セキュリティとネットワーク構成
Federated Authentication Service (FAS) は、Microsoft Active Directory および Microsoft 証明機関と密接に統合されています。ドメインコントローラーやその他の重要なインフラストラクチャと同様に、システムが適切に管理および保護されるように、セキュリティポリシーを策定してください。
このドキュメントでは、FAS を展開する際に考慮すべきセキュリティ問題の概要を説明します。また、インフラストラクチャのセキュリティ保護に役立つ利用可能な機能の概要も説明します。
ネットワークアーキテクチャ
次の図は、FAS 展開で使用される主要なコンポーネントとセキュリティ境界を示しています。
FAS サーバーは、証明機関およびドメインコントローラーとともに、セキュリティ上重要なインフラストラクチャの一部です。フェデレーション環境では、Citrix Gateway と Citrix StoreFront がユーザー認証を実行するコンポーネントです。その他の Citrix Virtual Apps and Desktops™ コンポーネントは、FAS の導入による影響を受けません。
ファイアウォールとネットワークセキュリティ
ポート 443 経由の TLS は、Citrix Gateway、StoreFront、および Delivery Controller™ コンポーネント間の通信を保護します。StoreFront サーバーは送信接続のみを実行し、Citrix Gateway は HTTPS ポート 443 を使用してインターネット経由の接続のみを受け入れます。
StoreFront サーバーは、相互認証された Kerberos を使用してポート 80 経由で FAS サーバーに接続します。認証には、FAS サーバーの Kerberos HOST/fqdn ID と、StoreFront サーバーの Kerberos マシンアカウント ID が使用されます。この認証方法により、Citrix Virtual Delivery Agent (VDA) がユーザーをログオンするために必要な、1回限りの「資格情報ハンドル」が生成されます。
HDX セッションが VDA に接続されると、VDA もポート 80 経由で FAS サーバーに接続します。認証には、FAS サーバーの Kerberos HOST/fqdn ID と、VDA の Kerberos マシン ID が使用されます。また、VDA は証明書と秘密キーにアクセスするために「資格情報ハンドル」を提供する必要があります。
Microsoft 証明機関は、Kerberos 認証された DCOM を使用した通信を受け入れます。これは、固定 TCP ポートを使用するように構成できます。証明機関は、信頼された登録エージェント証明書によって署名された CMC パケットを FAS サーバーが提供することを要求します。
| サーバー | ファイアウォールポート |
|---|---|
| フェデレーション認証サービス | [in] StoreFront™およびVDAからのKerberos over HTTP、[out] Microsoft証明機関へのDCOM |
| シトリックス ゲートウェイ | [in] クライアントマシンからのHTTPS、[in/out] StoreFrontサーバーへの/からのHTTPS、[out] VDAへのHDX |
| StoreFront | [in] シトリックス ゲートウェイからのHTTPS、[out] デリバリーコントローラーへのHTTPS、[out] FASへのKerberos HTTP |
| デリバリーコントローラー | [in] StoreFrontサーバーからのHTTPS、[in/out] VDAからのKerberos over HTTP |
| VDA | [in/out] デリバリーコントローラーからのKerberos over HTTP、[in] シトリックス ゲートウェイからのHDX、[out] FASへのKerberos HTTP |
| Microsoft証明機関 | [in] FASからのDCOMおよび署名 |
シトリックス フェデレーテッド認証サービスとシトリックス クラウド™間の接続
コンソールとFASは、それぞれユーザーアカウントとネットワークサービスアカウントを使用して、次のアドレスにアクセスします。
-
ユーザーアカウントでのFAS管理コンソール
-
*.cloud.com -
*.citrixworkspacesapi.net -
お使いの環境でサードパーティのIDプロバイダーを使用している場合に必要となるアドレス
-
-
ネットワークサービスアカウント下のFASサービス:
-
*.citrixworkspacesapi.net -
*.citrixnetworkapi.net
-
お使いの環境にプロキシサーバーが含まれている場合、FAS管理コンソールのアドレスでユーザープロキシを構成します。また、ネットワークサービスアカウントのアドレスがnetshまたは同様のツールを使用して構成されていることを確認してください。
セキュリティに関する考慮事項
FASには、ドメインユーザーに自律的に証明書を発行できる登録機関証明書があります。これは、FASサーバーを保護し、その権限を制限するためのセキュリティポリシーを開発および実装するのに役立ちます。
委任された登録エージェント
FASは登録エージェントとして機能することでユーザー証明書を発行します。Microsoft証明機関では、登録エージェント、証明書テンプレート、および登録エージェントが証明書を発行できるユーザーを制限できます。
登録エージェントダイアログ(/en-us/federated-authentication-service/2411/media/delegated-enrollment-agents.png)
指定されたダイアログを使用して、以下を確認できます:
-
登録エージェントリストにはFASサーバーのみが含まれています。
-
証明書テンプレートリストにはFASテンプレートのみが含まれています。
-
権限リストには、FASの使用が許可されているユーザーが含まれています。たとえば、管理者または保護されたユーザーグループに証明書を発行しないことをお勧めします。
アクセス制御リストの構成
「ルールを構成する」セクションで説明されているように、StoreFrontサーバーのリストを構成する必要があります。これらのStoreFrontサーバーは、証明書が発行される際にFASにユーザーIDをアサートします。同様に、どのユーザーに証明書が発行されるか、およびどのVDAマシンに認証できるかを制限できます。この機能は、構成する標準のActive Directoryまたは証明機関のセキュリティ機能に追加されるものです。
ファイアウォール設定
FASサーバーへのすべての通信は、ポート80を介した相互認証されたWindows Communication Foundation (WCF) Kerberosネットワーク接続を使用します。
イベントログの監視
FASとVDAはWindowsイベントログに情報を書き込みます。このログは、監視および監査情報に使用できます。「イベントログ」セクションには、生成可能なイベントログエントリが一覧表示されています。
ハードウェアセキュリティモジュール
FASによって発行されたユーザー証明書キーを含むすべての秘密キーは、Network Serviceアカウントによってエクスポート不可能な秘密キーとして保存されます。セキュリティポリシーで必要とされる場合、FASは暗号化ハードウェアセキュリティモジュールの使用をサポートします。
PowerShellコマンドを使用して、低レベルの暗号化構成を利用できます。FAS承認証明書の秘密キーとユーザー証明書キーには、異なる設定を使用できます。詳細については、「秘密キーの保護」を参照してください。
管理者の責任
環境の管理は、次のグループに分けられます。
| 名前 | 責任 |
|---|---|
| エンタープライズ管理者 | フォレスト内の証明書テンプレートをインストールして保護する |
| ドメイン管理者 | グループポリシー設定を構成する |
| 証明機関管理者 | 証明機関を構成する |
| FAS管理者 | FASサーバーをインストールして構成する |
| StoreFront/Citrix Gateway管理者 | ユーザー認証を構成する |
| シトリックス バーチャル デスクトップ™ 管理者 | VDAとControllerを構成する |
各管理者は、全体的なセキュリティモデルの異なる側面を制御し、システムを保護するための多層防御アプローチを可能にします。
グループポリシー設定
信頼されたFASマシンは、グループポリシーを通じて構成された「インデックス番号 -> FQDN」のルックアップテーブルによって識別されます。FASサーバーに接続する際、クライアントはFASサーバーの
HOST\<fqdn> Kerberos IDを検証します。FASサーバーにアクセスするすべてのサーバーは、同じインデックスに対して同一のFQDN構成を持つ必要があります。そうでない場合、StoreFrontとVDAは異なるFASサーバーに接続する可能性があります。
Citrixでは、誤った構成を避けるため、環境内のすべてのマシンに単一のポリシーを適用することを推奨しています。FASサーバーのリストを変更する際は、特にエントリの削除や並べ替えを行う場合に注意してください。
このGPOの制御は、FASサーバーをインストールおよび廃止するFAS管理者（および/またはドメイン管理者）に限定する必要があります。FASサーバーを廃止した直後にマシンのFQDN名を再利用しないように注意してください。
証明書テンプレート
FAS に付属の Citrix_SmartcardLogon 証明書テンプレートを使用しない場合は、そのコピーを変更できます。以下の変更がサポートされています。
証明書テンプレートの名前を変更する
Citrix_SmartcardLogon の名前を組織のテンプレート命名標準に合わせる場合は、次の操作を行う必要があります。
-
証明書テンプレートのコピーを作成し、組織のテンプレート命名標準に合わせて名前を変更します。
-
管理ユーザーインターフェイスではなく、FAS PowerShell コマンドを使用して FAS を管理します。(管理ユーザーインターフェイスは、Citrix のデフォルトテンプレート名でのみ使用することを目的としています。)
-
Microsoft MMC 証明書テンプレートスナップインまたは Publish-FasMsTemplate コマンドを使用してテンプレートを公開し、
-
New-FasCertificateDefinition コマンドを使用して、テンプレート名で FAS を構成します。
-
全般プロパティを変更する
デフォルトでは、ユーザー証明書の有効期間は 7 日間です。証明書テンプレートで有効期間を変更できます。
更新期間は変更しないでください。FAS は証明書テンプレートのこの設定を無視します。FAS は、有効期間の途中で証明書を自動的に更新します。
要求処理プロパティを変更する
これらのプロパティは変更しないでください。FAS は証明書テンプレートのこれらの設定を無視します。FAS は常に 秘密キーのエクスポートを許可する の選択を解除し、同じキーで更新する の選択を解除します。
暗号化プロパティを変更する
これらのプロパティは変更しないでください。FAS は証明書テンプレートのこれらの設定を無視します。
FAS が提供する同等の設定については、秘密鍵の保護 を参照してください。
キー構成証明プロパティの変更
これらのプロパティは変更しないでください。FAS はキー構成証明をサポートしていません。
廃止されたテンプレートプロパティの変更
これらのプロパティは変更しないでください。FAS はテンプレートの廃止をサポートしていません。
拡張プロパティの変更
これらの設定は、組織のポリシーに合わせて変更できます。
注:
不適切な拡張設定は、セキュリティ上の問題を引き起こしたり、使用できない証明書になったりする可能性があります。
セキュリティプロパティの変更
Citrix では、これらの設定を変更して、FAS サーバーのマシンアカウントのみに読み取りおよび登録のアクセス許可を付与することをお勧めします。FAS サービスは、その他のアクセス許可を必要としません。ただし、他の証明書テンプレートと同様に、次のことができます。
-
管理者がテンプレートを読み取りまたは書き込みできるようにする
-
認証されたユーザーがテンプレートを読み取れるようにする
サブジェクト名プロパティの変更
Citrix は、これらのプロパティを変更しないことをお勧めします。
テンプレートで Build from this Active Directory information が選択されているため、証明機関はユーザーの SID を証明書拡張機能に含め、ユーザーの Active Directory アカウントへの強力なマッピングを提供します。
サーバープロパティの変更
Citrix は推奨しませんが、必要に応じて、組織のポリシーに合わせてこれらの設定を変更できます。
発行要件プロパティの変更
これらの設定は変更しないでください。これらの設定は、次のようにする必要があります。
互換性プロパティの変更
これらの設定は変更できます。設定は少なくとも Windows Server 2003 CAs (スキーマバージョン 2) である必要があります。ただし、FAS は Windows Server 2008 以降の CA のみをサポートします。また、上記で説明したように、FAS は Windows Server 2008 CAs (スキーマバージョン 3) または Windows Server 2012 CAs (スキーマバージョン 4) を選択することで利用できる追加設定を無視します。
証明機関の管理
証明機関管理者は、証明機関サーバーの構成と、それが使用する発行証明書の秘密キーに責任を負います。
テンプレートの公開
証明機関がエンタープライズ管理者によって提供されたテンプレートに基づいて証明書を発行するには、証明機関管理者がそのテンプレートを公開することを選択する必要があります。
簡単なセキュリティ対策としては、FAS サーバーのインストール時に登録機関証明書テンプレートのみを公開するか、完全にオフラインの発行プロセスを要求することです。いずれの場合も、証明機関管理者は登録機関証明書要求の承認を完全に制御し、FAS サーバーを承認するためのポリシーを持つ必要があります。
ファイアウォール設定
証明機関管理者は、証明機関のネットワークファイアウォール設定を制御し、受信接続を制御できます。証明機関管理者は、FASサーバーのみが証明書を要求できるように、DCOM TCPおよびファイアウォール規則を構成できます。
登録の制限
デフォルトでは、登録機関証明書の所有者であれば誰でも、アクセスを許可する任意の証明書テンプレートを使用して、任意のユーザーに証明書を発行できます。この証明書の発行は、「登録エージェントを制限する」証明機関プロパティを使用して、非特権ユーザーのグループに制限する必要があります。
ポリシーモジュールと監査
高度な展開の場合、カスタムセキュリティモジュールを使用して、証明書の発行を追跡し、拒否することができます。
FAS管理
FASにはいくつかのセキュリティ機能があります。
ACLを介したStoreFront、ユーザー、およびVDAの制限
FASセキュリティモデルの中心にあるのは、どのKerberosアカウントが機能にアクセスできるかの制御です。
| アクセスベクター | 説明 |
|---|---|
| StoreFront [IdP] | これらのKerberosアカウントは、ユーザーが正しく認証されたことを宣言するために信頼されています。これらのアカウントのいずれかが侵害された場合、FASの構成によって許可されたユーザーに対して証明書が作成され、使用される可能性があります。 |
| VDA [Relying party] | これらのマシンは、証明書と秘密鍵にアクセスすることを許可されています。IdPによって取得された資格情報ハンドルも必要であるため、このグループ内の侵害されたVDAアカウントがシステムを攻撃できる範囲は限られています。 |
| ユーザー | このオプションは、どのユーザーがIdPによってアサートされるかを制御します。証明機関の「制限付き登録エージェント」構成オプションと重複する点があることに注意してください。一般的に、このリストには非特権アカウントのみを含めることをお勧めします。これにより、侵害されたStoreFrontアカウントがより高い管理レベルに特権を昇格させることを防ぎます。特に、ドメイン管理者アカウントは、このACLによって許可されてはなりません。 |
ルールの構成
複数の独立したCitrix Virtual Apps™またはCitrix Virtual Desktops展開が同じFASサーバーインフラストラクチャを使用する場合、ルールは役立ちます。各ルールには個別の構成オプションセットがあり、特にKerberosアクセス制御リスト（ACL）は個別に構成できます。
証明機関とテンプレートの構成
異なるアクセス権限に対して、異なる証明書テンプレートとCAを構成できます。高度な構成では、環境に応じて、より強力な証明書またはより強力でない証明書を使用することを選択できます。たとえば、「外部」として識別されたユーザーは、「内部」ユーザーよりも少ない特権を持つ証明書を持つことができます。
セッション内証明書と認証証明書
FAS管理者は、認証に使用される証明書がユーザーのセッションで使用可能であるかどうかを制御できます。 例えば、ユーザーはセッション内で「署名」証明書のみを利用可能にでき、より強力な「ログオン」証明書はログオン時にのみ使用されます。
秘密鍵の保護と鍵長
FAS管理者は、秘密鍵をハードウェアセキュリティモジュール（HSM）またはトラステッドプラットフォームモジュール（TPM）に保存するようにFASを構成できます。Citrixは、少なくともFAS承認証明書の秘密鍵をTPMに保存して保護することを推奨しています。
同様に、ユーザー証明書の秘密鍵はTPMまたはHSMに保存できます。すべての鍵はエクスポート不可として生成され、RSAを使用する場合は少なくとも2048ビットの長さである必要があります。
注：
FASはユーザー証明書鍵をTPMまたはHSMで生成および保存できますが、大規模な展開ではハードウェアが遅すぎたり、サイズが制約されたりする可能性があります。
詳細については、「秘密鍵の保護」を参照してください。
イベントログ
FASサーバーは、監査および侵入検知に使用できる詳細な構成およびランタイムのイベントログを提供します。
管理アクセスと管理ツール
FASには、リモート管理機能（相互認証Kerberos）とツールが含まれています。「ローカル管理者グループ」のメンバーは、FAS構成を完全に制御できます。FAS構成は適切に維持する必要があります。
シトリックス バーチャル アプリ、シトリックス バーチャル デスクトップ、およびVDA管理者
FASの使用は、FASの「資格情報ハンドル」が「Active Directoryパスワード」を単に置き換えるため、Delivery ControllerおよびVDA管理者のセキュリティモデルを変更しません。ControllerおよびVDA管理グループには、信頼できるユーザーのみを含める必要があります。監査およびイベントログは維持する必要があります。
一般的なWindowsサーバーのセキュリティ
すべてのサーバーは完全にパッチが適用され、標準のファイアウォールおよびウイルス対策ソフトウェアが利用可能である必要があります。セキュリティ上重要なインフラストラクチャサーバーは、物理的に安全な場所に保管し、ディスク暗号化と仮想マシンのメンテナンスオプションに注意を払う必要があります。
監査およびイベントログは、リモートマシンに安全に保存する必要があります。
RDPアクセスは、承認された管理者に限定する必要があります。Citrixは、ユーザーアカウント、特に証明機関およびドメイン管理者アカウントに対して、スマートカードログオンを推奨しています。