秘密キーの保護

最終公開日 : Oct 24, 2026
Related information
高度な構成

はじめに

FAS証明書は、FASサーバー上の組み込みデータベースに保存されます。FAS証明書に関連付けられた秘密キーは、FASサーバーのネットワークサービスアカウントの下に保存されます。デフォルトでは、キーはエクスポート不可の2048ビットRSAであり、Microsoftソフトウェアキーストレージプロバイダーで作成および保存されます。
FAS PowerShellコマンド PowerShell cmdlets を使用して、秘密キーのプロパティと保存場所を変更できます。
注：
FASの構成と証明書はFASサーバーにローカルに保存されます。データはFASサーバー間で共有されません。
Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密キーのプロパティは%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config.のXMLファイルを編集することで構成されていました。 これはPowerShellコマンドに置き換えられ、より柔軟性があり、FASサーバーを再起動せずに適用できます。 さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。 したがって、以下の設定に対するXMLファイルを使用した構成はサポートされなくなりました。
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength
「Citrix Virtual Apps and Desktops™ 2411より前のFASバージョンからのアップグレード」のセクションを参照してください。

FAS証明書とテンプレートに関する情報

FASが保持する証明書には2種類あります。通常1つ存在する承認証明書と、ユーザー証明書です。
注:
FAS承認証明書は、登録機関または要求エージェント (RA) 証明書と呼ばれることもあります。
FASは、証明書を要求する際に証明書テンプレートを使用します。これについては、次のセクションで説明します。FASは証明書要求でテンプレートの名前を指定しますが、テンプレートの内容は読み取りません。したがって、テンプレートの設定を変更しても、FASが行う証明書要求には影響しません。テンプレートの特定のプロパティを変更すると、CAによって生成される証明書に影響します。たとえば、テンプレートを使用して有効期間を変更できます。

FAS承認証明書

この証明書は、FASを構成するときに作成されます。FAS管理コンソールの承認または再承認ボタンを使用して、新しい承認証明書を要求できます。
PowerShellコマンドを使用することもでき、より柔軟に対応できます。
  • New-FasAuthorizationCertificate: このコマンドはFAS管理コンソールと同様に動作しますが、承認プロセスで使用する証明書テンプレートを指定できます。
  • New-FasAuthorizationCertificateRequest: このコマンドは、承認証明書のオフライン要求を作成します。オフライン承認。
FASがユーザーに代わって証明書を要求する登録機関として機能するため、承認証明書はRA証明書と呼ばれることもあります。この証明書には、FASユーザー証明書を要求する際の承認資格情報として使用できる拡張キー使用法証明書要求エージェントがあります。
デフォルトでは、承認プロセスは次のテンプレートを使用します。
  • Citrix_RegistrationAuthority_ManualAuthorization: このテンプレートを使用して作成された証明書は一時的で短命であり、承認プロセスをブートストラップするために使用されます。
  • Citrix_RegistrationAuthority: このテンプレートを使用して作成された証明書は有効期間が長く、FASサーバーに保存されます。
FASを承認すると、次の手順が実行されます。
  1. FASはキーペアを作成し、キーペアの公開キーとテンプレートCitrix_RegistrationAuthority_ManualAuthorizationを指定して、証明書署名要求 (CSR) をCAに送信します。
  2. テンプレートの発行要件では、CSRはCA管理者によって手動で承認される必要があると指定されています。
  3. CA管理者がCSRを承認すると、CAはFASが取得する証明書を作成します。この証明書は有効期間が1日と短く、次のステップでのみ使用されます。使用後、FASはこの証明書とそのキーペアを破棄します。
  4. FASは別のキーペアを作成し、このキーペアの公開鍵とテンプレートCitrix_RegistrationAuthorityを指定して、2番目のCSRをCAに送信します。この要求は、前のステップの証明書によって承認され、署名されます。
  5. CAは自動的に証明書を発行し、FASはその証明書を取得し、FASはこれで承認済みとなります。デフォルトでは、この承認証明書の有効期間は2年間です。
前述のキーペアを作成するために使用された設定は、このPowerShellコマンドを使用して表示できます。
Get-FasKeyConfig -Address localhost -CertificateType ra

FASユーザー証明書

FASは、ユーザーをVDAにサインインさせるためのユーザー証明書を作成します。
FASがユーザー証明書を作成する際、以下の手順が実行されます。
  • FASはキーペアを作成し、キーペアの公開鍵、ユーザーのID、およびデフォルトでテンプレートCitrix_SmartcardLogon（使用されるテンプレートは構成可能）を指定して、CSRをCAに送信します。
  • CSRはFAS承認証明書を使用して署名されます。
  • Citrix_SmartcardLogonテンプレートには発行要件Application Policy: Certificate Request Agentがあります。この属性はFAS承認証明書に存在するため、CAはユーザー証明書を自動的に発行します。
  • FASは証明書を取得し、FASサーバー上の組み込みデータベースに保存します。
  • デフォルトでは、証明書の有効期間は1週間です。
その後、ユーザー証明書はVDAで利用可能になり、ユーザーをサインインさせます。
前述のキーペアを作成するために使用された設定は、以下のPowerShellコマンドを使用して表示できます。
Get-FasKeyConfig -Address localhost -CertificateType user

秘密鍵の保存オプション

FASは、キーペアを3つのカテゴリのストレージに作成および保存するように構成できます。
  • ソフトウェア: 通常、Microsoft Software Key Storage Providerを使用します。これはソフトウェアのみで保護されており、データはディスクに保存されます。
  • Trusted Platform Module (TPM): TPMは、コンピューター上の物理ハードウェアであるか、ハイパーバイザーによって提供される仮想TPMである場合があります。
  • Hardware Security Module (HSM): これは、暗号化キーを安全に保存するように設計されたハードウェア周辺機器またはネットワークデバイスです。
注:
考慮すべきトレードオフがあります。ハードウェアストレージはより安全である可能性がありますが、特に多数のユーザー証明書キーペアを作成および保存する場合、パフォーマンスが低下することがよくあります。
FAS承認証明書に関連付けられた秘密鍵は特に機密性が高く、証明書のポリシーにより、秘密鍵を所有する者は誰でも任意のユーザーの証明書要求を承認できるためです。結果として、この鍵を制御する者は誰でも任意のユーザーとして環境に接続できます。
注:
Microsoft CAは、証明書を発行できるユーザーのセットを含め、FAS承認証明書の権限を制限するように構成できます。委任された登録エージェントを参照してください。
このため、FASでは、承認証明書とユーザー証明書の秘密鍵プロパティを個別に構成できます。
一般的な構成をいくつか示します。
承認証明書キー ユーザー証明書キー コメント
ソフトウェア ソフトウェア 既定の構成
TPM ソフトウェア 承認証明書はハードウェア保護されています
HSM HSM すべての証明書はハードウェア保護されています
注:
ハードウェアTPMはユーザーキーには推奨されません。承認証明書キーにのみTPMを使用してください。仮想化環境でFASサーバーを実行する予定がある場合は、ハイパーバイザーベンダーにTPM仮想化がサポートされているか確認してください。

キー構成PowerShellコマンド

秘密キーの構成に関連するコマンドは次のとおりです:
  • Get-FasKeyConfig
  • Set-FasKeyConfig
  • Reset-FasKeyConfig
  • Test-FasKeyConfig
詳細については、PowerShell コマンドレットを参照してください。
承認証明書とユーザー証明書のキー構成は独立しており、CertificateType引数で指定されます。たとえば、承認証明書 (RA 証明書) を要求するときに使用される秘密キー構成を取得するには、次のようにします。
Get-FasKeyConfig -Address localhost -CertificateType ra
ユーザー証明書を要求するときに使用される秘密キー構成を取得するには、次のようにします。
Get-FasKeyConfig -Address localhost -CertificateType user
Set-FasKeyConfig と Get-FasKeyConfig を使用して、次の秘密キープロパティを設定および検査できます。
プロパティ デフォルト コメント
長さ 2048 ビット単位のキー長。Microsoft テンプレート GUI では、暗号化タブで*最小*キーサイズが指定されていることに注意してください。FAS で構成されたキー長がテンプレートで指定された最小キーサイズよりも短い場合、CSR は CA によって拒否されます。
RSAキーの場合、長さは1024ビット、2048ビット、または4096ビットにできます。
ECCキーの場合、長さは256ビット、384ビット、または521ビットにできます。
エクスポート可能 偽 秘密キーをそのプロバイダーからエクスポートできるかどうか。
プレフィックス なし FASによって生成される秘密キーの識別子に追加するプレフィックスを指定します。生成される識別子は、プレフィックスとGUIDで構成されます。例: MyPrefix70277985-6908-4C6F-BE59-B08691456804。
楕円曲線 偽 trueの場合、ECCキーペアが生成され、それ以外の場合はRSAキーペアが生成されます。
キー記憶域プロバイダー (KSP) 真 「true」の場合、FAS は最新の Windows CNG API を使用し、Provider プロパティで KSP を指定する必要があります。
「false」の場合、FAS はレガシー CAPI API を使用し、Provider プロパティで暗号化サービスプロバイダー (CSP) を指定する必要があります。Citrix では KSP の使用を推奨しています。
プロバイダー マイクロソフト ソフトウェア キーストレージプロバイダー キーペアが作成および保存されるプロバイダーの名前。このプロパティを変更して、TPM または HSM を指定できます。HSM の KSP (または CSP) は HSM ベンダーによって提供されます。ベンダーは、ソフトウェアのインストール方法とプロバイダーの名前に関する指示を提供します。
CSPタイプ 24 KSP プロパティが「false」に設定されている場合にのみ関連します。
Microsoft KeyContainerPermissionAccessEntry.ProviderType Property PROV_RSA_AES 24を参照してください。CSP を備えた HSM を使用しており、HSM ベンダーが別途指定しない限り、常に 24 である必要があります。
さらに、Set-FasKeyConfig は、便宜のために提供されている以下のスイッチとともに使用できます。
フラグ 説明
-UseDefaultSoftwareProvider Provider プロパティを Microsoft Software Key Storage Provider に設定し、KSP フィールドを true に設定します。
-UseDefaultTpmProvider Provider プロパティを Microsoft Platform Crypto Provider に設定し、KSP フィールドを true に設定します。
Microsoft Software Key Storage Provider は、通常、ディスク上にキーを作成および保存するために使用されるプロバイダーです。
Microsoft Platform Crypto Provider は、通常、TPM にキーを作成および保存するために使用されるプロバイダーです。
Get-FasKeyConfig は、どのプロバイダーとアルゴリズムが使用されているかを確認するのに役立つフィールドも提供します。
フィールド 意味
IsDefaultSoftwareProvider true の場合、プロバイダーが Microsoft Software Key Storage Provider に設定されており、KSP フィールドが true に設定されていることを示します。
IsDefaultTpmProvider 「true」の場合、プロバイダーが Microsoft Platform Crypto Provider に設定され、KSP フィールドが true に設定されていることを示します。
アルゴリズム RSA は、RSAキーが作成されることを示します（EllipticCurve プロパティは false です）。
ECC は、ECCキーが作成されることを示します（EllipticCurve プロパティは true です）。
Reset-FasKeyConfig を使用して、設定をデフォルトに戻すことができます。
Reset-FasKeyConfig -Address localhost -CertificateType ra
Reset-FasKeyConfig -Address localhost -CertificateType user
注：
秘密キーの構成（Set-FasKeyConfig または Reset-FasKeyConfig を使用）への変更は、新しく作成された証明書にすぐに適用されます。ただし、異なる構成の既存の承認証明書およびユーザー証明書には影響しません。
既存の証明書は、管理コンソールからFASサービスを非承認にするか、FASの非承認とFAS証明書の削除 のPowerShellコマンドを使用して削除できます。
現在のユーザーキー構成に準拠しないキープール内の事前生成されたキーはすべて破棄されます。

構成シナリオの例

各例では、既存の証明書は構成変更の影響を受けないため、FASサービスを承認する前に、提供されているPowerShellを使用してキー構成を設定してください。
誤ったキー構成の承認証明書またはユーザー証明書が既にある場合は、FAS証明書の検査 および FASの非承認とFAS証明書の削除 を使用してそれらを削除できます。
FASサーバーがライブ展開環境にある場合は、構成変更を行う際にメンテナンスモードにすることを検討してください メンテナンスモード。

例1 - すべてのキーをMicrosoft Software Key Storage Providerに保存する

これはデフォルトであるため、追加の構成は必要ありません。
以前にキー構成を変更した場合は、次のコマンドを使用してMicrosoft Software Key Storage Providerに戻すことができます。
Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultSoftwareProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider
Reset-FasKeyConfigを使用してMicrosoft Software Key Storage Providerに戻し、さらに他のすべてのキー構成設定をデフォルトに復元できます。

例2 - 承認証明書キーをTPMに保存する

この例では、FAS承認証明書キーをTPM（物理または仮想）に保存し、ユーザー証明書キーをMicrosoft Software Key Storage Providerに保存する方法を示します。
FASはTPMで保護されたキーを持つユーザー証明書を生成できますが、大規模な展開ではTPMハードウェアが遅すぎたり、サイズが制限されたりする可能性があります。
次のPowerShellコマンドを使用します。
Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultTpmProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider

例3 - すべてのキーをHSMに保存する

この例では、HSMを使用して承認証明書とユーザー証明書の秘密キーの両方を保存する方法を示します。この例では、構成済みのHSMを前提としています。HSMにはプロバイダー名があります。たとえば、HSM Vendor Key Storage Providerなどです。
次のPowerShellコマンドを使用します（例のテキストをHSMのプロバイダーの実際の名前で置き換えてください）。
Set-FasKeyConfig -Address localhost -CertificateType ra -Provider "HSM Vendor Key Storage Provider"
Set-FasKeyConfig -Address localhost -CertificateType user -Provider "HSM Vendor Key Storage Provider"

例4 - 楕円曲線キーを使用する

デフォルトでは、FASはRSAキーを生成します。この例では、承認証明書とユーザー証明書の両方に楕円曲線（ECC）キーが構成されています。
この例では、異なるキー長を使用しています。承認証明書は384ビットキーで構成され、ユーザー証明書は256ビットキーで構成されています。
Set-FasKeyConfig -Address localhost -CertificateType ra -EllipticCurve $true -Length 384
Set-FasKeyConfig -Address localhost -CertificateType user -EllipticCurve $true -Length 256
この時点では、FAS証明書テンプレートの最小キーサイズがデフォルトで1024ビットに設定されているため、承認およびユーザー証明書要求がCAによって拒否される可能性があります。
したがって、この例では、テンプレートの最小キーサイズを次のように変更する必要があります。
  • Citrix_RegistrationAuthority_ManualAuthorization and Citrix_RegistrationAuthority: 最小キーサイズを384（またはそれ以下）に変更する
  • Citrix_SmartcardLogon: 最小キーサイズを256（またはそれ以下）に変更する
テンプレートを編集するには、mmc.exe を実行し、証明書テンプレート スナップインを追加します。テンプレートを見つけて、そのプロパティを開きます。最小キーサイズの設定は、テンプレートのプロパティの 暗号化 タブにあります。
注：
ECCキーを持つユーザー証明書は、Citrix Virtual Apps and Desktops 2411以降を実行しているWindows VDAでのみサポートされます。 ECCキーはLinux VDAではサポートされていません。

秘密鍵構成のテスト

Set-FasKeyConfig コマンドは一部の検証を行いますが、無効なキー構成を設定することは依然として可能です。たとえば、HSMのプロバイダー名に誤りがある場合や、指定したキー長がハードウェアでサポートされていない場合があります。
Test-FasKeyConfig コマンドが役立ちます。これは、現在のキー構成を使用してキーペアの作成を試み、成功 または 失敗 を報告します。失敗が発生した場合は、失敗理由が示されます。成功した場合は、キーペアは直ちに破棄されます。
以下のPowerShellコマンドは、それぞれ認証とユーザーキー構成をテストします。
Test-FasKeyConfig -Address localhost -CertificateType ra
Test-FasKeyConfig -Address localhost -CertificateType user
FASサーバーを承認し、ルールを作成したら、さらにユーザー証明書のテストCSRを次のように作成できます。
Test-FasCertificateSigningRequest -Address localhost -UserPrincipalName user@example.com -Rule default
mailto:user@example.com をActive Directory展開からの実際のUPNに置き換えます。FASルールは通常 default という名前ですが、設定した別のルールをテストしたい場合は、その名前を指定してください。
CSRが成功した場合、FASは結果の証明書を破棄します。

FAS証明書の検査

PowerShellを使用して、証明書のプロパティを検査し、関連する秘密鍵がどこに保存されているかを判断できます。

承認証明書の検査

FAS管理コンソールで承認証明書リンクをクリックすると、承認証明書を表示できます。
承認証明書(/en-us/federated-authentication-service/2507-ltsr/media/auth-cert-config.png)
ただし、より詳細な情報についてはPowerShellを使用してください。
Get-FasAuthorizationCertificate -Address localhost -FullCertInfo
いくつかのフィールドが返されます。その中には、証明書が作成および保存されたプロバイダーを示すPrivateKeyProviderが含まれます。
PrivateKeyProvider キーの保存場所
Microsoftソフトウェアキーストレージプロバイダー キーはディスクに保存され、Microsoftのソフトウェアプロバイダーによって保護されます。
Microsoftプラットフォーム暗号化プロバイダー キーはTPM（物理または仮想）に保存されます。
HSMベンダーキーストレージプロバイダー（例のみ） キーはHSMに保存されます（この例では、ベンダーのプロバイダーはHSM Vendor Key Storage Providerという名前です）。

ユーザー証明書の検査

FASサーバーにキャッシュされているすべてのユーザー証明書のリストを次のように取得できます。
Get-FasUserCertificate -Address localhost -KeyInfo $true
KeyInfo パラメーターにより、出力には証明書に関連付けられた秘密鍵に関する詳細情報が含まれます。特に、PrivateKeyProvider フィールドは、証明書に関連付けられたキーペアがどこに保存されているかを示します（この値の解釈については、前のセクションを参照してください）。
-UserPrincipalName のような様々なオプションパラメーターを使用して、返される証明書のセットをフィルタリングできます。
コマンド出力の証明書フィールドは、PEMエンコードされたユーザー証明書です。テキストを.crtファイルにコピーして、Windows証明書GUIを使用して次のように証明書を表示します。
コマンド 説明
$CertInfos = Get-FasUserCertificate -Address localhost このリストには複数のユーザー証明書が含まれている場合があります
$CertInfo = $CertInfos[0] この例では、最初のユーザー証明書を選択します
$CertInfo.Certificate > c:\temp\user.crt PEMデータを.crtファイルにパイプします
c:\temp\user.crt Windows GUIで.crtファイルを開きます

Citrix Virtual Apps and Desktops 2411より前のFASバージョンからのアップグレード

Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密キーのプロパティは次のXMLファイルを編集して構成されていました。
%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config
これは、このドキュメントで説明されているPowerShellコマンドに置き換えられました。これらのコマンドは、より柔軟性があり、FASサーバーを再起動せずに適用できます。
さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。
秘密キーの構成に関連するXMLファイルの設定と、それに対応するPowerShellパラメーター（Get-FasKeyConfigおよびSet-FasKeyConfigで使用されているもの）を以下に示します。
XMLファイルの設定 XMLファイルのデフォルト値 PowerShellの同等物 コメント
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength 2048 -長さ -
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection GenerateNonExportableKey -Exportable
-UseDefaultTpmProvider
  • NoProtection は、-Exportable を $true に設定することで実現されます
    -GenerateNonExportableKey は、-Exportable を $false に設定することで実現されます
    -GenerateTPMProtectedKey は、-UseDefaultTpmProvider スイッチを指定することで実現されます
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp 偽 -Ksp - ProviderLegacyCsp false は、-Ksp を $true に設定することで実現されます
-ProviderLegacyCsp true は、-Ksp を $false に設定することで実現されます
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName - -プロバイダー -
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType - -CspType -
XML構成のデフォルトとPowerShellのデフォルトは機能的に同等です。つまり、デフォルトでは、このバージョンおよびCitrix Virtual Apps and Desktops 2411以前のバージョンでFASによって生成されたキーペアのプロパティは同じです。
したがって、XML構成ファイルで上記のいずれの設定も変更していない場合は、FASをアップグレードする際に何もアクションを実行する必要はありません。
ただし、上記のいずれかの設定を変更した場合は、次のようにFASをアップグレードしてください。
  • FASをメンテナンスモードにします。メンテナンスモード。
  • FASをインプレースでアップグレードするには、FASインストーラーを実行するだけです。アップグレード後、以前の設定はすべてXMLファイルに存在せず、XMLファイルで構成することはできません。
  • キー構成PowerShellコマンドで説明されているように、PowerShellコマンドSet-FasKeyConfigを使用して、FAS秘密鍵の構成を希望どおりに設定します。認証およびユーザー証明書に必要な設定を考慮してください。
  • 秘密鍵構成のテストで説明されているように、構成をテストします。
  • FASサーバーをメンテナンスモードから解除します。
次回アップグレードするときは、FAS秘密鍵の構成設定が保持されるため、特別な操作を行う必要はありません。

暗号化リモート処理

FASユーザー証明書に関連付けられた秘密鍵は、VDAに転送されることはありません。代わりに、VDAがユーザーのFAS証明書を使用する必要がある場合（VDAへのサインインまたはセッション内での使用のため）、暗号化要求はFASサーバーにリモート処理されます。これにより、秘密鍵がFASキーストレージ（ソフトウェアストレージ、TPM、HSMのいずれであっても）から離れることがないため、セキュリティが向上します。
Windows VDAでは、これはVDA上のプロバイダーのペアを使用することで実現されます。暗号化要求を行うアプリケーションまたはオペレーティングシステムコードは、操作がFASサーバーにリモート処理されていることを認識しません。
Citrix Virtual Apps and Desktops 2411より前は、プロバイダーは暗号化サービスプロバイダー（CSP）であり、アプリケーションおよびオペレーティングシステムコードは古いWindows CAPI APIを介してアクセスしていました。プロバイダーは次のとおりでした。
  • CitrixLogonCsp.dll: VDAへのシングルサインオン用
  • CitrixVirtualSmartcardCsp.dll: セッション内証明書用
Citrix Virtual Apps and Desktops 2411以降、追加のキー記憶域プロバイダー（KSP）がVDAに提供されます。アプリケーションおよびオペレーティングシステムコードは、新しいWindows CNG APIを使用してこれらにアクセスします。新しいプロバイダーは次のとおりです。
  • CitrixLogonKsp.dll: VDAへのシングルサインオン用
  • CitrixVirtualSmartcardKsp.dll: セッション内証明書用
KSPは、暗号化操作をWindowsアプリケーションに公開するより最新の方法であり、より多くの機能を提供します。例：
  • ECCキーを持つ証明書がサポートされています
  • 確率的署名スキーム (PSS) パディングがサポートされています
FASとVDAの両方がCitrix Virtual Apps and Desktops 2411以降を実行している場合、KSPリモート処理が使用されます (つまり、新しいKSPを介したリモート処理)。それ以外の場合、システムは古いCSPを使用してリモート処理にフォールバックします。

KSPリモート処理の無効化

互換性の問題が発生した場合、KSPリモート処理を無効にして、常に古いCSPリモート処理を使用できるようにすることが可能です。
次のPowerShellを使用します。
Set-FasServer -Address localhost -KspRemoting $false

メンテナンスモード

稼働中の FASサーバーの構成に変更を加える場合は、メンテナンスモードにすることを検討してください。
FASがメンテナンスモードの場合、以下が適用されます。
  • 公開アプリケーションまたはデスクトップの起動シーケンスの一部としてWorkspaceまたはStoreFront™がFASを呼び出すとき、FASはメンテナンスモードであることを示します。呼び出し元は、別のFASサーバーを選択することでこれに対応する必要があります。
  • 追加の予防措置として、FASはメンテナンスモード中にユーザー証明書の自動作成を許可しません。これにより、意図しない設定でのユーザー証明書の偶発的な作成が回避されます。
  • ただし、VDAサインインやセッション内での使用など、既存のユーザー証明書に関連するアクティビティは引き続き許可されます。
ユーザー証明書の自動作成は許可されていませんが、管理者はNew-FasUserCertificateやTest-FasCertificateSigningRequestなどのPowerShellコマンドを使用してユーザー証明書を作成できます。

管理コンソールの使用

メンテナンスモード

PowerShell の使用

FAS サーバーをメンテナンスモードにするには、次のようにします。
Set-FasServer -Address localhost -MaintenanceMode $true
FAS サーバーをメンテナンスモードから解除し（通常の操作に戻し）、次のようにします。
Set-FasServer -Address localhost -MaintenanceMode $false

関連情報