インストールと構成

最終公開日 : Oct 24, 2026

インストールとセットアップの順序

  1. フェデレーション認証サービスをインストールする (FAS)
  2. StoreFrontストアでFASプラグインを有効にする
  3. Delivery Controllerを構成する
  4. グループポリシーを構成する
  5. FAS管理コンソールを使用して、次の操作を行います。
    1. 証明書テンプレートを展開する
    2. 証明機関をセットアップする
    3. FASが証明機関を使用することを承認する
    4. ルールを構成する
    5. FASをCitrix Cloudに接続する (オプション)

フェデレーション認証サービスをインストールする

セキュリティのため、Citrixではフェデレーション認証サービス (FAS) を専用サーバーにインストールすることをお勧めします。このサーバーは、ドメインコントローラーまたは証明機関と同様の方法で保護する必要があります。FASは、次のいずれかからインストールできます。
  • Citrix Virtual Apps and Desktops™インストーラー（ISO挿入時の自動実行スプラッシュ画面にあるFederated Authentication Serviceボタンから）、または
  • スタンドアロンのFASインストーラーファイル（Citrix DownloadsでMSIファイルとして入手可能）。
これらは次のコンポーネントをインストールします。

FASのアップグレード

インプレースアップグレードを使用して、FASを新しいバージョンにアップグレードできます。アップグレードする前に、次の点を考慮してください。
  • インプレースアップグレードを実行すると、すべてのFASサーバー設定が保持されます。
  • FASをアップグレードする前に、FAS管理コンソールを必ず閉じてください。
  • 常に少なくとも1つのFASサーバーが利用可能であることを確認してください。フェデレーション認証サービスが有効なStoreFront™サーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。
アップグレードを開始するには、Citrix Virtual Apps and DesktopsインストーラーまたはスタンドアロンのFASインストーラーファイルからFASをインストールします。

StoreFrontストアでFASプラグインを有効にする

注:
Citrix CloudでのみFASを使用している場合、この手順は不要です。
StoreFrontストアでFAS統合を有効にするには、管理者アカウントとして以下のPowerShellコマンドレットを実行します。ストア名が異なる場合は、$StoreVirtualPathを修正してください。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
FASの使用を停止するには、以下のPowerShellスクリプトを使用します。
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""

Delivery Controller™を構成する

注:
Citrix CloudでのみFASを使用している場合、この手順は不要です。
FASを使用するには、Citrix Virtual AppsまたはCitrix Virtual Desktops™ Delivery Controllerが、それに接続するStoreFrontサーバーを信頼するように構成します。具体的には、Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true PowerShellコマンドレットを実行します。このコマンドは、サイト上のDelivery Controllerの数に関係なく、サイトごとに1回実行します。

グループポリシーを構成する

FASをインストールした後、インストールで提供されるグループポリシーテンプレートを使用して、グループポリシー内のサーバーの完全修飾ドメイン名 (FQDN) を指定します。
重要:
チケットを要求するStoreFrontサーバーと、チケットを引き換えるVirtual Delivery Agents (VDA) が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、FQDNの構成が同一であることを確認してください。
簡素化のため、以下の例では、すべてのマシンに適用されるドメインレベルの単一ポリシーを構成します。ただし、これは必須ではありません。StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンが同じFQDNのリストを参照している限り、FASは機能します。ステップ6を参照してください。
ステップ1. FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admxおよびCitrixBase.admxファイルと、en-USフォルダーを見つけます。
ローカライズされた画像
ステップ2. これらのファイルをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitionsおよびen-USサブフォルダーに配置します。
ステップ3. Microsoft Management Console (コマンドラインからmmc.exe) を実行します。メニューバーから、ファイル > スナップインの追加と削除を選択します。グループポリシー管理エディターを追加します。
グループポリシーオブジェクトの入力を求められたら、参照を選択し、既定のドメインポリシーを選択します。または、任意のツールを使用して、環境に適したポリシーオブジェクトを作成して選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア（VDA、StoreFrontサーバー、管理ツール）を実行しているすべてのマシンに適用する必要があります。
ローカライズされた画像
ステップ4. コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証にあるフェデレーション認証サービスポリシーに移動します。
認証テンプレート
注：
フェデレーション認証サービスポリシー設定は、CitrixBase.admx/CitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加した場合にのみ、ドメインGPOで利用できます。ステップ3の後、フェデレーション認証サービスポリシー設定は、管理用テンプレート > Citrixコンポーネント > 認証フォルダーに表示されます。
ステップ5. フェデレーション認証サービスポリシーを開き、有効を選択します。これにより、表示ボタンを選択できるようになり、FASサーバーのFQDNを構成します。
FQDN
ステップ6. FASサーバーのFQDNを入力します。
重要：
複数のFQDNを入力する場合、リストの順序はVDA、StoreFrontサーバー（存在する場合）、およびFASサーバーから見て一貫している必要があります。グループポリシー設定を参照してください。
ステップ7. OKをクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。変更を有効にするには、マシンを再起動するか（またはコマンドラインからgpupdate /forceを実行する）必要がある場合があります。

セッション内の動作

このポリシーは、ユーザーのVDAセッションでエージェントプロセスをアクティブ化し、インセッション証明書、同意、およびロック時の切断をサポートします。インセッション証明書は、このポリシーが有効になっている場合かつ、証明書の作成に使用されたFASルールでインセッション使用が許可されている場合にのみ利用できます。「ルールを構成する」を参照してください。
有効にすると、このポリシーが有効になり、FASエージェントプロセスがユーザーのVDAセッションで実行できるようになります。
無効にすると、ポリシーが無効になり、FASエージェントプロセスの実行が停止します。

プロンプトスコープ

このポリシーが有効になっている場合、プロンプトスコープは、アプリケーションがインセッション証明書を使用することを許可するための同意をユーザーに求める方法を制御します。3つのオプションがあります。
  • 同意不要—このオプションはセキュリティプロンプトを無効にし、秘密鍵はサイレントに使用されます。
  • プロセスごとの同意—実行中の各プログラムが個別に同意を求めます。
  • セッションごとの同意—ユーザーがOKをクリックすると、このオプションはセッション内のすべてのプログラムに適用されます。

同意タイムアウト

このポリシーが有効になっている場合、同意タイムアウトは、同意が持続する期間（秒単位）を制御します。たとえば、300秒に設定すると、ユーザーは5分ごとにプロンプトが表示されます。値がゼロの場合、秘密鍵の操作ごとにユーザーにプロンプトが表示されます。

ロック時の切断

このポリシーが有効になっている場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この動作は、「スマートカード取り外し時の切断」ポリシーに似ています。ユーザーがActive Directoryログオン資格情報を持っていない場合に、この機能を使用します。
注：
ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。

Federated Authentication Service 管理コンソールの使用

注：
FAS管理コンソールはほとんどの展開に適していますが、PowerShellインターフェイスはより高度なオプションを提供します。FAS PowerShellコマンドレットの詳細については、PowerShellコマンドレットを参照してください。
FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）はスタートメニューに配置されます。
管理コンソールを初めて使用する際には、以下のプロセスを実行するようにガイドされます。
  • 証明書テンプレートを展開します。
  • 証明機関をセットアップします。
  • FASが証明機関を使用することを承認します。
OS構成ツールを使用して、一部の手順を手動で完了することもできます。
FAS管理コンソールは、デフォルトでローカルのFASサービスに接続します。必要に応じて、コンソールの右上にあるConnect to another serverを使用してリモートサービスに接続できます。
ローカライズされた画像

証明書テンプレートを展開する

他のソフトウェアとの相互運用性の問題を回避するため、FASは独自の用途のために3つのCitrix証明書テンプレートを提供します。
  • Citrix_RegistrationAuthority_ManualAuthorization
  • Citrix_RegistrationAuthority
  • Citrix_SmartcardLogon
これらのテンプレートはActive Directoryに登録する必要があります。Deployボタンをクリックし、次にOKをクリックします。
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/deploy-cert-templates.png)
テンプレートの設定は、FASとともにインストールされる拡張子.certificatetemplateを持つXMLファイルにあります。
C:\Program Files\Citrix\Federated Authentication Service\CertificateTemplates
証明書テンプレートフォルダー。(/en-us/federated-authentication-service/2407/media/certificate-templates.png)
これらのテンプレートファイルをインストールする権限がない場合は、Active Directory管理者に渡してください。
テンプレートを手動でインストールするには、テンプレートを含むフォルダーから次のPowerShellコマンドを実行できます。
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)

Active Directory証明書サービスをセットアップする

Citrix証明書テンプレートをインストールした後、それらは1つ以上のMicrosoft Enterprise証明機関サーバーに公開される必要があります。Active Directory証明書サービスを展開する方法については、Microsoftのドキュメントを参照してください。
証明機関を管理する権限を持つユーザーは、少なくとも1つのサーバーにテンプレートを公開する必要があります。それらを公開するには、証明機関のセットアップを使用します。
(証明書テンプレートは、Microsoft証明機関コンソールを使用して公開することもできます。)
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/setup-cert-authority.png)

フェデレーション認証サービスを承認する

この手順により、FASの承認が開始されます。管理コンソールはCitrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書要求を生成し、その後、そのテンプレートを公開している証明機関のいずれかに送信します。
ローカライズされた画像
リクエストが送信されると、Microsoft Certification AuthorityコンソールのPending Requestsリストに、FASマシンアカウントからの保留中のリクエストとして表示されます。FASの構成を続行する前に、証明機関管理者はそのリクエストを発行または拒否する必要があります。
管理者がIssueまたはDenyを選択するまで、FAS管理コンソールにはビジー状態の「スピナー」が表示されます。
Microsoft Certification Authorityコンソールで、All Tasksを右クリックし、証明書要求に対してIssueまたはDenyを選択します。Issueを選択すると、FAS管理コンソールに承認証明書が表示されます。Denyを選択すると、コンソールにエラーメッセージが表示されます。
ローカライズされた画像
FAS管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。
ローカライズされた画像

ルールの構成

FASは、StoreFrontの指示に従って、VDAログオンおよびセッション内使用の証明書の発行を承認するためにルールを使用します。
各ルールは以下を指定します。
  • 証明書を要求するために信頼されているStoreFrontサーバー。
  • 証明書が要求されるユーザーのセット。
  • 証明書の使用が許可されているVDAマシンのセット。
Citrixは、FASに接続する際にStoreFrontが同じ名前のルールを要求するため、「default」という名前のルールを作成することを推奨します。
異なる証明書テンプレートや証明機関を参照するカスタムルールをさらに作成し、異なるプロパティと権限を持つように構成できます。これらのルールは、異なるStoreFrontサーバーまたはWorkspaceで使用するように構成できます。Group Policy Configurationオプションを使用して、StoreFrontサーバーがカスタムルールを名前で要求するように構成します。
「作成」をクリックして（または「ルール」タブで「ルールの作成」をクリックして）、ルール作成ウィザードを開始し、ルールを作成するための情報を収集します。「ルール」タブには、各ルールの概要が表示されます。
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/user-rules.png)
ウィザードは次の情報を収集します。
テンプレート: ユーザー証明書の発行に使用される証明書テンプレートです。これはCitrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります（証明書テンプレートを参照）。
証明機関: ユーザー証明書を発行し、テンプレートを公開する証明機関です。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。選択した証明機関のステータスが「テンプレート利用可能」と表示されていることを確認してください。証明機関の管理を参照してください。
セッション内使用: 「セッション内使用を許可」オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。
  • セッション内使用を許可が選択されていない場合（デフォルト、推奨）—証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後に証明書にアクセスできません。
  • セッション内使用を許可が選択されている場合—ユーザーは認証後に証明書にアクセスできます。ほとんどのお客様は、このオプションを選択すべきではありません。イントラネットのWebサイトやファイル共有など、VDAセッション内からアクセスされるリソースは、Kerberosシングルサインオンを使用してアクセスできるため、セッション内証明書は必要ありません。
    「セッション内使用を許可」を選択した場合、セッション内動作グループポリシーも有効にしてVDAに適用する必要があります。証明書は、ログオン後にアプリケーションで使用するためにユーザーの個人証明書ストアに配置されます。たとえば、VDAセッション内のWebサーバーへのTLS認証が必要な場合、Internet Explorerはその証明書を使用できます。
アクセス制御: ユーザーのログオンまたは再接続のために証明書を要求することを許可された、信頼できるStoreFrontサーバーマシンのリストです。これらのすべての権限に対して、個々のADオブジェクトまたはグループを追加できます。
重要:
「アクセス制御」設定はセキュリティ上重要であり、慎重に管理する必要があります。
注:
FASサーバーをCitrix Cloudでのみ使用している場合、アクセス制御を構成する必要はありません。Citrix Cloudでルールが使用される場合、StoreFrontのアクセス許可は無視されます。Citrix CloudとオンプレミスのStoreFront展開の両方で同じルールを使用できます。オンプレミスのStoreFrontでルールが使用される場合、StoreFrontのアクセス許可は引き続き適用されます。
デフォルトの権限（「IDアサート」許可）はすべてを拒否します。したがって、StoreFrontサーバーを明示的に許可する必要があります。
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/storefront-servers.png)
制限: FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリスト。
  • VDA権限の管理では、FASを使用してユーザーをログオンできるVDAを指定できます。VDAのリストはデフォルトで「ドメインコンピューター」です。
  • ユーザー権限の管理では、FASを使用してVDAにサインインできるユーザーを指定できます。ユーザーのリストはデフォルトで「ドメインユーザー」です。
注:
FASサーバーのドメインがVDAおよびユーザーのドメインと異なる場合、デフォルトの制限を変更する必要があります。
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/vdas.png)
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/allowed-users.png)
クラウド規則: Citrix WorkspaceからIDアサーションが受信されたときに規則が適用されるかどうかを示します。Citrix Cloudに接続するときに、Citrix Cloudに使用する規則を選択します。また、Citrix Cloudに接続した後、Citrix Cloudへの接続セクションのリンクから規則を変更することもできます。
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/rule-created.png)

Citrix Cloudへの接続

FASサーバーをCitrix WorkspaceでCitrix Cloudに接続できます。詳細については、このCitrix Workspaceの記事を参照してください。
  1. 初期設定タブで、Citrix Cloudへの接続の下にある接続をクリックします。
    初期設定(/en-us/federated-authentication-service/2407/media/connect-cloud-initial-setup.png)
  2. 接続するクラウドを選択し、次へをクリックします。
    Citrix Cloudを選択
    注
    プレビューでは、Citrix Cloudのみが利用可能です。
  3. ウィンドウに一意の登録コードが表示されます。このコードはCitrix Cloudで承認する必要があります。詳しくは、オンプレミス製品をCitrix Cloudに登録するを参照してください。
    確認
  4. 登録コードが検証されたら、ドロップダウンリストから必要なリソースの場所を選択します。
    リソースの場所
  5. 該当する場合は顧客アカウントを選択し、FASサーバーを接続するリソースの場所を選択します。続行をクリックし、確認ウィンドウを閉じます。
  6. ルールの選択セクションで、既存のルールを使用するか、新しいルールを作成します。次へをクリックします。
    ルールの選択
  7. 概要セクションで、完了をクリックしてCitrix Cloudへの接続を完了します。
    Cloudへの接続の概要
Citrix CloudはFASサーバーを登録し、Citrix CloudアカウントのResource Locationsページに表示します。
注
オンプレミスのFASサーバーは、Citrix CloudとCitrix Virtual Apps and Desktopsへのアクセスを同時に許可するユーザー証明書を発行できます。

Citrix Cloudから切断する

このCitrix Workspaceの記事に記載されているように、Citrix Cloudリソースの場所からFASサーバーを削除した後、Citrix Cloudに接続で、無効にするを選択します。