Windowsログオンの問題のトラブルシューティング

最終公開日 : Oct 24, 2026

この記事では、ユーザーが証明書またはスマートカード、あるいはその両方を使用してログオンする際にWindowsが提供するログとエラーメッセージについて説明します。これらのログは、認証の失敗をトラブルシューティングするために使用できる情報を提供します。

証明書と公開鍵インフラストラクチャ

Windows Active Directoryは、ログオンするユーザーの証明書を管理するいくつかの証明書ストアを保持しています。

NTAuth証明書ストア: Windowsに認証するには、ユーザー証明書を直接発行する証明機関（つまり、チェーンはサポートされていません）をNTAuthストアに配置する必要があります。これらの証明書を表示するには、certutilプログラムから次のように入力します: certutil –viewstore –enterprise NTAuth
ルートおよび中間証明書ストア: 通常、証明書ログオンシステムは単一の証明書しか提供できないため、チェーンが使用されている場合は、すべての中間証明書ストアにこれらの証明書を含める必要があります。ルート証明書は信頼されたルートストアに、最後から2番目の証明書はNTAuthストアにある必要があります。
ログオン証明書拡張機能とグループポリシー: Windowsは、EKUおよびその他の証明書ポリシーの検証を強制するように構成できます。Microsoftのドキュメントを参照してください: <https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)>。

レジストリポリシー	説明
AllowCertificatesWithNoEKU	無効にすると、証明書にはスマートカードログオンの拡張キー使用法 (EKU) が含まれている必要があります。
AllowSignatureOnlyKeys	デフォルトでは、WindowsはRSA復号化を許可しない証明書の秘密鍵を除外します。このオプションはそのフィルターを上書きします。
AllowTimeInvalidCertificates	デフォルトでは、Windowsは期限切れの証明書を除外します。このオプションはそのフィルターを上書きします。
EnumerateECCCerts	楕円曲線認証を有効にします。
X509ヒントが必要	証明書に一意のユーザープリンシパル名 (UPN) が含まれていない場合、またはそれが曖昧な場合、このオプションを使用すると、ユーザーはWindowsログオンアカウントを手動で指定できます。
UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors	失効チェックを無効にします (ドメインコントローラーで設定)。

ドメインコントローラー証明書: Kerberos接続を認証するには、すべてのサーバーに適切な「ドメインコントローラー」証明書が必要です。これらは、「ローカルコンピューター証明書個人ストア」MMCスナップインメニューを使用して要求できます。

UPN名と証明書のマッピング

ユーザー証明書には、Subject Alternate Name拡張機能に一意のユーザープリンシパル名 (UPN) を含めることをお勧めします。

Active DirectoryにおけるUPN名

既定では、Active Directoryのすべてのユーザーは、\<samUsername>@\<domainNetBios> および \<samUsername>@\<domainFQDN> のパターンに基づいた暗黙的なUPNを持っています。利用可能なドメインとFQDNは、フォレストのRootDSEエントリに含まれています。単一のドメインは、RootDSEに複数のFQDNアドレスを登録できます。

また、Active Directoryのすべてのユーザーは、明示的なUPNとaltUserPrincipalNamesを持っています。これらは、ユーザーのUPNを指定するLDAPエントリです。

UPNでユーザーを検索する場合、Windowsはまず現在のドメイン (UPNを検索するプロセスのIDに基づく) で明示的なUPNを検索し、次に代替UPNを検索します。一致するものがない場合、暗黙的なUPNを検索します。これは、フォレスト内の異なるドメインに解決される可能性があります。

証明書マッピングサービス

証明書に明示的なUPNが含まれていない場合、Active Directoryには、「x509certificate」属性に各使用の正確な公開証明書を保存するオプションがあります。このような証明書をユーザーに解決するには、コンピューターはこの属性を直接クエリできます (既定では、単一ドメイン内)。

この検索を高速化し、クロスドメイン環境でもこの機能を使用できるように、ユーザーがユーザーアカウントを指定するオプションが提供されています。

フォレストに複数のドメインがあり、ユーザーがドメインを明示的に指定しない場合、Active DirectoryのrootDSEが証明書マッピングサービスの場所を指定します。これはグローバルカタログマシンにあり、フォレスト内のすべてのx509証明書属性のキャッシュされたビューを持っています。このコンピューターは、証明書のみに基づいて、任意のドメイン内のユーザーアカウントを効率的に見つけるために使用できます。

ログオンドメインコントローラーの選択を制御する

環境に複数のドメインコントローラーが含まれている場合、ログを有効にして取得できるように、認証に使用されるドメインコントローラーを確認し、制限することが役立ちます。

ドメインコントローラーの選択を制御する

Windowsがログオンに特定のWindowsドメインコントローラーを使用するように強制するには、lmhostsファイルを構成して、Windowsマシンが使用するドメインコントローラーのリストを明示的に設定できます。\Windows\System32\drivers\etc\lmhosts。

通常、その場所には「lmhosts.sam」という名前のサンプルファイルがあります。単純に次の行を含めます。

1.2.3.4 ディーシーネットバイオスネーム #PRE #DOM:mydomai

ここで、「1.2.3.4」はmydomainドメイン内のdcnetbiosnameという名前のドメインコントローラーのIPアドレスです。

再起動後、Windowsマシンはその情報を使用してmydomainにログオンします。デバッグが完了したら、この構成を元に戻す必要があります。

使用中のドメインコントローラーを特定する

ログオン時に、Windowsはユーザーをログオンさせたドメインコントローラーを含むMSDOS環境変数を設定します。これを確認するには、コマンドプロンプトをコマンド「echo %LOGONSERVER%」で起動します。

認証に関連するログは、このコマンドによって返されるコンピューターに保存されます。

アカウント監査イベントを有効にする

デフォルトでは、Windowsドメインコントローラーは完全なアカウント監査ログを有効にしていません。これは、グループポリシーエディターのセキュリティ設定にある監査ポリシーを通じて制御できます。グループポリシーエディターを開くには、ドメインコントローラーでgpedit.mscを実行します。監査ポリシーが有効になると、ドメインコントローラーはセキュリティログに追加のイベントログ情報を生成します。

アカウント監査イベントを有効にする(/en-us/federated-authentication-service/2507-ltsr/media/fas-troubleshoot-logon-auditpolicy.png)

証明書検証ログ

証明書の有効性を確認する

スマートカード証明書がDER証明書としてエクスポートされている場合（秘密鍵は不要）、次のコマンドで検証できます: certutil –verify user.cer

CAPIログを有効にする

ドメインコントローラーとユーザーのマシンで、イベントビューアーを開き、Microsoft/Windows/CAPI2/Operational Logsのログ記録を有効にします。

ドメインコントローラーとVDAマシンで、イベントビューアーを開き、アプリケーションとサービスログ > Microsoft > Windows > CAPI2 > Operational に移動します。Operational を右クリックし、ログの有効化 を選択します。

さらに、レジストリ値 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32 を使用してCAPIログを微調整します。以下の値はデフォルトでは存在しません。これらを作成する必要があります。デフォルトのCAPI2ログ設定に戻したい場合は、これらの値を削除してください。

値	説明
DiagLevel (DWORD)	詳細レベル (0～5)
DiagMatchAnyMask (QUADWORD)	イベントフィルター (すべてに0xffffffを使用)
DiagProcessName (MULTI_SZ)	プロセス名でフィルター (例: LSASS.exe)

CAPI ログ

メッセージ	説明
チェーンの構築	LSA が CertGetCertificateChain を呼び出した (結果を含む)
失効の検証	LSA が CertVerifyRevocation を呼び出した (結果を含む)
X509 オブジェクト	詳細モードでは、証明書と証明書失効リスト (CRL) が AppData\LocalLow\Microsoft\X509Objects にダンプされます
チェーンポリシーの検証	LSA が CertVerifyChainPolicy を呼び出した (パラメーターを含む)

エラーメッセージ

エラーコード	説明
証明書が信頼されていません	スマートカード証明書は、コンピューターの中間証明書ストアおよび信頼されたルート証明書ストアにある証明書を使用して構築できませんでした。
証明書失効チェックエラー	スマートカードのCRLは、証明書のCRL配布ポイントで指定されたアドレスからダウンロードできませんでした。失効チェックが必須の場合、これによりログオンが成功しなくなります。(/ja-jp/federated-authentication-service/2507-ltsr/config-manage/troubleshoot-logon.html#certificates-and-public-key-infrastructure)セクションを参照してください。
証明書使用エラー	この証明書はログオンに適していません。たとえば、サーバー証明書または署名証明書である可能性があります。

Kerberosログ

Kerberosログを有効にするには、ドメインコントローラーとエンドユーザーマシンで、次のレジストリ値を作成します。

ハイブ	値の名前	値 [DWORD]
CurrentControlSet\Control\Lsa\Kerberos\Parameters	LogLevel	0x1
CurrentControlSet\Control\Lsa\Kerberos\Parameters	KerbDebuglevel	0xffffffff
CurrentControlSet\Services\Kdc	KdcDebugLevel	0x1
CurrentControlSet\Services\Kdc	KdcExtraLogLevel	0x1f

Kerberosログはシステムイベントログに出力されます。

信頼されていない証明書のようなメッセージは診断が容易でなければなりません。
2つのエラーコードは情報提供であり、安全に無視できます。
- KDC_ERR_PREAUTH_REQUIRED (古いドメインコントローラーとの下位互換性のために使用されます)
- 不明なエラー 0x4b

ドメインコントローラーおよびワークステーションログ

このセクションでは、ユーザーが証明書でログオンしたときのドメインコントローラーとワークステーション上の予期されるログエントリについて説明します。

ドメインコントローラー CAPI2 ログ
ドメインコントローラーセキュリティログ
Virtual Delivery Agent (VDA) セキュリティログ
VDA CAPI ログ
VDA システムログ

ドメインコントローラー CAPI2 ログ

ログオン中に、ドメインコントローラーは呼び出し元の証明書を検証し、次の形式でログエントリのシーケンスを生成します。

最終的なイベントログメッセージは、ドメインコントローラー上の lsass.exe が VDA から提供された証明書に基づいてチェーンを構築し、その有効性（失効を含む）を検証していることを示しています。結果は「ERROR_SUCCESS」として返されます。

ドメインコントローラーセキュリティログ

ドメインコントローラーは一連のログオンイベントを表示し、主要なイベントは4768です。このイベントでは、証明書がKerberosチケット保証チケット (krbtgt) の発行に使用されます。

これより前のメッセージは、サーバーのマシンアカウントがドメインコントローラーに対して認証を行っていることを示しています。これに続くメッセージは、新しいkrbtgtに属するユーザーアカウントがドメインコントローラーに対して認証を行うために使用されていることを示しています。

VDA セキュリティログ

ログオンイベントに対応するVDAセキュリティ監査ログは、winlogon.exeを発生元とするイベントID 4648のエントリです。

VDAセキュリティログ(/en-us/federated-authentication-service/2507-ltsr/media/fas-troubleshoot-logon-vda-security-log.png)

VDA CAPIログ

このVDA CAPIログの例は、lsass.exeからの単一のチェーン構築および検証シーケンスを示しており、ドメインコントローラー証明書（dc.citrixtest.net）を検証しています。

VDA CAPIログ(/en-us/federated-authentication-service/2507-ltsr/media/fas-troubleshoot-logon-capi-log.png)

VDA CAPIログ 2(/en-us/federated-authentication-service/2507-ltsr/media/fas-troubleshoot-logon-capi-chainpolicy.png)

VDAシステムログ

Kerberosログ記録が有効になっている場合、システムログにはエラーKDC_ERR_PREAUTH_REQUIRED（無視可能）と、Kerberosログオンが成功したことを示すWindowsログオンからのエントリが表示されます。

VDAシステムログ(/en-us/federated-authentication-service/2507-ltsr/media/fas-troubleshoot-logon-vda-system-log.png)

Windowsイベントログを使用したFASの監視

すべてのFASイベントは、Windowsのアプリケーションイベントログに書き込まれます。System Center Operations Manager（SCOM）などの製品を使用して、ここで説明されているプロセスとイベントを使用してFASサービスの正常性を監視できます。

FASサービスは実行中ですか?

FASサービスが実行中であるかどうかを判断するには、Citrix.Authentication.FederatedAuthenticationService.exeプロセスを監視します。

このセクションでは、FASサービスを監視するための最も重要なイベントのみを説明します。FASイベントコードの完全なリストについては、FASイベントログを参照してください。

FASの正常性イベント

以下のイベントは、FASサービスが正常であるかどうかを示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

イベント	イベントテキスト	説明	注
[S003]	管理者 [{0}] がメンテナンスモードを [{1}] に設定	FASサービスがメンテナンスモードに設定されたか、メンテナンスモードから解除されました。	メンテナンスモード中は、FASサーバーはシングルサインオンに使用できません。
[S022]	管理者 [{0}] がメンテナンスモードをオフに設定	FASサービスがメンテナンスモードから解除されました。	FAS 10.7 / Citrix Virtual Apps and Desktops 2109 以降で利用可能です。
[S023]	管理者が[{0}]メンテナンスモードをオンに設定	FASサービスがメンテナンスモードになりました。	FAS 10.7 / Citrix Virtual Apps and Desktops 2109から利用可能です。
[S123]	[upn: {0} role: {1}][exception: {2}]のいずれのCAでも証明書の発行に失敗しました	このイベントは、FASが構成されているCAのいずれもユーザー証明書の発行に成功しなかった場合に、[S124]の後に発生します。そのユーザーのシングルサインオンは失敗します。	このイベントは、構成されているすべてのCAが機能していないことを示します。FASがHSMを使用するように構成されている場合、HSMが機能していないことも示している可能性があります。
[S124]	[upn: {0} role: {1}]の証明書を[certificate authority: {2}][exception: {3}]で発行できませんでした	FASが指定されたCAからユーザー証明書を要求しようとしたときにエラーが発生しました。FASが複数のCAで構成されている場合、FASは別のCAで要求を試行します。	このイベントは、CAが機能していないか、または連絡できないことを示している可能性があります。FASがHSMを使用するように構成されている場合、HSMが機能していないことも示している可能性があります。例外は、問題の原因を特定するのに役立ちます。
[S413]	承認証明書の有効期限が間もなく切れます（残り{0}日）。証明書の詳細：{1}	このイベントは、FAS承認証明書の有効期限が近づくと定期的に生成されます。デフォルトでは、承認証明書の有効期限が30日以内である場合、イベントは毎日生成されます。	デフォルト設定は、cmdlet Set-FasRaCertificateMonitor を使用して調整できます。詳細については、PowerShell cmdletを参照してください。
[S414]	承認証明書の有効期限が切れました。証明書の詳細: {0}	このイベントは、FAS承認証明書の有効期限が切れると定期的に生成されます。デフォルトでは、このイベントは毎日生成されます。	有効期限が切れると、FASは新しいユーザー証明書を生成できなくなり、シングルサインオンが失敗し始めます。

クラウド接続FASイベント

Citrix Cloud™でFASを使用している場合、以下のイベントはFASサービスが正常であるかどうかを示します。

イベントソースは Citrix.Fas.Cloud です。

イベント	イベントテキスト	説明	注
[S012]	FASサービスはCitrix Cloudからのシングルサインオンに利用可能です	このイベントは、Workspace（つまりCitrix Cloud）からのシングルサインオンが機能しているはずであることを示します。	このイベントを発行する前に、FASは(1)構成されていること、(2)メンテナンスモードではないこと、(3)Citrix Cloudに接続されていることを確認します。
[S013]	FASサービスはCitrix Cloudからのシングルサインオンに利用できません。[{0}] 詳細については、管理コンソールで確認できます。	このイベントは、FASがWorkspace（つまりCitrix Cloud）からのシングルサインオンを提供できないことを示します。メッセージには、シングルサインオンが機能しない理由が含まれています。	FASはCitrix Cloudへの永続的な接続を維持します。この接続は、ネットワークの不具合やプロキシサーバーの接続ライフタイムポリシーなど、さまざまな理由で時々切断されることがあります。この場合、イベントテキストには「Service is not connected to the cloud」と表示されます。これは通常の動作であり、FASはCitrix Cloudへの接続を直ちに再確立しようとします。

セキュリティイベント

以下のイベントは、不正なエンティティがFASを使用しようとしたことを示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

イベント	イベントテキスト	説明
[S001]	アクセス拒否: ユーザー [{0}] はAdministratorsグループのメンバーではありません	FASの設定を表示または変更しようとしましたが、呼び出し元はFAS管理者ではありませんでした。
[S002]	アクセス拒否: ユーザー [{0}] はロール [{1}] の管理者ではありません	FASルールの構成を表示または変更しようとしましたが、呼び出し元はFAS管理者ではありませんでした。
[S101]	サーバー [{0}] は、ロール [{1}] でIDをアサートする権限がありません	ユーザーIDをアサートしようとしましたが、呼び出し元にはその権限がありません。FASルール構成で許可されているStoreFront™サーバー（および該当する場合はWorkspace）のみがユーザーIDをアサートできます。
[S104]	サーバー [{0}] はUPN [{1}] のアサートに失敗しました（UPNはルール [{2}] で許可されていません）	ユーザーIDをアサートしようとしましたが、FASルール構成によりユーザーアカウントは許可されていません。
[S205]	証明書利用者アクセスが拒否されました - 呼び出し元アカウント [{0}] は、ルール [{1}] の許可された証明書利用者ではありません	VDAがFASでシングルサインオンを実行しようとしましたが、FASルール構成によりVDAは許可されていません。

FASイベントログ

次の表に、FASによって生成されるイベントログエントリを示します。

管理イベント

これらのイベントは、FASサーバーでの構成変更に応じてログに記録されます。

ログコード
[S001] アクセス拒否: ユーザー [{0}] は管理者グループのメンバーではありません
[S002] アクセス拒否: ユーザー [{0}] はロール [{1}] の管理者ではありません
[S003] 管理者 [{0}] がメンテナンスモードを [{1}] に設定しています
[S004] 管理者 [{0}] が、テンプレート [{2} and {3}] を使用して CA [{1}] から承認証明書を要求しています
[S005] 管理者 [{0}] が FAS 承認 [RA cert id: {1}] を削除しています
[S006] 管理者 [{0}] が証明書定義 [{1}] を作成しています
[S007] 管理者 [{0}] が証明書定義 [{1}] を更新しています
[S008] 管理者 [{0}] が証明書定義 [{1}] を削除しています
[S009] 管理者 [{0}] がルール [{1}] を作成しています
[S010] 管理者 [{0}] がルール [{1}] を更新しています
[S011] 管理者 [{0}] がルール [{1}] を削除しています
[S012] 管理者 [{0}] が証明書 [upn: {1} sid: {2} rule: {3}]Certificate Definition: {4} Security Context: {5}] を作成しています
[S013] 管理者 [{0}] が証明書 [upn: {1} role: {2} Certificate Definition: {3} Security Context: {4}] を削除しています
[S015] 管理者 [{0}] が証明書要求 [TPM: {1}] を作成しています
[S016] 管理者 [{0}] が承認証明書をインポートしています [Reference: {1}]
[S022] 管理者 [{0}] がメンテナンスモードをオフに設定しています
[S023] 管理者 [{0}] がメンテナンスモードをオンに設定しています
[S024] 管理者 [{0}] がシステムヘルスモニターを設定しています
[S025] 管理者 [{0}] がシステムヘルスモニターを設定しています
[S026] 管理者 [{0}] がRA証明書モニターを設定しています
[S027] 管理者 [{0}] がRA証明書モニターをリセットしています
[S028] 管理者 [{0}] が [{1}] 証明書のキー構成を [{2}] に設定しています
[S029] 管理者 [{0}] が [{1}] 証明書のキー構成をデフォルト値 [{2}] にリセットしています
[S030] 管理者 [{0}] がサービスプロパティを [{1}] に設定しています
[S031] 管理者 [{0}] がCA [RA cert id: {1}] の承認を取り消しています
[S050] 管理者 [{0}] がクラウド構成を作成しています: [{1}]
[S051] 管理者 [{0}] がクラウド構成を更新しています: [{1}]
[S052] 管理者 [{0}] がクラウド構成を削除しています
[S060] 管理者 [{0}] がクラウド登録を要求しています。インスタンス: {1}
[S060] 管理者 [{0}] Direct Trust Cloud登録を要求しています。インスタンス: {1} CloudServiceUrlFormat: {2}
[S061] 管理者 [{0}] クラウド登録を完了しています。リソースの場所: {1}、ルール名: {2}
[S062] 管理者 [{0}] クラウド登録が完了しました。リソースの場所: {1} ({2})、ルール名: {3}、顧客: {4} ({5})
[S063] クラウド登録中にKRSエラーが発生しました。例外は {0} でした。
[S064] クラウド登録中に不明なエラーが発生しました。例外は {0} でした。
[S065] 管理者 [{0}] Direct Trust Cloud登録を要求しています。インスタンス: {1} CloudServiceUrlFormat: {2}

ログコード
[S401] 構成のアップグレードを実行しています - [From version {0} to version {1}]
[S402] エラー: Citrix Federated Authentication ServiceはNetwork Serviceとして実行する必要があります [currently running as: {0}]
[S404] Citrix Federated Authentication Serviceデータベースを強制的に消去しています
[S405] レジストリからデータベースへのデータ移行中にエラーが発生しました: [{0}]
[S406] レジストリからデータベースへのデータ移行が完了しました (注: ユーザー証明書は移行されません)
[S407] データベースが既に存在するため、レジストリベースのデータはデータベースに移行されませんでした
[S408] 構成をダウングレードできません -- [From version {0} to version {1}]
[S409] ThreadPool構成に成功しました - MinThreadsが [workers: {0} completion: {1}] から [workers: {2} completion: {3}] に調整されました
[S410] ThreadPool の構成に失敗しました - MinThreads を [workers: {0} completion: {1}] から [workers: {2} completion: {3}] に調整できませんでした。これにより、FAS サーバーのスケーラビリティに影響が出る可能性があります
[S411] FAS サービスの開始中にエラーが発生しました: [{0}]
[S412] 構成のアップグレードが完了しました -- [From version {0} to version {1}]
[S413] 認証証明書の有効期限が間もなく切れます (残り {0} 日)。証明書の詳細: {1}
[S414] 認証証明書の有効期限が切れました。証明書の詳細: {0}
[S415] 認証証明書のチェックが完了しました。{0} 件の問題がログに記録されました。次回のチェックは {1} に予定されています

ID アサーションの作成

これらのイベントは、信頼されたサーバーがユーザーログオンをアサートするときに、FAS サーバーで実行時にログに記録されます。

ログコード
[S101] サーバー [{0}] は、ロール [{1}] で ID をアサートする権限がありません
[S102] サーバー [{0}] は UPN [{1}] のアサートに失敗しました (例外: {2}{3})
[S103] サーバー [{0}] は UPN [{1}] SID {2} を要求しましたが、ルックアップは SID {3} を返しました
[S104] サーバー [{0}] は UPN [{1}] のアサートに失敗しました (UPN はルール [{2}] で許可されていません)
[S105] サーバー [{0}] は ID アサーションを発行しました [upn: {1}, role {2}, Security Context: [{3}]]
[S120] [upn: {0} role: {1} Security Context: [{2}]] に証明書を発行しています。
[S121] [certificate authority: {2}] によって [upn: {0} role: {1}] に証明書が発行されました。
[S122] 警告: サーバーが過負荷状態です [upn: {0} role: {1}][Requests per minute {2}]。
[S123] [upn: {0} role: {1}] [exception: {2}] の証明書をいずれのCAでも発行できませんでした。
[S124] [certificate authority: {2}] で [upn: {0} role: {1}] の証明書を発行できませんでした [exception: {3}]。
[S125] 保留中の証明書要求が完了するまで {0} 秒待機しましたが、呼び出しがタイムアウトしました [upn: {1} role: {2} Security Context: [{3}]]。
[S126] サーバー [{0}] が未定義のルール [{1}] を使用してIDをアサートしようとしました。
[S127] サーバーがメンテナンスモードであるため、FASは [upn: {0} role: {1} definition: {2}] の証明書を要求できませんでした。メンテナンスモード中の動作を変更するには、PowerShellコマンドレット Set-FasServer を使用してください。

依拠当事者として機能する

VDAがユーザーをログオンさせるときに、これらのイベントはFASサーバーで実行時にログに記録されます。

ログコード
[S201] 依拠当事者 [{0}] はパスワードにアクセスできません。
[S202] 依拠当事者 [{0}] は証明書にアクセスできません。
[S203] 依拠当事者 [{0}] はログオンプロバイダーにアクセスできません。
[S204] 依拠当事者 [{0}] が、[{4}] によって承認された [upn: {1}] のログオンプロバイダーに、役割: [{2}] [Operation: {3}] としてアクセス中
[S205] 依拠当事者アクセス拒否 - 呼び出し元アカウント [{0}] は、ルール [{1}] の許可された依拠当事者ではありません
[S206] 呼び出し元アカウント [{0}] は依拠当事者ではありません
[S208] 秘密鍵操作が失敗しました [操作: {0} UPN: {1} 役割: {2} 証明書定義 {3} エラー {4} {5}]。
[S209] キャッシュされた証明書が見つかりません。[Caller: {0}] [upn: {1}] [role: {2}] [cert definition: {3}] [Operation: {4}]

インセッション証明書サーバー

これらのイベントは、ユーザーがインセッション証明書を使用するとFASサーバーにログ記録されます。

ログコード
[S301] アクセス拒否: ユーザー [{0}] は仮想スマートカードへのアクセス権がありません
[S302] ユーザー [{0}] が不明な仮想スマートカード [thumbprint: {1}] を要求しました
[S303] アクセス拒否: ユーザー [{0}] は仮想スマートカード [upn: {1}] と一致しません
[S304] ユーザー [{0}] がコンピューター [{2}] でプログラム [{1}] を実行中、仮想スマートカード [upn: {3} role: {4} thumbprint: {5}] を使用して秘密鍵操作 [{6}] を実行
[S305] 秘密鍵操作が失敗しました [Operation: {0}] [upn: {1} role: {2} containerName {3} Error {4} {5}]。

FASアサーションプラグイン

これらのイベントは、FASアサーションプラグインによってログに記録されます。

ログコード
[S500] FASアサーションプラグインが構成されていません
[S501] 構成されたFASアサーションプラグインをロードできませんでした [exception:{0}]
[S502] FASアサーションプラグインがロードされました [pluginId={0}] [assembly={1}] [location={2}]
[S503] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（ログオン証拠が提供されましたが、プラグイン [{2}] はそれをサポートしていません）
[S504] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（ログオン証拠が提供されましたが、構成されたFASプラグインがありません）
[S505] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（プラグイン [{2}] はログオン証拠をステータス [{3}] とメッセージ [{4}] で拒否しました）
[S506] プラグイン [{0}] は、サーバー [{1}] からのUPN [{2}] のログオン証拠をメッセージ [{3}] で受け入れました
[S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（プラグイン [{2}] はメソッド [{4}] の実行中に例外 [{3}] をスローしました）
[S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（プラグイン [{2}] は例外 [{3}] をスローしました）
[S508] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（アクセス処理が提供されましたが、プラグイン [{2}] はそれをサポートしていません）
[S509] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（アクセス処理が提供されましたが、構成されたFASプラグインがありません）
[S510] サーバー [{0}] はUPN [{1}] のアサートに失敗しました（アクセス処理はプラグイン [{2}] によって無効と見なされました）

ワークスペース対応FAS

これらのイベントは、FASがWorkspaceで使用されるときにログに記録されます。

ログコード
[S001] Citrix Cloud認証キーをローテーションしました [fas id: {0}] [old key id:{1}] [new key id:{2}]
[S002] クラウドサポートモジュールが起動しています。FasHubクラウドサービスURL: {0}
[S003] FASがクラウドに登録されました [fas id: {0}] [transaction id: {1}]
[S004] FASがクラウドへの登録に失敗しました [fas id: {0}] [transaction id: {1}] [exception: {2}]
[S005] FASが現在の構成をクラウドに送信しました [fas id: {0}] [transaction id: {1}]
[S006] FASが現在の構成をクラウドに送信できませんでした [fas id: {0}] [transaction id: {1}] [exception: {2}]
[S007] FASがクラウドから登録解除されました [fas id: {0}] [transaction id: {1}]
[S009] FASがクラウドからの登録解除に失敗しました [fas id: {0}] [transaction id: {1}] [exception: {2}]
[S010] FASサービスがクラウドメッセージングURL: {0}に接続されています
[S011] FASサービスはクラウドに接続されていません
[S012] FASサービスはCitrix Cloudからのシングルサインオンに利用可能です
[S013] FASサービスはCitrix Cloudからのシングルサインオンに利用できません。[{0}] 詳細は管理コンソールで確認できます
[S014] クラウドサービスへの呼び出しが`<service name>` 失敗しました [fas id: {0}] [transaction id: {1}] [exception: {2}]
[S015] 呼び出し元が許可されていないため、Citrix Cloudからのメッセージがブロックされました [message ID {0}] [transaction ID {1}] [caller {2}]
[S016] クラウドサービスへの呼び出しが`<service name>` 成功しました [fas id: {0}] [transaction id: {1}]
[S019] FASはクラウドから構成をダウンロードしました [fas id: {0}] [transaction id: {1}]
[S020] FASはクラウドから構成をダウンロードできませんでした [fas id: {0}] [transaction id: {1}] [exception: {2}]
[S021] クラウドサポートモジュールの起動に失敗しました。例外: {0}
[S022] クラウドサポートモジュールが停止しています
[S023] Citrix Cloud認証キーのローテーションに失敗しました [fas id: {0}] [current key id:{1}] [new key id:{2}] [keys in cloud:{3}]
[S024] Citrix Cloud認証キーのローテーションを開始しています [fas id: {0}] [current key id:{1}] [new key id:{2}]
[S025] このサービスの認証キーはCitrix Cloudに存在します [current key: {0}] [keys in cloud: {1}]
[S026] このサービスの認証キーはCitrix Cloudに存在しません [current key: {0}] [keys in cloud: {1}]
[S027] Citrix Cloud認証キーのストレージ形式をアップグレードしました [fas id: {0}]
[S028] FASは現在のテレメトリをクラウドに送信しました [fas id: {0}] [transaction id: {1}]
[S029] FASは現在のテレメトリをクラウドに送信できませんでした [fas id: {0}] [transaction id: {1}] [exception: {2}]

ログオン

これらのイベントは、ログオン段階でVDAに記録されます。

ログコード
[S101] IDアサーションログオンに失敗しました。認識されないフェデレーション認証サービスGPOインデックス [index: {0}] [registry name: {1}]
[S102] IDアサーションログオンに失敗しました。{0}のSIDルックアップに失敗しました [Exception: {1}{2}]
[S103] IDアサーションログオンに失敗しました。ユーザー{0}のSIDは{1}ですが、予期されるSIDは{2}です
[S104] IDアサーションログオンに失敗しました。{0}への呼び出しが [Error: {1} {2}] を返しました
[S105] IDアサーションログオン。ログオン中 [Username: {0} Domain: {1}]
[S106] IDアサーションログオン。\n\nフェデレーション認証サービス: {0}\n\nログオン中 [Certificate: {1}]
[S107] IDアサーションログオンに失敗しました。 [Exception: {0}{1}]
[S108] IDアサーションサブシステム。ACCESS_DENIED [Caller: {0}]

セッション内証明書

これらのイベントは、ユーザーがセッション内証明書の使用を試みたときにVDAに記録されます。

ログコード
[{0}]によって[PID: {1} Program Name: {2}Certificate thumbprint: {3}]の[S201]仮想スマートカードアクセスが承認されました
[S203]仮想スマートカードサブシステム。アクセス拒否 [caller: {0}, session {1}]
[S204]仮想スマートカードサブシステム。スマートカードサポートが無効です

証明書要求とキーペアの生成

これらのイベントは、FASサーバーが低レベルの暗号化操作を実行したときにログに記録されます。

ログコード
[S001] TrustArea::TrustArea: インストールされた証明書 [TrustArea: {0} Certificate {1}TrustAreaJoinParameters {2}]
[S014] Pkcs10Request::Create: PKCS10要求を作成しました [Distinguished Name: {0}] [Reason: {1}]
[S016] PrivateKey::Create [Identifier: {0}] [MachineWide: {1}] [Provider: {2}] [ProviderType: {3}] [EllipticCurve: {4}] [KeyLength: {5}] [isExportable: {6}] [CreateReason: {7}]
[S017] PrivateKey::Delete イベント [Provider: {0}] [Identifier {1}] [Twin: {2}]
[S018] PrivateKey::Create が失敗しました [Identifier: {0}] [MachineWide: {1}] [Provider: {2}] [ProviderType: {3}] [EllipticCurve: {4}] [KeyLength: {5}] [isExportable: {6}] [CreateReason: {7}] [Exception: {8}]

ログコード
[S104] FASはCA {0}から認証証明書を受信しました
[S105] MicrosoftCertificateAuthority::SubmitCertificateRequest 応答の送信エラー [{0}]
[S106] MicrosoftCertificateAuthority::SubmitCertificateRequest 証明書が発行されました [{0}]
[S112] MicrosoftCertificateAuthority::SubmitCertificateRequest - 承認待ち [CR_DISP_UNDER_SUBMISSION] [Reference: {0}]

エンドユーザーのエラーメッセージ

このセクションでは、Windowsログオンページにユーザーに表示される一般的なエラーメッセージを一覧表示します。

表示されるエラーメッセージ	説明と参照
ユーザー名またはパスワードが無効です	コンピューターは有効な証明書と秘密キーを持っていると認識していますが、Kerberosドメインコントローラーが接続を拒否しました。この記事の「*Kerberosログ*」セクションを参照してください。
システムがログオンできませんでした。資格情報を検証できませんでした。 / 要求はサポートされていません	ドメインコントローラーに接続できないか、ドメインコントローラーがスマートカード認証をサポートする証明書で構成されていません。ドメインコントローラーに「Kerberos認証」、「ドメインコントローラー認証」、または「ドメインコントローラー」証明書を登録してください。既存の証明書が有効に見える場合でも、これを試す価値はあります。
システムがログオンできませんでした。認証に使用されたスマートカード証明書は信頼されていませんでした。	中間証明書とルート証明書がローカルコンピューターにインストールされていません。証明書と公開鍵インフラストラクチャを参照してください。
不正な要求	これは通常、証明書の拡張機能が正しく設定されていないか、RSAキーが短すぎる（<2048ビット）ことを示します。

FAS常時オンのトレース

常時オンのトレースを使用すると、FASはそのアクティビティをファイルシステムにログ記録します。これにより、トラブルシューティングに役立ち、発生したインシデントを再現する必要がなくなる可能性があります。

以下のいずれかの方法でFASをインストールまたはアップグレードすると、常時オンのトレースが有効になります。

Citrix Virtual Apps and Desktops™インストーラー: ISOが挿入されたときの自動実行スプラッシュ画面にあるFederated Authentication Serviceボタンから
XenDesktopFasSetup.exe: Citrix Virtual Apps and Desktops ISOのx64\XenDesktop Setup\XenDesktopFasSetup.exeにあります
FasSetup_xxxx.exe: Citrix Downloadsから入手できるスタンドアロンFASインストーラーファイル。

注:

FASインストーラーMSIファイルFederatedAuthenticationService_x64.msiを使用してインストールまたはアップグレードする場合、常時オンのトレースは利用できません。

常時オンのトレースの収集

Citrix Scoutを使用して、FASサーバーから常時オンのトレースおよびその他の診断データを収集します。Citrix Scoutは、前述のいずれかの方法でFASをインストールするとインストールされます。

常時オンのトレースの無効化

何らかの理由で常時オンのトレースを無効にしたい場合は、FASサーバーでCitrix Telemetry Serviceを停止して無効にします。

常時オンのトレースを中央ログサーバーに送信する

この構成は、LTSR 2507 CU1以降にのみ適用されます。詳細および構成手順については、常時オンのトレース（AOT）の記事を参照してください。

フェデレーション認証サービス