インストールと構成
インストールとセットアップの順序
-
FAS 管理コンソールを使用して、以下を実行します。
-
FAS を Citrix Cloud に接続 (オプション)
Federated Authentication Service のインストール
セキュリティのため、Citrix では Federated Authentication Service (FAS) を専用サーバーにインストールすることをお勧めします。このサーバーは、ドメインコントローラーまたは証明機関と同様の方法で保護する必要があります。FAS は、以下のいずれかからインストールできます。
-
ISO の挿入時に自動実行スプラッシュ画面に表示されるFederated Authentication Service ボタンから、Citrix Virtual Apps and Desktops™ インストーラーを使用
-
XenDesktopFasSetup.exeは、Citrix Virtual Apps and Desktops ISO のx64\XenDesktop Setup\XenDesktopFasSetup.exeにあります -
FasSetup_xxxx.exe、スタンドアロンFASインストーラーファイル。スタンドアロンFASインストーラーファイル (Citrix Downloads) から入手可能
これらのいずれかをインストールすると、以下のコンポーネントがインストールされます。
-
フェデレーション認証サービス
-
高度なFAS構成用の PowerShell snap-in cmdlets
-
FASグループポリシーテンプレート (CitrixFederatedAuthenticationService.admx または CitrixFederatedAuthenticationService.adml)
-
証明書テンプレートファイル
-
パフォーマンスカウンター および イベントログ
-
FASの常時トレースをサポートするCitrix Telemetry Service
-
常時トレースなどの診断情報を収集するために使用できるアプリケーションである Citrix Scout
インストーラーの詳細については、「FASのインストール用コマンドラインオプション」を参照してください。
FASのアップグレード
インプレースアップグレードを使用して、FASを新しいバージョンにアップグレードできます。アップグレードする前に、以下を考慮してください。
-
インプレースアップグレードを実行すると、すべてのFASサーバー設定が保持されます。
-
FASをアップグレードする前に、FAS管理コンソールを閉じてください。
-
常に少なくとも1つのFASサーバーが利用可能であることを確認してください。Federation Authentication Serviceが有効なStoreFront™サーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。
アップグレードを開始するには、Citrix Virtual Apps and DesktopsインストーラーまたはスタンドアロンのFASインストーラーファイルからFASをインストールします。
StoreFrontストアでFASプラグインを有効にする
注：
Citrix CloudでのみFASを使用している場合は、この手順は不要です。
StoreFrontストアでFASプラグインを有効にする方法の詳細については、
<https://docs.citrix.com/ja-jp/storefront/2607-ltsr/configure-authentication-and-delegation/fas>を参照してください。
Delivery Controller™を構成する
注：
Citrix CloudでのみFASを使用している場合は、この手順は不要です。
FASを使用するには、Citrix Virtual AppsまたはCitrix Virtual Desktops™ Delivery Controllerが接続先のStoreFrontサーバーを信頼するように構成します。これには、PowerShellコマンドレット Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true を実行します。このコマンドは、サイト上のDelivery Controllerの数に関係なく、サイトごとに1回実行します。
グループポリシーを構成する
注：
すべてのFASサーバーとVDAがバージョン2511以降の場合、VDA上のグループポリシーFQDNリストは不要になります。FAS V2チケッティングとレジストリアドレスリストを参照してください。
FASをインストールした後、インストールで提供されるグループポリシテンプレートを使用して、グループポリシー内のサーバーの完全修飾ドメイン名（FQDN）を指定します。
重要:
チケットを要求するStoreFrontサーバーと、チケットを引き換えるVirtual Delivery Agent (VDA) が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、FQDNの同一の構成を持つようにしてください。
簡素化のため、以下の例では、すべてのマシンに適用されるドメインレベルで単一のポリシーを構成します。ただし、これは必須ではありません。FASは、StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンが同じFQDNのリストを参照できる限り機能します。手順6を参照してください。
手順1. FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx および CitrixBase.admx の両ファイルと、en-US フォルダーを見つけてください。
手順2. これらのファイルをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitionsおよびen-USサブフォルダーに配置します。
手順3. Microsoft Management Console (コマンドラインからmmc.exe) を実行します。メニューバーから、［ファイル］>［スナップインの追加と削除］ の順に選択します。［グループポリシー管理エディター］ を追加します。
グループポリシーオブジェクトの入力を求められたら、［参照］ を選択し、［Default Domain Policy］ を選択します。または、任意のツールを使用して、環境に適したポリシーオブジェクトを作成して選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア（VDA、StoreFrontサーバー、管理ツール）を実行しているすべてのマシンに適用する必要があります。
手順4. ［コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証］で、Federated Authentication Serviceポリシーに移動します。
注:
Federated Authentication Serviceポリシー設定は、CitrixBase.admx/CitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加した場合にのみ、ドメインGPOで使用できます。手順3の後、Federated Authentication Serviceポリシー設定は、［管理用テンプレート］>［Citrixコンポーネント］>［認証］ フォルダーに表示されます。
手順5. Federated Authentication Serviceポリシーを開き、［有効］ を選択します。これにより、［表示］ ボタンを選択できるようになり、FASサーバーのFQDNを構成できます。
手順6. FASサーバーのFQDNを入力します。
重要:
複数のFQDNを入力する場合、VDA、StoreFrontサーバー（存在する場合）、およびFASサーバーから見て、リストの順序は一貫している必要があります。グループポリシー設定を参照してください。
手順7. OKをクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。変更を有効にするには、マシンを再起動するか（またはコマンドラインからgpupdate /forceを実行する）必要がある場合があります。
インセッション動作
このポリシーは、ユーザーのVDAセッションでエージェントプロセスをアクティブ化し、インセッション証明書、同意、およびロック時の切断をサポートします。インセッション証明書は、このポリシーが有効になっており、かつ、証明書の作成に使用されたFASルールでインセッションでの使用が許可されている場合にのみ利用可能です。ルールの構成を参照してください。
有効にすると、このポリシーが有効になり、FASエージェントプロセスがユーザーのVDAセッションで実行できるようになります。
無効にすると、このポリシーが無効になり、FASエージェントプロセスが実行されなくなります。
プロンプトスコープ
このポリシーが有効になっている場合、プロンプトスコープは、アプリケーションがインセッション証明書を使用することを許可するための同意をユーザーにどのように求めるかを制御します。3つのオプションがあります。
-
同意不要—このオプションはセキュリティプロンプトを無効にし、秘密鍵はサイレントに使用されます。
-
プロセスごとの同意—実行中の各プログラムが個別に同意を求めます。
-
セッションごとの同意—ユーザーがOKをクリックすると、このオプションはセッション内のすべてのプログラムに適用されます。
同意タイムアウト
このポリシーが有効な場合、同意タイムアウトは同意が持続する期間（秒単位）を制御します。たとえば、300秒の場合、ユーザーは5分ごとにプロンプトを表示されます。値がゼロの場合、すべての秘密鍵操作に対してユーザーにプロンプトが表示されます。
ロック時に切断
このポリシーが有効な場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この動作は、「スマートカード取り外し時に切断」ポリシーに似ています。ユーザーがActive Directoryログオン資格情報を持っていない場合に、この機能を使用します。
注：
ロック時に切断するポリシーは、VDA上のすべてのセッションに適用されます。
フェデレーション認証サービス管理コンソールの使用
注：
FAS管理コンソールはほとんどの展開に適していますが、PowerShellインターフェイスはより高度なオプションを提供します。FAS PowerShellコマンドレットの詳細については、PowerShellコマンドレットを参照してください。
FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）はスタートメニューに配置されます。
管理コンソールを初めて使用するときは、次のプロセスを実行するようにガイドされます。
-
証明書テンプレートを展開する。
-
証明機関をセットアップする。
-
FASが証明機関を使用することを承認する。
OS構成ツールを使用して、一部の手順を手動で完了することもできます。
FAS管理コンソールは、デフォルトでローカルFASサービスに接続します。必要に応じて、コンソールの右上にある別のサーバーに接続を使用してリモートサービスに接続できます。
ローカライズされた画像(/en-us/federated-authentication-service/2607-ltsr/media/admin-console-initial-setup.png)
証明書テンプレートを展開する
他のソフトウェアとの相互運用性の問題を回避するため、FASは独自の用途のために3つのCitrix証明書テンプレートを提供します。
-
Citrix_RegistrationAuthority_ManualAuthorization
-
Citrix_RegistrationAuthority
-
Citrix_SmartcardLogon
これらのテンプレートはActive Directoryに登録する必要があります。「展開」ボタンをクリックし、「OK」をクリックします。
ローカライズされた画像(/en-us/federated-authentication-service/2607-ltsr/media/deploy-cert-templates.png)
テンプレートの構成は、FASとともにインストールされる拡張子.certificatetemplateのXMLファイルにあります。場所は次のとおりです。
C:\プログラムファイル\Citrix\フェデレーテッド認証サービス\証明書テンプレート
証明書テンプレートフォルダー。(/en-us/federated-authentication-service/2607-ltsr/media/certificate-templates.png)
これらのテンプレートファイルをインストールする権限がない場合は、Active Directory管理者に渡してください。
テンプレートを手動でインストールするには、テンプレートを含むフォルダーから次のPowerShellコマンドを実行します。
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)
Active Directory証明書サービスをセットアップする
Citrix証明書テンプレートをインストールしたら、1つ以上のMicrosoft Enterprise証明機関サーバーに公開する必要があります。Active Directory証明書サービスの展開方法については、Microsoftのドキュメントを参照してください。
認証局を管理する権限を持つユーザーは、少なくとも1つのサーバーにテンプレートを公開する必要があります。それらを公開するには、Set Up Certificate Authority を使用します。
(証明書テンプレートは、Microsoft Certification Authority コンソールを使用して公開することもできます。)
フェデレーテッド認証サービスを承認する
この手順により、FAS の承認が開始されます。管理コンソールは、Citrix_RegistrationAuthority_ManualAuthorization テンプレートを使用して証明書要求を生成し、そのテンプレートを公開している認証局のいずれかに送信します。
要求が送信されると、Microsoft Certification Authority コンソールの Pending Requests リストに、FAS マシンアカウントからの保留中の要求として表示されます。FAS の構成を続行する前に、認証局管理者はその要求を発行または拒否する必要があります。
管理者が Issue または Deny を選択するまで、FAS 管理コンソールはビジー状態の「スピナー」を表示します。
Microsoft Certification Authority コンソールで、All Tasks を右クリックし、証明書要求に対して Issue または Deny を選択します。Issue を選択すると、FAS 管理コンソールに承認証明書が表示されます。Deny を選択すると、コンソールにエラーメッセージが表示されます。
FAS 管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。
ルールの構成
FAS は、StoreFront の指示に従い、VDA ログオンおよびセッション内使用のための証明書の発行を承認するためにルールを使用します。
各ルールは以下を指定します。
-
証明書を要求することが信頼されているStoreFrontサーバー。
-
証明書が要求されるユーザーのセット。
-
証明書の使用が許可されているVDAマシンのセット。
Citrixは、「default」という名前のルールを作成することを推奨します。これは、FASに接続する際にStoreFrontが同じ名前のルールを要求するためです。
異なる証明書テンプレートと証明機関を参照し、異なるプロパティと権限を持つように、さらにカスタムルールを作成できます。これらのルールは、異なるStoreFrontサーバーまたはWorkspaceで使用するように構成できます。グループポリシー構成オプションを使用して、StoreFrontサーバーがカスタムルールを名前で要求するように構成します。
「作成」をクリックするか（「ルール」タブで「ルールの作成」をクリック）、ルールを作成するための情報を収集するルール作成ウィザードを開始します。「ルール」タブには、各ルールの概要が表示されます。
ローカライズされた画像(/en-us/federated-authentication-service/2607-ltsr/media/user-rules.png)
ウィザードは次の情報を収集します。
テンプレート: ユーザー証明書の発行に使用される証明書テンプレート。これはCitrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります（証明書テンプレートを参照）。
証明機関: ユーザー証明書を発行し、テンプレートを公開する証明機関。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。選択した証明機関のステータスが「テンプレート利用可能」と表示されていることを確認してください。証明機関の管理を参照してください。
セッション内使用: 「セッション内使用を許可」オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。
-
「セッション内使用を許可」が選択されていない場合（デフォルト、推奨）—証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後に証明書にアクセスできません。
-
「セッション内使用を許可」が選択されている場合—ユーザーは認証後に証明書にアクセスできます。ほとんどのお客様は、このオプションを選択しないでください。イントラネットWebサイトやファイル共有など、VDAセッション内からアクセスされるリソースは、Kerberosシングルサインオンを使用してアクセスできるため、セッション内証明書は必要ありません。「セッション内使用を許可」を選択した場合、セッション内動作グループポリシーも有効にしてVDAに適用する必要があります。その後、証明書はログオン後にアプリケーションで使用するためにユーザーの個人証明書ストアに配置されます。たとえば、VDAセッション内でWebサーバーへのTLS認証が必要な場合、Internet Explorerはその証明書を使用できます。
アクセス制御: ユーザーのログオンまたは再接続のために証明書を要求することを承認された、信頼できるStoreFrontサーバーマシンのリスト。これらのすべての権限に対して、個々のADオブジェクトまたはグループを追加できます。
重要:
アクセス制御設定はセキュリティ上重要であり、慎重に管理する必要があります。
注:
FASサーバーをCitrix Cloudでのみ使用している場合、アクセス制御を構成する必要はありません。Citrix Cloudでルールが使用される場合、StoreFrontのアクセス許可は無視されます。Citrix CloudとオンプレミスのStoreFront展開の両方で同じルールを使用できます。オンプレミスのStoreFrontでルールが使用される場合、StoreFrontのアクセス許可は引き続き適用されます。
デフォルトの権限（「IDアサート」が許可されている）はすべてを拒否します。そのため、StoreFrontサーバーを明示的に許可する必要があります。
制限: FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリスト。
-
VDA権限の管理では、どのVDAがFASを使用してユーザーをログオンできるかを指定できます。VDAのリストはデフォルトでドメインコンピューターです。
-
ユーザー権限の管理では、どのユーザーがFASを使用してVDAにサインインできるかを指定できます。ユーザーのリストはデフォルトでドメインユーザーです。
注:
FASサーバーのドメインがVDAおよびユーザーのドメインと異なる場合、デフォルトの制限を変更する必要があります。
クラウドルール: Citrix WorkspaceからIDアサーションが受信されたときにルールが適用されるかどうかを示します。Citrix Cloudに接続するときに、Citrix Cloudに使用するルールを選択します。Citrix Cloudへの接続セクションのリンクから、Citrix Cloudに接続した後でルールを変更することもできます。
Citrix Cloudに接続する
FASサーバーをCitrix WorkspaceでCitrix Cloudに接続できます。詳細については、こちらのCitrix Workspaceの記事を参照してください。
-
-
接続するクラウドを選択し、Nextをクリックします。
-
ウィンドウに一意の登録コードが表示されます。このコードはCitrix Cloudで承認する必要があります。詳細については、「オンプレミス製品をCitrix Cloudに登録する」を参照してください。
-
登録コードが検証されたら、ドロップダウンリストから必要なリソースの場所を選択します。
-
該当する場合は顧客アカウントを選択し、FASサーバーを接続するリソースの場所を選択します。Continueをクリックし、確認ウィンドウを閉じます。
-
Choose a ruleセクションで、既存のルールを使用するか、新しいルールを作成します。Nextをクリックします。
-
Summaryセクションで、FinishをクリックしてCitrix Cloudへの接続を完了します。
注:
オンプレミスの FAS サーバーは、Citrix Cloud と Citrix Virtual Apps and Desktops へのアクセスを同時に許可するユーザー証明書を発行できます。