秘密鍵の保護

最終公開日 : Oct 24, 2026
Related information
高度な構成

はじめに

FAS証明書は、FASサーバー上の組み込みデータベースに保存されます。FAS証明書に関連付けられた秘密鍵は、FASサーバーのネットワークサービスアカウントの下に保存されます。デフォルトでは、鍵はエクスポート不可の2048ビットRSAで、Microsoft Software Key Storage Providerで作成および保存されます。
FAS PowerShellコマンドPowerShellコマンドレットを使用すると、秘密鍵のプロパティと保存場所を変更できます。
注：
FASの構成と証明書はFASサーバーにローカルに保存されます。データはFASサーバー間で共有されません。
Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密鍵のプロパティは%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config.にあるXMLファイルを編集して構成されていました。 これはPowerShellコマンドに置き換えられ、より柔軟性があり、FASサーバーを再起動せずに適用できます。 さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。 したがって、以下の設定に対するXMLファイルを使用した構成はサポートされなくなりました。
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength
「Citrix Virtual Apps and Desktops™ 2411より前のFASバージョンからのアップグレード」のセクションを参照してください。

FAS証明書とテンプレートに関する情報

FASが保持する証明書には2種類あります。通常1つのインスタンスである承認証明書と、ユーザー証明書です。
注記:
FAS承認証明書は、登録機関または要求エージェント (RA) 証明書と呼ばれることもあります。
FASは、次のセクションで説明するように、証明書を要求する際に証明書テンプレートを使用します。FASは証明書要求でテンプレート名を指定しますが、テンプレートの内容は読み取りません。したがって、テンプレートの設定を変更しても、FASが行う証明書要求には影響しません。テンプレートの特定のプロパティを変更すると、CAによって生成される証明書に影響します。たとえば、テンプレートを使用して有効期間を変更できます。

FAS承認証明書

この証明書は、FASを構成するときに作成されます。FAS管理コンソールの承認または再承認ボタンを使用して、新しい承認証明書を要求できます。
PowerShellコマンドを使用することも可能で、より柔軟性があります。
  • New-FasAuthorizationCertificate: このコマンドはFAS管理コンソールと同様に動作しますが、承認プロセスで使用する証明書テンプレートを指定できる点が異なります。
  • New-FasAuthorizationCertificateRequest: このコマンドは、承認証明書のオフライン要求を作成します。オフライン承認。
承認証明書は、FASが登録機関として機能し、ユーザーに代わって証明書を要求するため、RA証明書と呼ばれることもあります。この証明書には、拡張キー使用法証明書要求エージェントがあり、FASユーザー証明書を要求する際の承認資格情報として使用できます。
デフォルトでは、承認プロセスは次のテンプレートを使用します。
  • Citrix_RegistrationAuthority_ManualAuthorization: このテンプレートを使用して作成された証明書は一時的で短命であり、承認プロセスをブートストラップするために使用されます。
  • Citrix_RegistrationAuthority: このテンプレートを使用して作成された証明書は有効期間が長く、FASサーバーによって保存されます。
FASを承認すると、次の手順が実行されます。
  1. FASはキーペアを作成し、キーペアの公開キーとテンプレートCitrix_RegistrationAuthority_ManualAuthorizationを指定して、証明書署名要求 (CSR) をCAに送信します。
  2. テンプレートの発行要件では、CSRはCA管理者によって手動で承認される必要があると指定されています。
  3. CA管理者がCSRを承認すると、CAはFASが取得する証明書を作成します。この証明書は有効期間が1日と短く、次のステップでのみ使用されます。使用されると、FASはその証明書とキーペアを破棄します。
  4. FASは別のキーペアを作成し、このキーペアの公開鍵とテンプレートCitrix_RegistrationAuthorityを指定して、2番目のCSRをCAに送信します。この要求は、前のステップの証明書によって承認され、署名されます。
  5. CAは自動的に証明書を発行し、FASは証明書を取得し、FASはこれで承認済みとなります。デフォルトでは、この承認証明書の有効期間は2年間です。
前述のキーペアを作成するために使用された設定は、このPowerShellコマンドを使用して表示できます。
Get-FasKeyConfig -Address localhost -CertificateType ra

FASユーザー証明書

FASは、ユーザーをVDAにサインインさせるためにユーザー証明書を作成します。
FASがユーザー証明書を作成すると、次のステップが実行されます。
  • FASはキーペアを作成し、キーペアの公開鍵、ユーザーのID、およびデフォルトでテンプレートCitrix_SmartcardLogon（使用されるテンプレートは構成可能）を指定して、CSRをCAに送信します。
  • CSRはFAS承認証明書を使用して署名されます。
  • Citrix_SmartcardLogonテンプレートには発行要件Application Policy: Certificate Request Agentがあります。この属性はFAS承認証明書に存在するため、CAはユーザー証明書を自動的に発行します。
  • FASは証明書を取得し、FASサーバー上の組み込みデータベースに保存します。
  • デフォルトでは、証明書の有効期間は1週間です。
その後、ユーザー証明書はユーザーをサインインさせるためにVDAで利用可能になります。
前述のキーペアを作成するために使用された設定は、次のPowerShellコマンドを使用して表示できます。
Get-FasKeyConfig -Address localhost -CertificateType user

秘密鍵の保存オプション

FASは、キーペアを以下の3種類のストレージカテゴリに作成および保存するように構成できます。
  • ソフトウェア: 通常、Microsoft Software Key Storage Providerを使用します。これはソフトウェアのみで保護されており、データはディスクに保存されます。
  • Trusted Platform Module (TPM): TPMは、コンピューター上の物理ハードウェアであるか、ハイパーバイザーによって提供される仮想TPMである場合があります。
  • Hardware Security Module (HSM): これは、暗号鍵を安全に保存するように設計されたハードウェア周辺機器またはネットワークデバイスです。
注:
考慮すべきトレードオフがあります。ハードウェアストレージはより安全である可能性がありますが、特に多数のユーザー証明書キーペアを作成および保存する場合、パフォーマンスが低下することがよくあります。
FAS承認証明書に関連付けられた秘密鍵は特に機密性が高く、その証明書のポリシーにより、秘密鍵を所有する者は誰でも、任意のユーザーの証明書要求を承認できるためです。結果として、この鍵を制御する者は誰でも、任意のユーザーとして環境に接続できます。
注:
Microsoft CAは、証明書を発行できるユーザーのセットを含め、FAS承認証明書の権限を制限するように構成できます。詳細については、「委任された登録エージェント」を参照してください。
このため、FASでは、承認証明書とユーザー証明書の秘密鍵プロパティを個別に構成できます。
一般的な構成をいくつか示します。
承認証明書キー ユーザー証明書キー コメント
ソフトウェア ソフトウェア デフォルト構成
TPM ソフトウェア 承認証明書はハードウェア保護されています
HSM HSM すべての証明書はハードウェア保護されています
注:
ハードウェアTPMはユーザーキーには推奨されません。承認証明書キーにのみTPMを使用してください。FASサーバーを仮想化環境で実行する予定がある場合は、ハイパーバイザーベンダーにTPM仮想化がサポートされているか確認してください。

キー構成PowerShellコマンド

秘密キーの構成に関連するコマンドは次のとおりです:
  • Get-FasKeyConfig
  • Set-FasKeyConfig
  • Reset-FasKeyConfig
  • Test-FasKeyConfig
詳細については、PowerShell コマンドレットを参照してください。
認証およびユーザー証明書のキー構成は独立しており、CertificateType引数によって指定されます。たとえば、認証証明書 (RA 証明書) を要求するときに使用される秘密キー構成を取得するには、次の手順を実行します。
Get-FasKeyConfig -Address localhost -CertificateType ra
ユーザー証明書を要求するときに使用される秘密キー構成を取得するには、次の手順を実行します。
Get-FasKeyConfig -Address localhost -CertificateType user
Set-FasKeyConfig と Get-FasKeyConfig を使用して、次の秘密キープロパティを設定および検査できます。
プロパティ デフォルト コメント
長さ 2048 ビット単位のキー長。Microsoft テンプレート GUI では、暗号化タブで*最小*キーサイズが指定されていることに注意してください。FAS で構成されたキー長がテンプレートで指定された最小キーサイズよりも短い場合、CSR は CA によって拒否されます。
RSAキーの場合、長さは1024ビット、2048ビット、または4096ビットにすることができます。
ECCキーの場合、長さは256ビット、384ビット、または521ビットにすることができます。
エクスポート可能 フォールス 秘密鍵をそのプロバイダーからエクスポートできるかどうか。
プレフィックス なし FASによって生成される秘密鍵の識別子に追加するプレフィックスを指定します。生成される識別子は、プレフィックスとGUIDで構成されます。例えば、MyPrefix70277985-6908-4C6F-BE59-B08691456804。
楕円曲線 フォールス trueの場合、ECCキーペアが生成され、それ以外の場合はRSAキーペアが生成されます。
キー記憶域プロバイダー (KSP) 真 trueの場合、FASは最新のWindows CNG APIを使用し、ProviderプロパティでKSPを指定する必要があります。
falseの場合、FASはレガシーCAPI APIを使用し、Providerプロパティで暗号化サービスプロバイダー (CSP) を指定する必要があります。CitrixはKSPの使用を推奨します。
プロバイダー Microsoft ソフトウェア キー ストレージ プロバイダー キーペアが作成および保存されるプロバイダーの名前です。このプロパティを変更して、TPMまたはHSMを指定できます。HSMのKSP (またはCSP) はHSMベンダーによって提供されます。彼らはソフトウェアのインストール方法とプロバイダーの名前に関する指示を提供します。
CSPタイプ 24 KSPプロパティがfalseに設定されている場合にのみ関連します。
Microsoft KeyContainerPermissionAccessEntry.ProviderType Property PROV_RSA_AES 24を参照します。CSPを持つHSMを使用しており、HSMベンダーが別途指定しない限り、常に24である必要があります。
さらに、Set-FasKeyConfig は、便宜上、以下のスイッチとともに使用できます。
フラグ 説明
-UseDefaultSoftwareProvider Provider プロパティを Microsoft Software Key Storage Provider に、KSP フィールドを true に設定します。
-UseDefaultTpmProvider Provider プロパティを Microsoft Platform Crypto Provider に、KSP フィールドを true に設定します。
Microsoft Software Key Storage Provider は、通常、ディスク上にキーを作成および保存するために使用されるプロバイダーです。
Microsoft Platform Crypto Provider は、通常、TPM にキーを作成および保存するために使用されるプロバイダーです。
Get-FasKeyConfig は、どのプロバイダーとアルゴリズムが使用されているかを確認するのに役立つフィールドも提供します。
フィールド 意味
IsDefaultSoftwareProvider true の場合、プロバイダーが Microsoft Software Key Storage Provider に設定され、KSP フィールドが true に設定されていることを示します。
IsDefaultTpmProvider 「true」の場合、プロバイダーが「Microsoft Platform Crypto Provider」に設定され、「KSP」フィールドが「true」に設定されていることを示します。
アルゴリズム 「RSA」は、RSAキーが作成されることを示します（「EllipticCurve」プロパティは「false」です）。
「ECC」は、ECCキーが作成されることを示します（「EllipticCurve」プロパティは「true」です）。
Reset-FasKeyConfigを使用して、設定をデフォルトに戻すことができます。
Reset-FasKeyConfig -Address localhost -CertificateType ra
Reset-FasKeyConfig -Address localhost -CertificateType user
注：
秘密キー構成（Set-FasKeyConfigまたはReset-FasKeyConfigを使用）への変更は、新しく作成された証明書にすぐに適用されます。ただし、異なる構成を持つ既存の承認証明書およびユーザー証明書には影響しません。
既存の証明書は、管理コンソールからFASサービスを非承認にするか、FASの非承認とFAS証明書の削除のPowerShellコマンドを使用して削除できます。
現在のユーザーキー構成に準拠しないキープール内の事前生成されたキーはすべて破棄されます。

構成シナリオの例

各例では、既存の証明書は構成変更の影響を受けないため、FASサービスを承認する前に、提供されているPowerShellを使用してキー構成を設定してください。
誤ったキー構成の承認証明書またはユーザー証明書が既にある場合は、FAS証明書の検査とFASの非承認とFAS証明書の削除でそれらを削除できます。
FASサーバーがライブ展開にある場合は、構成変更を行う際にメンテナンスモードにすることを検討してくださいメンテナンスモード。

例1 - すべてのキーをMicrosoft Software Key Storage Providerに保存する

これはデフォルトであるため、追加の構成は必要ありません。
以前にキー構成を変更した場合は、以下のコマンドを使用して Microsoft Software Key Storage Provider の使用に戻すことができます。
Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultSoftwareProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider
Reset-FasKeyConfig を使用して Microsoft Software Key Storage Provider に戻し、さらに他のすべてのキー構成設定をデフォルトに復元できます。

例 2 - 認証証明書キーを TPM に保存する

この例では、FAS 認証証明書キーを TPM (物理または仮想) に保存し、ユーザー証明書キーは Microsoft Software Key Storage Provider に保存する方法を示します。
FAS は TPM で保護されたキーを持つユーザー証明書を生成できますが、大規模な展開では TPM ハードウェアが遅すぎたり、サイズが制限されたりする可能性があります。
次の PowerShell コマンドを使用します。
Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultTpmProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider

例 3 - すべてのキーを HSM に保存する

この例では、HSM を使用して認証証明書とユーザー証明書の両方の秘密キーを保存する方法を示します。この例では、構成済みの HSM を前提としています。HSM にはプロバイダー名があります。たとえば、HSM Vendor Key Storage Provider などです。
次の PowerShell コマンドを使用します (例のテキストを HSM のプロバイダーの実際の名前で置き換えてください)。
Set-FasKeyConfig -Address localhost -CertificateType ra -Provider "HSM Vendor Key Storage Provider"
Set-FasKeyConfig -Address localhost -CertificateType user -Provider "HSM Vendor Key Storage Provider"

例 4 - 楕円曲線キーを使用する

デフォルトでは、FAS は RSA キーを生成します。この例では、認証証明書とユーザー証明書の両方に楕円曲線 (ECC) キーが構成されています。
この例では、異なるキー長を使用しています。認証証明書は 384 ビットキーで構成され、ユーザー証明書は 256 ビットキーで構成されています。
Set-FasKeyConfig -Address localhost -CertificateType ra -EllipticCurve $true -Length 384
Set-FasKeyConfig -Address localhost -CertificateType user -EllipticCurve $true -Length 256
この時点では、FAS 証明書テンプレートの最小キーサイズがデフォルトで 1024 ビットに設定されているため、認証およびユーザー証明書要求が CA によって拒否される可能性があります。
したがって、この例では、テンプレートの最小キーサイズを次のように変更する必要があります。
  • Citrix_RegistrationAuthority_ManualAuthorization and Citrix_RegistrationAuthority: 最小キーサイズを384（またはそれ以下）に変更します
  • Citrix_SmartcardLogon: 最小キーサイズを256（またはそれ以下）に変更します
テンプレートを編集するには、mmc.exe を実行し、証明書テンプレートスナップインを追加します。テンプレートを見つけて、そのプロパティを開きます。最小キーサイズの設定は、テンプレートのプロパティの暗号化タブにあります。
注：
ECCキーを持つユーザー証明書は、Citrix Virtual Apps and Desktops 2411以降を実行しているWindows VDAでのみサポートされます。 ECCキーはLinux VDAではサポートされていません。

秘密キー構成のテスト

Set-FasKeyConfig コマンドは一部の検証を行いますが、無効なキー構成を設定することは依然として可能です。たとえば、HSMのプロバイダー名に誤りがある場合や、指定したキー長がハードウェアでサポートされていない場合があります。
コマンド Test-FasKeyConfig が役立ちます。これは、現在のキー構成を使用してキーペアの作成を試み、成功または失敗を報告します。失敗が発生した場合は、失敗の理由が示されます。成功した場合、キーペアはすぐに破棄されます。
次のPowerShellコマンドは、それぞれ認証とユーザーキー構成をテストします。
Test-FasKeyConfig -Address localhost -CertificateType ra
Test-FasKeyConfig -Address localhost -CertificateType user
FASサーバーを承認し、ルールを作成したら、次のようにユーザー証明書のテストCSRをさらに作成できます。
Test-FasCertificateSigningRequest -Address localhost -UserPrincipalName user@example.com -Rule default
<mailto:user@example.com/> をActive Directory展開からの実際のUPNに置き換えます。FASルールは通常defaultという名前です。ただし、設定した別のルールをテストしたい場合は、その名前を指定してください。
CSRが成功した場合、FASは結果の証明書を破棄します。

FAS証明書の検査

PowerShellを使用して、証明書のプロパティを検査し、関連する秘密キーがどこに保存されているかを判断できます。

承認証明書の検査

FAS管理コンソールで承認証明書リンクをクリックすると、承認証明書を確認できます。
承認証明書(/en-us/federated-authentication-service/2411/media/auth-cert-config.png)
ただし、より詳細な情報を得るにはPowerShellを使用します。
Get-FasAuthorizationCertificate -Address localhost -FullCertInfo
いくつかのフィールドが返されますが、その中にはPrivateKeyProviderも含まれており、証明書が作成および保存されたプロバイダーの表示が含まれています。
PrivateKeyProvider キーの保存場所
Microsoft ソフトウェア キー ストレージ プロバイダー キーはディスクに保存され、Microsoftのソフトウェアプロバイダーによって保護されています。
Microsoft プラットフォーム クリプト プロバイダー キーはTPM（物理または仮想）に保存されます。
HSM ベンダー キー ストレージ プロバイダー (例のみ) キーはHSMに保存されます（この例では、ベンダーのプロバイダーはHSM Vendor Key Storage Providerという名前です）。

ユーザー証明書の検査

FASサーバーにキャッシュされているすべてのユーザー証明書のリストを次のように取得できます。
Get-FasUserCertificate -Address localhost -KeyInfo $true
KeyInfo パラメーターを使用すると、出力に証明書に関連付けられた秘密キーに関する詳細情報が含まれます。特に、PrivateKeyProvider フィールドは、証明書に関連付けられたキーペアがどこに保存されているかを示します（この値の解釈については、前のセクションを参照してください）。
-UserPrincipalName のようなさまざまなオプションパラメーターを使用して、返される証明書のセットをフィルターできます。
コマンド出力の証明書フィールドは、PEMエンコードされたユーザー証明書です。テキストを .crt ファイルにコピーして、Windows証明書GUIを使用して次のように証明書を表示します。
コマンド 説明
$CertInfos = Get-FasUserCertificate -Address localhost このリストには複数のユーザー証明書が含まれている場合があります。
$CertInfo = $CertInfos[0] この例では、最初のユーザー証明書を選択します。
$CertInfo.Certificate > c:\temp\user.crt PEMデータを .crt ファイルにパイプします。
c:\temp\user.crt Windows GUI で .crt ファイルを開きます。

Citrix Virtual Apps and Desktops 2411より前のFASバージョンからのアップグレード

Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密キーのプロパティは、XMLファイルを編集して構成されていました。
%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config
これは、このドキュメントで説明されているPowerShellコマンドに置き換えられました。これらのコマンドは、より柔軟性があり、FASサーバーを再起動せずに適用できます。
さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。
秘密キーの構成に関連するXMLファイルの設定は、対応するPowerShellパラメーター（Get-FasKeyConfigおよびSet-FasKeyConfigで使用されているもの）とともに、次のようにリストされています。
XMLファイルの設定 XMLファイル内のデフォルト値 PowerShellの同等物 コメント
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength 2048 -長さ -
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection GenerateNonExportableKey -Exportable
-UseDefaultTpmProvider
  • NoProtection は、-Exportable を $true に設定することで実現されます
    -GenerateNonExportableKey は、-Exportable を $false に設定することで実現されます
    -GenerateTPMProtectedKey は、-UseDefaultTpmProvider スイッチを指定することで実現されます
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp フォールス -Ksp - ProviderLegacyCsp false は、-Ksp を $true に設定することで実現されます
-ProviderLegacyCsp true は、-Ksp を $false に設定することで実現されます。
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName - -プロバイダー -
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType - -CspType -
XML構成のデフォルトとPowerShellのデフォルトは機能的に同等です。つまり、デフォルトでは、このバージョンおよびCitrix Virtual Apps and Desktops 2411以前のバージョンでFASによって生成されたキーペアのプロパティは同じです。
したがって、XML構成ファイルで上記のいずれの設定も変更していない場合は、FASをアップグレードする際に何もアクションを実行する必要はありません。
ただし、上記のいずれかの設定を変更した場合は、次のようにFASをアップグレードしてください。
  • FASをメンテナンスモードにします。メンテナンスモード。
  • FAS インストーラーを実行するだけで、FAS をその場でアップグレードします。アップグレードが完了すると、以前の設定はすべて XML ファイルに存在しなくなり、XML ファイルで構成することはできません。
  • キー構成 PowerShell コマンド で説明されているように、PowerShell コマンド Set-FasKeyConfig を使用して、FAS プライベートキー構成を希望どおりに設定します。認証およびユーザー証明書に必要な設定を検討してください。
  • プライベートキー構成のテスト で説明されているように、構成をテストします
  • FAS サーバーをメンテナンスモードから解除します
次回アップグレードする際には、FAS プライベートキー構成設定は保持され、特別な操作を行う必要はありません。

暗号化リモート処理

FAS ユーザー証明書に関連付けられた秘密キーは、VDA に転送されることはありません。代わりに、VDA がユーザーの FAS 証明書を VDA へのサインインまたはセッション内での使用のために必要とする場合、暗号化要求は FAS サーバーにリモート処理されます。これにより、秘密キーが FAS キー ストレージ (ソフトウェア ストレージ、TPM、HSM のいずれであっても) から離れることがないため、セキュリティが向上します。
Windows VDA では、これは VDA 上のプロバイダーのペアを使用することで実現されます。暗号化要求を行うアプリケーションまたはオペレーティングシステムコードは、操作が FAS サーバーにリモート処理されていることを認識しません。
Citrix Virtual Apps and Desktops 2411 より前は、プロバイダーは Cryptographic Service Providers (CSPs) であり、アプリケーションおよびオペレーティングシステムコードのアクセスは、古い Windows CAPI API を介して行われていました。プロバイダーは次のとおりでした。
  • CitrixLogonCsp.dll: VDA へのシングルサインオン用
  • CitrixVirtualSmartcardCsp.dll: セッション内証明書用
Citrix Virtual Apps and Desktops 2411 以降、追加の Key Storage Providers (KSPs) が VDA に提供されます。アプリケーションおよびオペレーティングシステムコードは、新しい Windows CNG API を使用してこれらにアクセスします。新しいプロバイダーは次のとおりです。
  • CitrixLogonKsp.dll: VDA へのシングルサインオン用
  • CitrixVirtualSmartcardKsp.dll: セッション内証明書用
KSP は、Windows アプリケーションに暗号化操作を公開するための、より最新の方法であり、より多くの機能を提供します。例:
  • ECCキーを持つ証明書がサポートされています
  • 確率的署名方式 (PSS) パディングがサポートされています
FASとVDAの両方がCitrix Virtual Apps and Desktops 2411以降を実行している場合、KSPリモート処理（つまり、新しいKSPを介したリモート処理）が使用されます。そうでない場合、システムは古いCSPを使用してリモート処理を行うようにフォールバックします。

KSPリモート処理の無効化

互換性の問題が発生した場合、KSPリモート処理を無効にして、常に古いCSPリモート処理を使用できるようにすることが可能です。
次のPowerShellを使用します。
Set-FasServer -Address localhost -KspRemoting $false

メンテナンスモード

稼働中の FASサーバーの構成に変更を加える際は、メンテナンスモードにすることを検討してください。
FASがメンテナンスモードの場合、以下が適用されます。
  • Workspace または StoreFront™ が公開アプリケーションまたはデスクトップの起動シーケンスの一部としてFASを呼び出すと、FASはメンテナンスモードであることを示します。呼び出し元は、別のFASサーバーを選択することでこれに対応する必要があります。
  • 追加の予防措置として、FASはメンテナンスモード中にユーザー証明書の自動作成を許可しません。これにより、意図しない設定でのユーザー証明書の誤った作成が回避されます。
  • ただし、VDAサインインやセッション内での使用など、既存のユーザー証明書に関わるアクティビティは引き続き許可されます。
自動ユーザー証明書作成は許可されていませんが、管理者は New-FasUserCertificate や Test-FasCertificateSigningRequest などのPowerShellコマンドを使用してユーザー証明書を作成できます。

管理コンソールの使用

メンテナンスモード

PowerShellの使用

FASサーバーをメンテナンスモードにするには、次のようにします。
Set-FasServer -Address localhost -MaintenanceMode $true
FASサーバーをメンテナンスモードから解除し（通常の操作に戻す）、次のようにします。
Set-FasServer -Address localhost -MaintenanceMode $false

関連情報