インストールと構成
インストールとセットアップの順序
Federated Authentication Serviceのインストール
セキュリティのため、CitrixではFederated Authentication Service (FAS) を専用サーバーにインストールすることをお勧めします。このサーバーは、ドメインコントローラーまたは証明機関と同様の方法で保護する必要があります。FASは、以下のいずれかの方法でインストールできます。
-
Citrix Virtual Apps and Desktops™インストーラー（ISOを挿入したときの自動実行スプラッシュ画面にあるFederated Authentication Serviceボタンから）、または
-
スタンドアロンFASインストーラーファイル（Citrix DownloadsでMSIファイルとして入手可能）。
これらは次のコンポーネントをインストールします。
-
フェデレーション認証サービス
-
高度なFAS構成用のPowerShellスナップインコマンドレット
-
FASグループポリシーテンプレート (CitrixFederatedAuthenticationService.admx/adml)
-
証明書テンプレートファイル
FASのアップグレード
インプレースアップグレードを使用して、FASを新しいバージョンにアップグレードできます。アップグレードする前に、次の点を考慮してください。
-
インプレースアップグレードを実行すると、すべてのFASサーバー設定は保持されます。
-
FASをアップグレードする前に、FAS管理コンソールを閉じてください。
-
常に少なくとも1つのFASサーバーが利用可能であることを確認してください。Federation Authentication Serviceが有効なStoreFront™サーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。
アップグレードを開始するには、Citrix Virtual Apps and DesktopsインストーラーからFASをインストールするか、スタンドアロンFASインストーラーファイルからインストールします。
StoreFrontストアでFASプラグインを有効にする
注：
Citrix CloudでのみFASを使用している場合は、この手順は必要ありません。
StoreFrontストアでFAS統合を有効にするには、管理者アカウントとして次のPowerShellコマンドレットを実行します。ストアの名前が異なる場合は、
$StoreVirtualPathを変更してください。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
FASの使用を停止するには、次のPowerShellスクリプトを使用します。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
デリバリーコントローラー™ の構成
注：
Citrix CloudでのみFASを使用している場合は、この手順は必要ありません。
FASを使用するには、Citrix Virtual AppsまたはCitrix Virtual Desktops™ Delivery Controllerを構成して、それに接続するStoreFrontサーバーを信頼するようにします。Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true PowerShellコマンドレットを実行します。このコマンドは、サイト上のDelivery Controllerの数に関係なく、サイトごとに1回実行します。
グループポリシーの構成
FASのインストール後、インストールで提供されるグループポリシーテンプレートを使用して、グループポリシー内のサーバーの完全修飾ドメイン名（FQDN）を指定します。
重要：
チケットを要求するStoreFrontサーバーとチケットを引き換えるVirtual Delivery Agent（VDA）が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、FQDNの同一の構成を持っていることを確認してください。
簡素化のため、以下の例では、すべてのマシンに適用される単一のポリシーをドメインレベルで構成しています。ただし、これは必須ではありません。FASは、StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンが同じFQDNのリストを参照している限り機能します。手順6を参照してください。
手順1. FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx および CitrixBase.admx ファイルと、en-US フォルダーを見つけます。
手順 2. これらのファイルをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitions および en-US サブフォルダーに配置します。
手順 4. コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証にある フェデレーション認証サービス ポリシーに移動します。
注：
手順 6. FASサーバーのFQDNを入力します。
重要：
複数のFQDNを入力する場合、リストの順序は、VDA、StoreFrontサーバー (存在する場合)、およびFASサーバーから見て一貫している必要があります。グループポリシー設定を参照してください。
セッション内動作
このポリシーは、ユーザーのVDAセッションでエージェントプロセスをアクティブ化し、セッション内証明書、同意、およびロック時の切断をサポートします。セッション内証明書は、このポリシーが有効になっており、かつ証明書の作成に使用されたFASルールでセッション内使用が許可されている場合にのみ利用可能です。ルールの構成を参照してください。
有効にすると、このポリシーが有効になり、FASエージェントプロセスがユーザーのVDAセッションで実行できるようになります。
無効にすると、このポリシーが無効になり、FASエージェントプロセスの実行が停止します。
プロンプトの範囲
このポリシーが有効になっている場合、プロンプトの範囲は、アプリケーションがセッション内証明書を使用することを許可するための同意をユーザーにどのように求めるかを制御します。3つのオプションがあります。
-
同意不要—このオプションはセキュリティプロンプトを無効にし、秘密鍵はサイレントに使用されます。
-
プロセスごとの同意—実行中の各プログラムが個別に同意を求めます。
-
セッションごとの同意—ユーザーがOKをクリックすると、このオプションはセッション内のすべてのプログラムに適用されます。
同意のタイムアウト
このポリシーが有効になっている場合、同意のタイムアウトは、同意が持続する期間（秒単位）を制御します。たとえば、300秒に設定すると、ユーザーは5分ごとにプロンプトが表示されます。値がゼロの場合、秘密鍵の操作ごとにユーザーにプロンプトが表示されます。
ロック時の切断
このポリシーが有効になっている場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この動作は、「スマートカード取り外し時の切断」ポリシーに似ています。ユーザーがActive Directoryログオン資格情報を持っていない場合に、この機能を使用します。
注:
ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。
Federated Authentication Service 管理コンソールの使用
注：
FAS管理コンソールはほとんどの展開に適していますが、PowerShellインターフェイスはより高度なオプションを提供します。FAS PowerShellコマンドレットの詳細については、「PowerShell コマンドレット」を参照してください。
FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）はスタートメニューに配置されます。
管理コンソールを初めて使用する際は、次のプロセスが案内されます。
-
証明書テンプレートを展開します。
-
証明機関をセットアップします。
-
FASが証明機関を使用することを承認します。
OS構成ツールを使用して、一部の手順を手動で完了することもできます。
FAS管理コンソールは、デフォルトでローカルのFASサービスに接続します。必要に応じて、コンソールの右上にあるConnect to another serverを使用してリモートサービスに接続できます。
証明書テンプレートを展開する
他のソフトウェアとの相互運用性の問題を避けるため、FASは独自の用途のために3つのCitrix証明書テンプレートを提供します。
-
Citrix_RegistrationAuthority_ManualAuthorization
-
Citrix_RegistrationAuthority
-
Citrix_SmartcardLogon
これらのテンプレートは、Active Directory に登録する必要があります。Deploy ボタンをクリックし、次に OK をクリックします。
テンプレートの設定は、FAS とともにインストールされる、拡張子 .certificatetemplate を持つ XML ファイルにあります。
C:\Program Files\Citrix\Federated Authentication Service\CertificateTemplates
これらのテンプレートファイルをインストールする権限がない場合は、Active Directory 管理者に渡してください。
テンプレートを手動でインストールするには、テンプレートを含むフォルダーから次の PowerShell コマンドを実行します。
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)
Active Directory 証明書サービスをセットアップする
Citrix 証明書テンプレートをインストールした後、それらを1つ以上の Microsoft Enterprise Certification Authority サーバーに公開する必要があります。Active Directory 証明書サービスの展開方法については、Microsoft のドキュメントを参照してください。
証明機関を管理する権限を持つユーザーは、少なくとも1つのサーバーにテンプレートを公開する必要があります。それらを公開するには、Set Up Certificate Authority を使用します。
(証明書テンプレートは、Microsoft Certification Authority コンソールを使用して公開することもできます。)
フェデレーション認証サービスを承認する
この手順により、FAS の承認が開始されます。管理コンソールは Citrix_RegistrationAuthority_ManualAuthorization テンプレートを使用して証明書要求を生成し、その後、そのテンプレートを公開している証明機関のいずれかに送信します。
要求が送信されると、Microsoft 証明機関コンソールの保留中の要求リストに、FAS マシンアカウントからの保留中の要求として表示されます。FAS の構成を続行する前に、証明機関管理者はその要求を発行または拒否する必要があります。
管理者が発行または拒否を選択するまで、FAS 管理コンソールには処理中の「スピナー」が表示されます。
Microsoft 証明機関コンソールで、すべてのタスクを右クリックし、証明書要求に対して発行または拒否を選択します。発行を選択すると、FAS 管理コンソールに承認証明書が表示されます。拒否を選択すると、コンソールにエラーメッセージが表示されます。
FAS 管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。
ルールを構成する
FAS は、StoreFront の指示に従って、VDA ログオンおよびセッション内での使用のための証明書の発行を承認するためにルールを使用します。
各ルールは以下を指定します。
-
証明書を要求するために信頼されているStoreFrontサーバー。
-
証明書が要求されるユーザーのセット。
-
証明書の使用が許可されているVDAマシンのセット。
FAS に接続する際にStoreFrontが同じ名前のルールを要求するため、Citrixは「default」という名前のルールを作成することを推奨します。
異なる証明書テンプレートと証明機関を参照し、異なるプロパティと権限を持つように、より多くのカスタムルールを作成できます。これらのルールは、異なるStoreFrontサーバーまたはWorkspaceで使用するように構成できます。グループポリシー構成オプションを使用して、StoreFrontサーバーがカスタムルールを名前で要求するように構成します。
「作成」をクリックして（または「ルール」タブで「ルールの作成」をクリックして）、ルール作成ウィザードを開始し、ルールを作成するための情報を収集します。「ルール」タブには、各ルールの概要が表示されます。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/user-rules.png)
ウィザードは次の情報を収集します。
テンプレート: ユーザー証明書の発行に使用される証明書テンプレート。これはCitrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります（証明書テンプレートを参照）。
証明機関: ユーザー証明書を発行し、テンプレートを公開する証明機関。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。選択した証明機関のステータスが「テンプレート利用可能」と表示されていることを確認してください。証明機関の管理を参照してください。
セッション内使用: 「セッション内での使用を許可」オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。
-
セッション内での使用を許可が選択されていない（デフォルト、推奨）—証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後に証明書にアクセスできません。
-
セッション内での使用を許可が選択されている—ユーザーは認証後に証明書にアクセスできます。ほとんどのお客様はこのオプションを選択する必要はありません。イントラネットWebサイトやファイル共有など、VDAセッション内からアクセスされるリソースは、Kerberosシングルサインオンを使用してアクセスできるため、セッション内証明書は必要ありません。「セッション内での使用を許可」を選択した場合、セッション内動作グループポリシーも有効にしてVDAに適用する必要があります。証明書は、ログオン後にアプリケーションで使用するためにユーザーの個人証明書ストアに配置されます。たとえば、VDAセッション内のWebサーバーへのTLS認証が必要な場合、Internet Explorerはその証明書を使用できます。
アクセス制御: ユーザーのログオンまたは再接続のために証明書を要求することを許可されている、信頼されたStoreFrontサーバーマシンのリスト。これらのすべての権限に対して、個々のADオブジェクトまたはグループを追加できます。
重要:
アクセス制御設定はセキュリティ上重要であり、慎重に管理する必要があります。
注:
FASサーバーをCitrix Cloudでのみ使用している場合、アクセス制御を構成する必要はありません。ルールがCitrix Cloudによって使用される場合、StoreFrontのアクセス許可は無視されます。Citrix CloudとオンプレミスのStoreFront展開の両方で同じルールを使用できます。オンプレミスのStoreFrontによってルールが使用される場合、StoreFrontのアクセス許可は引き続き適用されます。
デフォルトの許可（「IDの表明」が許可されている）はすべてを拒否します。したがって、StoreFrontサーバーを明示的に許可する必要があります。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/storefront-servers.png)
制限事項: FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリスト。
-
VDA権限の管理は、どのVDAがFASを使用してユーザーをログオンできるかを指定します。VDAのリストは、デフォルトでDomain Computersになります。
-
ユーザー権限の管理は、どのユーザーがFASを使用してVDAにサインインできるかを指定します。ユーザーのリストは、デフォルトでDomain Usersになります。
注:
FASサーバーのドメインがVDAおよびユーザーのドメインと異なる場合、デフォルトの制限を変更する必要があります。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/vdas.png)
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/allowed-users.png)
クラウド規則: Citrix WorkspaceからIDアサーションが受信されたときに規則が適用されるかどうかを示します。Citrix Cloudに接続するときに、Citrix Cloudに使用する規則を選択します。Citrix Cloudへの接続セクションのリンクからCitrix Cloudに接続した後で、規則を変更することもできます。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/rule-created.png)
Citrix Cloudへの接続
FASサーバーをCitrix WorkspaceでCitrix Cloudに接続できます。このCitrix Workspaceの記事を参照してください。
-
［初期設定］タブのCitrix Cloudへの接続で、**［接続］**をクリックします。
-
接続するクラウドを選択し、**［次へ］**をクリックします。
注プレビューでは、Citrix Cloudのみが利用可能です。 -
ウィンドウに一意の登録コードが表示されます。このコードはCitrix Cloudで承認する必要があります。詳細については、「Citrix Cloudへのオンプレミス製品の登録」を参照してください。
-
登録コードが検証されたら、ドロップダウンリストから必要なリソースの場所を選択します。
-
該当する場合は顧客アカウントを選択し、FASサーバーを接続するリソースの場所を選択します。続行をクリックし、確認ウィンドウを閉じます。
-
ルールの選択セクションで、既存のルールを使用するか、新しいルールを作成します。次へをクリックします。
-
概要セクションで、完了をクリックしてCitrix Cloudへの接続を完了します。
Citrix CloudはFASサーバーを登録し、Citrix Cloudアカウントのリソースの場所ページに表示します。
注
オンプレミスのFASサーバーは、Citrix CloudおよびCitrix Virtual Apps and Desktopsへのアクセスを同時に許可するために、ユーザー証明書を発行できます。
Citrix Cloud から切断する
このCitrix Workspaceの記事で説明されているように、FASサーバーをCitrix Cloudリソースの場所から削除した後、Citrix Cloud に接続で無効にするを選択します。