp/federated-authentication-service/2308/install-configure.html#connect-to-citrix-cloud) (オプション)

フェデレーション認証サービスをインストールする

セキュリティのため、Citrixではフェデレーション認証サービス (FAS) を専用サーバーにインストールすることをお勧めします。このサーバーは、ドメインコントローラーまたは証明機関と同様の方法で保護する必要があります。FASは、次のいずれかの方法でインストールできます。
  • Citrix Virtual Apps and Desktops™インストーラー (ISO挿入時の自動実行スプラッシュ画面にあるFederated Authentication Serviceボタンから)、または
  • スタンドアロンFASインストーラーファイル (Citrix DownloadsでMSIファイルとして入手できます)。
これらは以下のコンポーネントをインストールします。

FASのアップグレード

インプレースアップグレードを使用して、FASを新しいバージョンにアップグレードできます。アップグレードする前に、以下を考慮してください。
  • インプレースアップグレードを実行すると、すべてのFASサーバー設定は保持されます。
  • FASをアップグレードする前に、FAS管理コンソールを閉じてください。
  • 常に少なくとも1つのFASサーバーが利用可能であることを確認してください。フェデレーション認証サービスが有効なStoreFront™サーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。
アップグレードを開始するには、Citrix Virtual Apps and DesktopsインストーラーまたはスタンドアロンFASインストーラーファイルからFASをインストールします。

StoreFrontストアでFASプラグインを有効にする

注：
Citrix CloudでのみFASを使用している場合は、この手順は必要ありません。
StoreFrontストアでFAS統合を有効にするには、管理者アカウントとして以下のPowerShellコマンドレットを実行します。ストア名が異なる場合は、$StoreVirtualPathを変更してください。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
FASの使用を停止するには、以下のPowerShellスクリプトを使用します。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""

Delivery Controller™を構成する

注：
Citrix CloudでのみFASを使用している場合は、この手順は必要ありません。
FASを使用するには、Citrix Virtual AppsまたはCitrix Virtual Desktops™ Delivery Controllerを構成して、それに接続するStoreFrontサーバーを信頼するようにします。Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true PowerShellコマンドレットを実行してください。このコマンドは、サイト上のDelivery Controllerの数に関係なく、サイトごとに1回実行します。

グループポリシーを構成する

FASをインストールした後、インストールで提供されるグループポリシテンプレートを使用して、グループポリシー内のサーバーの完全修飾ドメイン名（FQDN）を指定します。
重要：
チケットを要求するStoreFrontサーバーと、チケットを引き換えるVirtual Delivery Agents（VDA）が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、FQDNの構成が同一であることを確認してください。
簡素化のため、以下の例では、すべてのマシンに適用されるドメインレベルの単一のポリシーを構成します。ただし、これは必須ではありません。StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンが同じFQDNのリストを参照している限り、FASは機能します。手順6を参照してください。
手順1. FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx ファイル、CitrixBase.admx ファイル、および en-US フォルダーを見つけます。
ローカライズされた画像
ステップ2. これらのファイルをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitions および en-US サブフォルダーに配置します。
ステップ3. Microsoft Management Console (コマンドラインから mmc.exe) を実行します。メニューバーから、ファイル > スナップインの追加と削除 を選択します。グループポリシー管理エディター を追加します。
グループポリシーオブジェクトの入力を求められたら、参照 を選択し、既定のドメインポリシー を選択します。または、任意のツールを使用して、環境に適したポリシーオブジェクトを作成して選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア（VDA、StoreFrontサーバー、管理ツール）を実行しているすべてのマシンに適用する必要があります。
ローカライズされた画像
ステップ4. コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証にある フェデレーション認証サービス ポリシーに移動します。
注：
フェデレーション認証サービスポリシー設定は、CitrixBase.admx/CitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加した場合にのみ、ドメインGPOで利用できます。ステップ3の後、フェデレーション認証サービスポリシー設定は、管理用テンプレート > Citrixコンポーネント > 認証 フォルダーに表示されます。
ステップ5. フェデレーション認証サービスポリシーを開き、有効 を選択します。これにより、表示 ボタンを選択できるようになり、FASサーバーのFQDNを構成できます。
ステップ6. FASサーバーのFQDNを入力します。
重要：
複数のFQDNを入力する場合、リストの順序はVDA、StoreFrontサーバー（存在する場合）、およびFASサーバーから見て一貫している必要があります。グループポリシー設定を参照してください。
ステップ7. OK をクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。変更を有効にするには、マシンを再起動するか（またはコマンドラインから gpupdate /force を実行する）必要がある場合があります。

セッション内の動作

このポリシーは、ユーザーのVDAセッションでエージェントプロセスをアクティブ化し、セッション内証明書、同意、およびロック時の切断をサポートします。セッション内証明書は、このポリシーが有効であり、かつ証明書の作成に使用されたFASルールでセッション内での使用が許可されている場合にのみ利用できます。ルールの構成を参照してください。
有効にすると、このポリシーが有効になり、FASエージェントプロセスがユーザーのVDAセッションで実行できるようになります。
無効にすると、ポリシーが無効になり、FASエージェントプロセスの実行が停止します。

プロンプトスコープ

このポリシーが有効な場合、プロンプトスコープは、アプリケーションがセッション内証明書を使用することを許可するための同意をユーザーに求める方法を制御します。次の3つのオプションがあります。
  • 同意不要—このオプションはセキュリティプロンプトを無効にし、秘密鍵はサイレントに使用されます。
  • プロセスごとの同意—実行中の各プログラムが個別に同意を求めます。
  • セッションごとの同意—ユーザーがOKをクリックすると、このオプションはセッション内のすべてのプログラムに適用されます。

同意タイムアウト

このポリシーが有効な場合、同意タイムアウトは、同意が持続する期間（秒単位）を制御します。たとえば、300秒の場合、ユーザーは5分ごとにプロンプトを表示されます。値がゼロの場合、秘密鍵の操作ごとにユーザーにプロンプトが表示されます。

ロック時の切断

このポリシーが有効な場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この動作は、「スマートカード取り外し時の切断」ポリシーに似ています。ユーザーがActive Directoryログオン資格情報を持っていない場合に、この機能を使用します。
注：
ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。

Federated Authentication Service管理コンソールの使用

注：
FAS管理コンソールはほとんどの展開に適していますが、PowerShellインターフェイスはより高度なオプションを提供します。FAS PowerShellコマンドレットの詳細については、「PowerShellコマンドレット」を参照してください。
FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）はスタートメニューに配置されます。
管理コンソールを初めて使用するときは、次のプロセスを通じてガイドされます。
  • 証明書テンプレートを展開します。
  • 証明機関をセットアップします。
  • FASが証明機関を使用することを承認します。
OS構成ツールを使用して、一部の手順を手動で完了することもできます。
FAS管理コンソールは、デフォルトでローカルFASサービスに接続します。必要に応じて、コンソールの右上にあるConnect to another serverを使用してリモートサービスに接続できます。
ローカライズされた画像

証明書テンプレートを展開する

他のソフトウェアとの相互運用性の問題を回避するため、FASは独自の用途のために3つのCitrix証明書テンプレートを提供します。
  • Citrix_RegistrationAuthority_ManualAuthorization
  • Citrix_RegistrationAuthority
  • Citrix_SmartcardLogon
これらのテンプレートはActive Directoryに登録する必要があります。展開ボタンをクリックし、次にOKをクリックします。
ローカライズされた画像
テンプレートの構成は、FASとともにインストールされる拡張子.certificatetemplateを持つXMLファイルにあります。
C:\プログラムファイル\Citrix\フェデレーション認証サービス\証明書テンプレート
これらのテンプレートファイルをインストールする権限がない場合は、Active Directory管理者に渡してください。
テンプレートを手動でインストールするには、テンプレートを含むフォルダーから次のPowerShellコマンドを実行します。
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)

Active Directory証明書サービスをセットアップする

Citrix証明書テンプレートをインストールした後、それらは1つ以上のMicrosoft Enterprise証明機関サーバーに公開する必要があります。Active Directory証明書サービスの展開方法については、Microsoftのドキュメントを参照してください。
証明機関を管理する権限を持つユーザーは、少なくとも1つのサーバーにテンプレートを公開する必要があります。それらを公開するには、証明機関のセットアップを使用します。
(証明書テンプレートは、Microsoft証明機関コンソールを使用して公開することもできます。)
ローカライズされた画像

フェデレーション認証サービスを承認する

この手順により、FASの承認が開始されます。管理コンソールはCitrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書要求を生成し、そのテンプレートを公開している証明機関のいずれかに送信します。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/authorize-service.png)
リクエストが送信されると、Microsoft 証明機関コンソールの保留中の要求リストに、FASマシンアカウントからの保留中の要求として表示されます。FASの構成を続行する前に、証明機関管理者はその要求を発行または拒否する必要があります。
管理者が発行または拒否を選択するまで、FAS管理コンソールにはビジー状態を示す「スピナー」が表示されます。
Microsoft 証明機関コンソールで、すべてのタスクを右クリックし、証明書要求に対して発行または拒否を選択します。発行を選択すると、FAS管理コンソールに承認証明書が表示されます。拒否を選択すると、コンソールにエラーメッセージが表示されます。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/pending-request.png)
FAS管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。
ローカライズされた画像(/en-us/federated-authentication-service/2308/media/waiting-approval.png)

ルールの構成

FASは、StoreFrontの指示に従って、VDAログオンおよびセッション内での使用のための証明書の発行を承認するためにルールを使用します。
各ルールは以下を指定します。
  • 証明書を要求するために信頼されているStoreFrontサーバー。
  • 証明書が要求されるユーザーのセット。
  • 証明書の使用が許可されているVDAマシンのセット。
Citrixは、「default」という名前のルールを作成することを推奨します。これは、StoreFrontがFASに接続する際に同じ名前のルールを要求するためです。
さらにカスタムルールを作成して、異なる証明書テンプレートや証明機関を参照し、異なるプロパティと権限を持つように構成できます。これらのルールは、異なるStoreFrontサーバーまたはWorkspaceで使用するように構成できます。グループポリシー構成オプションを使用して、StoreFrontサーバーがカスタムルールを名前で要求するように構成します。
「作成」（または「ルール」タブの「ルールの作成」）をクリックして、ルール作成ウィザードを開始し、ルールを作成するための情報を収集します。「ルール」タブには、各ルールの概要が表示されます。
ローカライズされた画像
ウィザードは次の情報を収集します。
「テンプレート」：ユーザー証明書の発行に使用される証明書テンプレート。これはCitrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります（「証明書テンプレート」を参照）。
「証明機関」：ユーザー証明書を発行し、テンプレートを公開する証明機関。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。選択した証明機関のステータスが「テンプレート利用可能」と表示されていることを確認してください。「証明機関の管理」を参照してください。
「セッション内での使用」：「セッション内での使用を許可」オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。
  • 「セッション内での使用を許可」が選択されていない場合（デフォルト、推奨）—証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後に証明書にアクセスできません。
  • 「セッション内での使用を許可」が選択されている場合—ユーザーは認証後に証明書にアクセスできます。ほとんどのお客様はこのオプションを選択しないでください。VDAセッション内からアクセスされるリソース（イントラネットWebサイトやファイル共有など）は、Kerberosシングルサインオンを使用してアクセスできるため、セッション内証明書は必要ありません。
    「セッション内での使用を許可」を選択した場合、セッション内動作グループポリシーも有効にしてVDAに適用する必要があります。その後、証明書はログオン後にユーザーの個人証明書ストアに配置され、アプリケーションで使用されます。たとえば、VDAセッション内のWebサーバーへのTLS認証が必要な場合、Internet Explorerはその証明書を使用できます。
「アクセスコントロール」：ユーザーのログオンまたは再接続のために証明書を要求することを許可された、信頼できるStoreFrontサーバーマシンのリスト。これらのすべての権限に対して、個々のADオブジェクトまたはグループを追加できます。
「重要：」:
「アクセスコントロール」設定はセキュリティ上重要であり、慎重に管理する必要があります。
「注：」:
FASサーバーをCitrix Cloudでのみ使用している場合、アクセスコントロールを構成する必要はありません。ルールがCitrix Cloudによって使用される場合、StoreFrontのアクセス許可は無視されます。同じルールをCitrix CloudとオンプレミスのStoreFront展開の両方で使用できます。オンプレミスのStoreFrontによってルールが使用される場合、StoreFrontのアクセス許可は引き続き適用されます。
デフォルトの権限（「IDの表明」が許可されている）はすべてを拒否します。したがって、StoreFrontサーバーを明示的に許可する必要があります。
ローカライズされた画像
制限: FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリスト。
  • VDA権限の管理では、どのVDAがFASを使用してユーザーをログオンできるかを指定します。VDAのリストはデフォルトでDomain Computersです。
  • ユーザー権限の管理では、どのユーザーがFASを使用してVDAにサインインできるかを指定します。ユーザーのリストはデフォルトでDomain Usersです。
注:
FASサーバーのドメインがVDAおよびユーザーのドメインと異なる場合、デフォルトの制限を変更する必要があります。
ローカライズされた画像
ローカライズされた画像
クラウド規則: Citrix WorkspaceからIDアサーションが受信されたときに規則が適用されるかどうかを示します。Citrix Cloudに接続するときに、Citrix Cloudに使用する規則を選択します。Citrix Cloudに接続した後、「Citrix Cloudへの接続」セクションのリンクから規則を変更することもできます。
ローカライズされた画像

Citrix Cloudへの接続

FASサーバーをCitrix WorkspaceでCitrix Cloudに接続できます。このCitrix Workspaceの記事を参照してください。
  1. 「初期設定」タブの「Citrix Cloudへの接続」で「接続」をクリックします。
    初期設定
  2. 接続するクラウドを選択し、「次へ」をクリックします。
    「Citrix Cloudを選択」(/en-us/federated-authentication-service/2308/media/connect-cloud-choose-citrix-cloud.png)
    注
    プレビューでは、Citrix Cloudのみが利用可能です。
  3. ウィンドウに一意の登録コードが表示されます。このコードはCitrix Cloudで承認する必要があります。詳細については、「」(/ja-jp/citrix-cloud/citrix-cloud-management/citrix-cloud-on-premises-registration.html)を参照してください。
    「確認」(/en-us/federated-authentication-service/2308/media/connect-cloud-confirmation.png)
  4. 登録コードが検証されたら、ドロップダウンリストから必要なリソースの場所を選択します。
    「リソースの場所」(/en-us/federated-authentication-service/2308/media/connect-cloud-resource-location.png)
  5. 該当する場合は顧客アカウントを選択し、FASサーバーを接続するリソースの場所を選択します。**［続行］**をクリックし、確認ウィンドウを閉じます。
  6. **［ルールの選択］セクションで、既存のルールを使用するか、新しいルールを作成します。［次へ］**をクリックします。
    「ルールの選択」(/en-us/federated-authentication-service/2308/media/connect-cloud-choose-rule.png)
  7. **［概要］セクションで、［完了］**をクリックしてCitrix Cloudへの接続を完了します。
    「Cloud接続の概要」(/en-us/federated-authentication-service/2308/media/connect-cloud-summary.png)
Citrix CloudはFASサーバーを登録し、Citrix Cloudアカウントの「リソースの場所」ページに表示します。
注
オンプレミスのFASサーバーは、Citrix CloudとCitrix Virtual Apps and Desktopsへのアクセスを同時に許可するために、ユーザー証明書を発行できます。

Citrix Cloud から切断する

このCitrix Workspace の記事に記載されているように、FASサーバーをCitrix Cloudリソースの場所から削除した後、Connect to Citrix Cloud で Disable を選択します。