秘密鍵の保護

最終公開日 : Oct 24, 2026
Related information
高度な構成

はじめに

FAS証明書は、FASサーバー上の組み込みデータベースに保存されます。FAS証明書に関連付けられた秘密鍵は、FASサーバーのネットワークサービスアカウントの下に保存されます。デフォルトでは、キーはエクスポート不可の2048ビットRSAであり、Microsoft Software Key Storage Providerで作成および保存されます。
FAS PowerShellコマンドPowerShellコマンドレットを使用すると、秘密鍵のプロパティと保存場所を変更できます。
注：
FASの構成と証明書は、FASサーバーにローカルに保存されます。データはFASサーバー間で共有されません。
Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密鍵のプロパティは%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config.にあるXMLファイルを編集することで構成されていました。 これはPowerShellコマンドに置き換えられました。PowerShellコマンドは、より柔軟性があり、FASサーバーを再起動せずに適用できます。 さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。 したがって、以下の設定に対するXMLファイルを使用した構成はサポートされなくなりました。
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType
  • Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength
「Citrix Virtual Apps and Desktops™ 2411より前のFASバージョンからのアップグレード」のセクションを参照してください。

FAS証明書とテンプレートに関する情報

FASが保持する証明書には2種類あります。通常1つのインスタンスである承認証明書と、ユーザー証明書です。
注:
FAS承認証明書は、登録機関または要求エージェント (RA) 証明書とも呼ばれることがあります。
FASは、証明書を要求する際に証明書テンプレートを使用します。これについては、次のセクションで説明します。FASは証明書要求でテンプレート名を指定しますが、テンプレートの内容は読み取りません。したがって、テンプレートの設定を変更しても、FASが行う証明書要求には影響しません。テンプレートの特定のプロパティを変更すると、CAによって生成される証明書に影響します。たとえば、テンプレートを使用して有効期間を変更できます。

FAS承認証明書

この証明書は、FASを構成するときに作成されます。FAS管理コンソールの承認または再承認ボタンを使用して、新しい承認証明書を要求できます。
PowerShellコマンドを使用することも可能で、これにより柔軟性が向上します。
  • New-FasAuthorizationCertificate: このコマンドはFAS管理コンソールと同様に動作しますが、承認プロセスで使用する証明書テンプレートを指定できる点が異なります。
  • New-FasAuthorizationCertificateRequest: このコマンドは、承認証明書のオフライン要求を作成します。オフライン承認。
承認証明書は、FASが登録機関として機能し、ユーザーに代わって証明書を要求するため、RA証明書とも呼ばれることがあります。この証明書には、拡張キー使用法証明書要求エージェントがあり、FASユーザー証明書を要求する際の承認資格情報として使用できます。
デフォルトでは、承認プロセスは次のテンプレートを使用します。
  • Citrix_RegistrationAuthority_ManualAuthorization: このテンプレートを使用して作成された証明書は一時的で短命であり、承認プロセスをブートストラップするために使用されます。
  • Citrix_RegistrationAuthority: このテンプレートを使用して作成された証明書は有効期間が長く、FASサーバーによって保存されます。
FASを承認すると、次の手順が実行されます。
  1. FASはキーペアを作成し、キーペアの公開鍵とテンプレートCitrix_RegistrationAuthority_ManualAuthorizationを指定して、証明書署名要求 (CSR) をCAに送信します。
  2. テンプレートの発行要件では、CSRはCA管理者によって手動で承認される必要があると指定されています。
  3. CA管理者がCSRを承認すると、CAはFASが取得する証明書を作成します。この証明書の有効期間は1日と短く、次のステップでのみ使用されます。使用されると、FASはその証明書とキーペアを破棄します。
  4. FASは別のキーペアを作成し、2番目のCSRをCAに送信します。このCSRでは、このキーペアの公開鍵とテンプレートCitrix_RegistrationAuthorityを指定します。この要求は、前のステップで取得した証明書によって承認され、署名されます。
  5. CAは自動的に証明書を発行し、FASはその証明書を取得します。これにより、FASは承認済みの状態になります。デフォルトでは、この承認証明書の有効期間は2年間です。
前述のキーペアの作成に使用された設定は、次のPowerShellコマンドを使用して表示できます。
Get-FasKeyConfig -Address localhost -CertificateType ra

FASユーザー証明書

FASは、ユーザーをVDAにサインインさせるためにユーザー証明書を作成します。
FASがユーザー証明書を作成する際には、次の手順が実行されます。
  • FASはキーペアを作成し、CSRをCAに送信します。このCSRでは、キーペアの公開鍵、ユーザーのID、およびデフォルトでテンプレートCitrix_SmartcardLogonを指定します（使用されるテンプレートは構成可能です）。
  • CSRはFAS承認証明書を使用して署名されます。
  • Citrix_SmartcardLogonテンプレートには発行要件Application Policy: Certificate Request Agentがあります。この属性はFAS承認証明書に存在するため、CAはユーザー証明書を自動的に発行します。
  • FASは証明書を取得し、FASサーバー上の組み込みデータベースに保存します。
  • デフォルトでは、証明書の有効期間は1週間です。
その後、ユーザー証明書はユーザーをサインインさせるためにVDAで利用可能になります。
前述のキーペアの作成に使用された設定は、次のPowerShellコマンドを使用して表示できます。
Get-FasKeyConfig -Address localhost -CertificateType user

秘密鍵の保存オプション

FASは、キーペアを3つのカテゴリのストレージに作成および保存するように構成できます。
  • ソフトウェア: 通常、Microsoft Software Key Storage Providerを使用します。これはソフトウェアのみで保護され、データはディスクに保存されます。
  • Trusted Platform Module (TPM): TPMは、コンピューター上の物理ハードウェアであるか、ハイパーバイザーによって提供される仮想TPMである場合があります。
  • Hardware Security Module (HSM): これは、暗号化キーを安全に保存するように設計されたハードウェア周辺機器またはネットワークデバイスです。
注:
考慮すべきトレードオフがあります。ハードウェアストレージはより安全である可能性がありますが、特に多数のユーザー証明書キーペアを作成および保存する場合、パフォーマンスが低下することがよくあります。
FAS承認証明書に関連付けられた秘密鍵は特に機密性が高く、証明書のポリシーにより、秘密鍵を所有する者は誰でも、任意のユーザーの証明書要求を承認できるためです。結果として、この鍵を制御する者は誰でも、任意のユーザーとして環境に接続できます。
注:
Microsoft CAは、証明書を発行できるユーザーのセットを含め、FAS承認証明書の権限を制限するように構成できます。詳細については、「委任された登録エージェント」を参照してください。
このため、FASでは、承認証明書とユーザー証明書の秘密鍵プロパティを個別に構成できます。
一般的な構成をいくつか示します。
承認証明書キー ユーザー証明書キー コメント
ソフトウェア ソフトウェア デフォルト構成
TPM ソフトウェア 承認証明書にはハードウェア保護があります
HSM HSM すべての証明書にはハードウェア保護があります
注：
ハードウェアTPMはユーザーキーには推奨されません。承認証明書キーにのみTPMを使用してください。仮想化環境でFASサーバーを実行する予定がある場合は、ハイパーバイザーベンダーにTPM仮想化がサポートされているか確認してください。

キー構成PowerShellコマンド

秘密キーの構成に関連するコマンドは次のとおりです。
  • Get-FasKeyConfig
  • Set-FasKeyConfig
  • Reset-FasKeyConfig
  • Test-FasKeyConfig
詳細については、PowerShell コマンドレットを参照してください。
承認証明書とユーザー証明書のキー構成は独立しており、CertificateType 引数で指定されます。例えば、承認証明書 (RA 証明書) を要求する際に使用される秘密鍵構成を取得するには、次のようにします。
Get-FasKeyConfig -Address localhost -CertificateType ra
ユーザー証明書を要求する際に使用される秘密鍵構成を取得するには、次のようにします。
Get-FasKeyConfig -Address localhost -CertificateType user
Set-FasKeyConfig と Get-FasKeyConfig を使用して、以下の秘密鍵プロパティを設定および検査できます。
プロパティ 既定値 コメント
長さ 2048 ビット単位のキー長。Microsoft テンプレート GUI では、暗号化タブで*最小*キーサイズが指定されていることに注意してください。FAS で構成されたキー長がテンプレートで指定された最小キーサイズよりも小さい場合、CSR は CA によって拒否されます。
RSAキーの場合、長さは1024ビット、2048ビット、または4096ビットにできます。
ECCキーの場合、長さは256ビット、384ビット、または521ビットにできます。
エクスポート可能 偽 プライベートキーをそのプロバイダーからエクスポートできるかどうか。
プレフィックス なし FASによって生成されるプライベートキーの識別子に追加するプレフィックスを指定します。生成される識別子は、プレフィックスとGUIDで構成されます。例: MyPrefix70277985-6908-4C6F-BE59-B08691456804。
楕円曲線 偽 trueの場合、ECCキーペアが生成され、それ以外の場合はRSAキーペアが生成されます。
キー記憶域プロバイダー (KSP) 真 trueの場合、FASは最新のWindows CNG APIを使用し、ProviderプロパティでKSPを指定する必要があります。
falseの場合、FASはレガシーCAPI APIを使用し、Providerプロパティで暗号化サービスプロバイダー (CSP) を指定する必要があります。CitrixはKSPの使用を推奨しています。
プロバイダー Microsoft Software キー ストレージ プロバイダー キーペアが作成および保存されるプロバイダーの名前です。このプロパティを変更して、TPMまたはHSMを指定できます。HSMのKSP (またはCSP) はHSMベンダーによって提供されます。ベンダーは、ソフトウェアのインストール方法とプロバイダーの名前に関する指示を提供します。
CSPタイプ 24 KSPプロパティがfalseに設定されている場合にのみ関連します。
Microsoft KeyContainerPermissionAccessEntry.ProviderType Property PROV_RSA_AES 24を参照してください。CSPを持つHSMを使用しており、HSMベンダーが別途指定しない限り、常に24である必要があります。
さらに、Set-FasKeyConfig は、便宜上、以下のスイッチとともに使用できます。
フラグ 説明
-UseDefaultSoftwareProvider Provider プロパティを Microsoft Software Key Storage Provider に、KSP フィールドを true に設定します。
-UseDefaultTpmProvider Provider プロパティを Microsoft Platform Crypto Provider に、KSP フィールドを true に設定します。
Microsoft Software Key Storage Provider は、通常、ディスク上にキーを作成および保存するために使用されるプロバイダーです。
Microsoft Platform Crypto Provider は、通常、TPM にキーを作成および保存するために使用されるプロバイダーです。
Get-FasKeyConfig は、どのプロバイダーとアルゴリズムが使用されているかを確認するのに役立つフィールドも提供します。
フィールド 意味
IsDefaultSoftwareProvider true の場合、プロバイダーが Microsoft Software Key Storage Provider に設定され、KSP フィールドが true に設定されていることを示します。
IsDefaultTpmProvider 「true」の場合、プロバイダーが「Microsoft Platform Crypto Provider」に設定され、「KSP」フィールドが「true」に設定されていることを示します。
アルゴリズム 「RSA」は、RSAキーが作成されることを示します（「EllipticCurve」プロパティは「false」です）。
「ECC」は、ECCキーが作成されることを示します（「EllipticCurve」プロパティは「true」です）。
Reset-FasKeyConfigを使用して、設定をデフォルトに戻すことができます。
Reset-FasKeyConfig -Address localhost -CertificateType ra
Reset-FasKeyConfig -Address localhost -CertificateType user
注：
秘密キー構成（Set-FasKeyConfigまたはReset-FasKeyConfigを使用）への変更は、新しく作成された証明書に直ちに適用されます。ただし、異なる構成の既存の承認証明書およびユーザー証明書には影響しません。
既存の証明書は、管理コンソールからFASサービスを非承認にするか、FASの非承認とFAS証明書の削除のPowerShellコマンドを使用して削除できます。
現在のユーザーキー構成に準拠しないキープール内の事前生成されたキーはすべて破棄されます。

構成シナリオの例

各例では、既存の証明書は構成変更の影響を受けないため、FASサービスを承認する前に、提供されているPowerShellを使用してキー構成を設定してください。
誤ったキー構成の承認証明書またはユーザー証明書が既にある場合は、FAS証明書の検査とFASの非承認とFAS証明書の削除で削除できます。
FASサーバーがライブ展開にある場合は、構成変更を行う間、メンテナンスモードにすることを検討してくださいメンテナンスモード。

例1 - すべてのキーをMicrosoft Software Key Storage Providerに保存する

これはデフォルトであるため、追加の構成は必要ありません。
以前にキー構成を変更した場合は、次のコマンドを使用して Microsoft Software Key Storage Provider の使用に戻すことができます。
Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultSoftwareProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider
Reset-FasKeyConfig を使用して Microsoft Software Key Storage Provider に戻し、さらに他のすべてのキー構成設定をデフォルトに復元できます。

例 2 - 認証証明書キーを TPM に保存する

この例では、FAS 認証証明書キーを TPM (物理または仮想) に保存し、ユーザー証明書キーを Microsoft Software Key Storage Provider に保存する方法を示します。
FAS は TPM で保護されたキーを持つユーザー証明書を生成できますが、大規模な展開では TPM ハードウェアが遅すぎたり、サイズが制限されたりする可能性があります。
次の PowerShell コマンドを使用します。
Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultTpmProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider

例 3 - すべてのキーを HSM に保存する

この例では、HSM を使用して認証証明書とユーザー証明書の両方の秘密キーを保存する方法を示します。この例では、構成済みの HSM を前提としています。HSM にはプロバイダー名があります。たとえば、HSM Vendor Key Storage Provider などです。
次の PowerShell コマンドを使用します (例のテキストを HSM のプロバイダーの実際の名前で置き換えてください)。
Set-FasKeyConfig -Address localhost -CertificateType ra -Provider "HSM Vendor Key Storage Provider"
Set-FasKeyConfig -Address localhost -CertificateType user -Provider "HSM Vendor Key Storage Provider"

例 4 - 楕円曲線キーを使用する

デフォルトでは、FAS は RSA キーを生成します。この例では、認証証明書とユーザー証明書の両方に楕円曲線 (ECC) キーが構成されています。
この例では、異なるキー長を使用しています。認証証明書は 384 ビットキーで構成され、ユーザー証明書は 256 ビットキーで構成されています。
Set-FasKeyConfig -Address localhost -CertificateType ra -EllipticCurve $true -Length 384
Set-FasKeyConfig -Address localhost -CertificateType user -EllipticCurve $true -Length 256
この時点では、FAS 証明書テンプレートの最小キーサイズがデフォルトで 1024 ビットに設定されているため、認証およびユーザー証明書要求が CA によって拒否される可能性があります。
したがって、この例では、テンプレートの最小キーサイズを次のように変更する必要があります。
  • Citrix_RegistrationAuthority_ManualAuthorization and Citrix_RegistrationAuthority: 最小キーサイズを384（またはそれ以下）に変更します。
  • Citrix_SmartcardLogon: 最小キーサイズを256（またはそれ以下）に変更します。
テンプレートを編集するには、mmc.exeを実行し、証明書テンプレートスナップインを追加します。テンプレートを見つけて、そのプロパティを開きます。最小キーサイズの設定は、テンプレートのプロパティの暗号化タブにあります。
注：
ECCキーを持つユーザー証明書は、Citrix Virtual Apps and Desktops 2411以降を実行しているWindows VDAでのみサポートされます。 ECCキーはLinux VDAではサポートされていません。

秘密キー構成のテスト

Set-FasKeyConfigコマンドは一部の検証を行いますが、無効なキー構成を設定することは依然として可能です。たとえば、HSMのプロバイダー名に誤りがある場合や、指定したキー長がハードウェアでサポートされていない場合があります。
Test-FasKeyConfigコマンドが役立ちます。これは現在のキー構成を使用してキーペアの作成を試み、成功または失敗を報告します。失敗した場合は、その理由が示されます。成功した場合、キーペアは直ちに破棄されます。
次のPowerShellコマンドは、それぞれ認証とユーザーキー構成をテストします。
Test-FasKeyConfig -Address localhost -CertificateType ra
Test-FasKeyConfig -Address localhost -CertificateType user
FASサーバーを承認し、ルールを作成したら、次のようにユーザー証明書のテストCSRを追加で作成できます。
Test-FasCertificateSigningRequest -Address localhost -UserPrincipalName user@example.com -Rule default
<mailto:user@example.com/>をActive Directory展開からの実際のUPNに置き換えます。FASルールは通常defaultという名前です。ただし、設定した別のルールをテストしたい場合は、その名前を指定してください。
CSRが成功した場合、FASは結果の証明書を破棄します。

FAS証明書の検査

PowerShellを使用して、証明書のプロパティを検査し、関連する秘密キーがどこに保存されているかを判断できます。

承認証明書の検査

FAS管理コンソールでauthorization certificateリンクをクリックすると、承認証明書を表示できます。
承認証明書(/en-us/federated-authentication-service/2511/media/auth-cert-config.png)
ただし、より詳細な情報についてはPowerShellを使用してください。
Get-FasAuthorizationCertificate -Address localhost -FullCertInfo
いくつかのフィールドが返されます。その中には、証明書が作成および保存されたプロバイダーを示すPrivateKeyProviderが含まれます。
PrivateKeyProvider キーの保存場所
マイクロソフト ソフトウェア キー ストレージ プロバイダー キーはディスクに保存され、Microsoftのソフトウェアプロバイダーによって保護されています。
マイクロソフト プラットフォーム 暗号化プロバイダー キーはTPM（物理または仮想）に保存されます。
HSMベンダーキーストレージプロバイダー（例のみ） キーはHSMに保存されます（この例では、ベンダーのプロバイダーはHSM Vendor Key Storage Providerという名前です）。

ユーザー証明書の検査

FASサーバーにキャッシュされているすべてのユーザー証明書のリストを次のように取得できます。
Get-FasUserCertificate -Address localhost -KeyInfo $true
KeyInfo パラメーターを使用すると、出力に証明書に関連付けられた秘密キーに関する詳細情報が含まれます。特に、PrivateKeyProvider フィールドは、証明書に関連付けられたキーペアがどこに保存されているかを示します（この値の解釈については、前のセクションを参照してください）。
-UserPrincipalName のようなさまざまなオプションパラメーターを使用して、返される証明書のセットをフィルターできます。
コマンド出力の証明書フィールドは、PEMエンコードされたユーザー証明書です。Windows証明書GUIを使用して証明書を表示するには、テキストを.crtファイルにコピーします。
コマンド 説明
$CertInfos = Get-FasUserCertificate -Address localhost このリストには複数のユーザー証明書が含まれている場合があります。
$CertInfo = $CertInfos[0] この例では、最初のユーザー証明書を選択します。
$CertInfo.Certificate > c:\temp\user.crt PEMデータを.crtファイルにパイプします。
c:\temp\user.crt Windows GUIで.crtファイルを開きます。

Citrix Virtual Apps and Desktops 2411より前のFASバージョンからのアップグレード

Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密キーのプロパティは、次の場所にあるXMLファイルを編集して構成されていました。
%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config
これは、このドキュメントで説明されているPowerShellコマンドに置き換えられました。これらのコマンドは、より柔軟性があり、FASサーバーを再起動せずに適用できます。
さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。
秘密キーの構成に関連するXMLファイルの設定は、対応するPowerShellパラメーター（Get-FasKeyConfigおよびSet-FasKeyConfigで使用されているもの）とともに、次のようにリストされています。
XMLファイル設定 XMLファイルのデフォルト値 PowerShellの同等物 コメント
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength 2048 -長さ -
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection GenerateNonExportableKey -Exportable
-UseDefaultTpmProvider
  • -Exportable を $true に設定することで、NoProtection が実現されます
    -Exportable を $false に設定することで、-GenerateNonExportableKey が実現されます
    -UseDefaultTpmProvider スイッチを指定することで、-GenerateTPMProtectedKey が実現されます
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp 偽 -Ksp -Ksp を $true に設定することで、- ProviderLegacyCsp false が実現されます
-ProviderLegacyCsp true は、-Ksp を $false に設定することで実現されます
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName - -プロバイダー -
Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType - -CspType -
XML構成のデフォルトとPowerShellのデフォルトは機能的に同等です。つまり、デフォルトでは、このバージョンおよびCitrix Virtual Apps and Desktops 2411より前のバージョンでFASによって生成されたキーペアのプロパティは同じです。
したがって、XML構成ファイルで上記のいずれの設定も変更していない場合は、FASをアップグレードする際に何もアクションを実行する必要はありません。
ただし、上記のいずれかの設定を変更した場合は、次のようにFASをアップグレードしてください。
  • FASをメンテナンスモードにします。メンテナンスモード。
  • FASインストーラーを実行するだけでFASをインプレースアップグレードします。アップグレード後、以前の設定はすべてXMLファイルに存在しなくなり、XMLファイルで構成することはできません。
  • キー構成PowerShellコマンド で説明されているように、PowerShellコマンド Set-FasKeyConfig を使用して、FAS秘密キー構成を希望どおりに設定します。認証およびユーザー証明書に必要な設定を考慮してください。
  • 秘密キー構成のテスト で説明されているように、構成をテストします
  • FASサーバーをメンテナンスモードから解除します
次回アップグレードする際、FAS秘密キー構成設定は保持され、特別な操作を行う必要はありません。

暗号化リモート処理

FASユーザー証明書に関連付けられた秘密キーは、VDAに転送されることはありません。代わりに、VDAがユーザーのFAS証明書をVDAへのサインインまたはセッション内使用のために使用する必要がある場合、暗号化要求はFASサーバーにリモート処理されます。これにより、秘密キーがFASキー記憶域（ソフトウェア記憶域、TPM、またはHSMのいずれであっても）から離れることがないため、セキュリティが向上します。
Windows VDAでは、これはVDA上のプロバイダーのペアを使用することで実現されます。暗号化要求を行うアプリケーションまたはオペレーティングシステムコードは、操作がFASサーバーにリモート処理されていることを認識しません。
Citrix Virtual Apps and Desktops 2411より前は、プロバイダーは暗号化サービスプロバイダー (CSP) でした。アプリケーションおよびオペレーティングシステムコードのアクセスは、古いWindows CAPI APIを介して行われました。プロバイダーは次のとおりです。
  • CitrixLogonCsp.dll: VDAへのシングルサインオン用
  • CitrixVirtualSmartcardCsp.dll: セッション内証明書用
Citrix Virtual Apps and Desktops 2411以降、追加のキー記憶域プロバイダー (KSP) がVDAに提供されます。アプリケーションおよびオペレーティングシステムコードは、新しいWindows CNG APIを使用してこれらにアクセスします。新しいプロバイダーは次のとおりです。
  • CitrixLogonKsp.dll: VDAへのシングルサインオン用
  • CitrixVirtualSmartcardKsp.dll: セッション内証明書用
KSPは、Windowsアプリケーションに暗号化操作を公開する、より最新の方法であり、より多くの機能を提供します。例:
  • ECCキーを持つ証明書がサポートされています
  • 確率的署名方式 (PSS) パディングがサポートされています
FASとVDAの両方がCitrix Virtual Apps and Desktops 2411以降を実行している場合、KSPリモート処理（つまり、新しいKSPを介したリモート処理）が使用されます。それ以外の場合、システムは古いCSPを使用してリモート処理にフォールバックします。

KSPリモート処理の無効化

互換性の問題が発生した場合、KSPリモート処理を無効にして、常に古いCSPリモート処理を使用できるようにすることが可能です。
次のPowerShellを使用します。
Set-FasServer -Address localhost -KspRemoting $false

メンテナンスモード

稼働中の FASサーバーの構成に変更を加える際は、メンテナンスモードにすることを検討してください。
FASがメンテナンスモードの場合、以下が適用されます。
  • WorkspaceまたはStoreFront™が公開アプリケーションまたはデスクトップの起動シーケンスの一部としてFASを呼び出す際、FASはメンテナンスモードであることを示します。呼び出し元は、別のFASサーバーを選択することでこれに対応する必要があります。
  • 追加の予防措置として、FASはメンテナンスモード中にユーザー証明書の自動作成を許可しません。これにより、意図しない設定でのユーザー証明書の誤った作成が回避されます。
  • ただし、VDAサインインやセッション内使用など、既存のユーザー証明書に関連するアクティビティは引き続き許可されます。
ユーザー証明書の自動作成は許可されていませんが、管理者はNew-FasUserCertificateやTest-FasCertificateSigningRequestなどのPowerShellコマンドを使用してユーザー証明書を作成できます。

管理コンソールの使用

メンテナンスモード

PowerShellの使用

FASサーバーをメンテナンスモードにするには、次のようにします。
Set-FasServer -Address localhost -MaintenanceMode $true
FASサーバーをメンテナンスモードから解除し（通常の操作に戻し）、次のようにします。
Set-FasServer -Address localhost -MaintenanceMode $false

関連情報