セキュリティとネットワーク構成

最終公開日 : Oct 24, 2026

Federated Authentication Service (FAS) は、Microsoft Active Directory および Microsoft 証明機関と密接に統合されています。ドメインコントローラーやその他の重要なインフラストラクチャと同様に、システムが適切に管理および保護されるようにし、セキュリティポリシーを策定してください。

このドキュメントでは、FAS を展開する際に考慮すべきセキュリティ問題の概要を説明します。また、インフラストラクチャの保護に役立つ可能性のある利用可能な機能の概要も説明します。

ネットワークアーキテクチャとセキュリティ

次の図は、FAS 展開で使用される主要なコンポーネントとセキュリティ境界を示しています。

FAS サーバーは、証明機関およびドメインコントローラーとともに、セキュリティ上重要なインフラストラクチャの一部です。フェデレーション環境では、Citrix Gateway と Citrix StoreFront はユーザー認証を実行するコンポーネントです。他の Citrix Virtual Apps and Desktops™ コンポーネントは、FAS の導入による影響を受けません。

サーバーとプロトコルを示す図 (/en-us/federated-authentication-service/current-release/media/fas-security-network.png)

サーバー	接続
フェデレーション認証サービス	StoreFront™ および VDA からの Kerberos セキュリティを備えた [in] HTTP、Microsoft 証明機関への [out] DCOM
Citrix ゲートウェイ	クライアントマシンからの [in] HTTPS、StoreFront サーバーへの/からの [in/out] HTTPS、VDA への [out] HDX
StoreFront	Citrix Gateway からの [in] HTTPS、Delivery Controller™ への [out] HTTPS、FAS への Kerberos セキュリティを備えた [out] HTTP
デリバリーコントローラー	StoreFrontサーバーからの[in] HTTPS、VDAからの[in/out] Kerberosセキュリティ付きHTTP
VDA	Delivery Controllerからの[in/out] Kerberosセキュリティ付きHTTP、Citrix Gatewayからの[in] HDX、FASへの[out] Kerberosセキュリティ付きHTTP
Microsoft証明機関	FASからの[in] DCOM

StoreFrontとFAS間の通信

VDAを起動する際、StoreFrontサーバーはFASサーバーに接続し、Citrix Virtual Delivery Agent (VDA) がユーザーをサインインさせるために必要なシングルユースチケットを取得します。
StoreFrontはSOAP over HTTPを使用してFASに接続します。デフォルトではポート80を使用します。
FASサーバーのKerberos HOST/fqdn IDとStoreFrontサーバーのKerberosマシンアカウントIDを使用して、相互Kerberosで認証します。
データはメッセージレベルセキュリティを使用して暗号化されます。暗号化を有効にするための追加設定は不要です。

VDAとFAS間の通信

HDX™セッションがVDAに接続されると、VDAはFASサーバーに接続して証明書を要求します。

VDAはSOAP over HTTPを使用してFASサーバーに接続します。デフォルトではポート80を使用します。
FASサーバーのKerberos HOST/fqdn IDとVDAのKerberosマシンIDを使用して、相互Kerberosで認証します。また、VDAは証明書と秘密鍵にアクセスするために「資格情報ハンドル」を提供する必要があります。
データはメッセージレベルセキュリティを使用して暗号化されます。暗号化を有効にするための追加構成は不要です。

FASとMicrosoft証明機関間の通信

ユーザーがVDAを起動したときに、FASサーバーがそのユーザーの証明書をまだ持っていない場合、証明書を要求するために証明機関と通信します。証明機関は、信頼された登録エージェント証明書によって署名されたCMCパケットをFASサーバーが提供することを要求します。

FASサーバーはDCOMを使用してMicrosoft証明機関と通信します。必要なポートについては、Microsoft ドキュメントを参照してください。
Kerberosを使用して認証します。

Citrix フェデレーション認証サービスとCitrix Cloud™間の接続

FASをCitrix Cloudに接続する場合、FASサーバーはHTTPSポート443経由で次のアドレスにアクセスできる必要があります。

シトリックスクラウド:

ユーザーアカウントで実行されるFAS管理コンソール
- *.cloud.com
- *.citrixworkspacesapi.net
- 環境でサードパーティのIDプロバイダーを使用している場合に、そのプロバイダーが必要とするアドレス
Network Serviceアカウントで実行されるFASサービス:
- *.citrixworkspacesapi.net
- *.citrixnetworkapi.net

シトリックスクラウドジャパン:

ユーザーアカウント下のFAS管理コンソール
- *.citrixcloud.jp
- *.citrixworkspacesapi.jp
- 環境でサードパーティのIDプロバイダーを使用している場合、そのプロバイダーが必要とするアドレス
ネットワークサービスアカウント下のFASサービス:
- *.citrixworkspacesapi.jp
- *.citrixnetworkapi.jp

環境にプロキシサーバーが含まれている場合は、FAS管理コンソールのアドレスでユーザープロキシを構成します。また、netshまたは同様のツールを使用して、ネットワークサービスアカウントのアドレスが構成されていることを確認してください。

詳細情報

他のCitrixコンポーネント間の通信を保護する方法については、以下の記事を参照してください。

セキュリティに関する考慮事項

FASには、ドメインユーザー向けに自律的に証明書を発行できる登録機関証明書があります。これは、FASサーバーを保護し、その権限を制限するためのセキュリティポリシーの開発と実装に役立ちます。

委任された登録エージェント

FASは、登録エージェントとして機能することでユーザー証明書を発行します。Microsoft証明機関では、登録エージェント、証明書テンプレート、および登録エージェントが証明書を発行できるユーザーを制限できます。

登録エージェントダイアログ(/en-us/federated-authentication-service/current-release/media/delegated-enrollment-agents.png)

以下のダイアログを使用して、以下を確認できます。

「登録エージェント」リストには、FASサーバーのみが含まれていること（Active Directory展開で他の登録エージェントが必要ない場合）。
「証明書テンプレート」リストには、ユーザー証明書の発行に使用されるFASテンプレートのみが含まれていること。デフォルトでは、これはCitrix_SmartcardLogonテンプレートです。
「アクセス許可」リストには、FASの使用が許可されているユーザーが含まれていること。たとえば、管理者または保護されたユーザーグループに証明書を発行しないことをお勧めします。

注：

コンピューターアカウントのActive Directoryグループメンバーシップに対する変更は、コンピューターが再起動されるまで有効になりません。

アクセス制御リストの構成

ルールを構成するセクションで説明されているように、StoreFrontサーバーのリストを構成する必要があります。これらのStoreFrontサーバーは、証明書が発行されるときにFASにユーザーIDをアサートします。同様に、証明書が発行されるユーザー、および認証できるVDAマシンを制限できます。この機能は、構成する標準のActive Directoryまたは証明機関のセキュリティ機能に追加されるものです。

ファイアウォール設定

FASサーバーは、別途構成されていない限り、ポート80を使用してStoreFrontおよびVDAからの着信接続を受け入れる必要があります。ネットワーク通信の詳細については、ネットワークアーキテクチャとセキュリティを参照してください。

FASインストーラーは、オプションでWindowsファイアウォールを構成できます。詳細については、FASインストーラーオプションを参照してください。

FASサーバーポートの変更

FASサーバーはデフォルトでポート80を使用します。ポートはカスタマイズできます。

注：

FASサーバーのポートを443に変更できますが、FASが使用するプロトコルは変更されません。FASはポート443で構成されていてもHTTPSを使用しません。

FASサーバーで次のコマンドラインを実行します。
"C:\Program Files\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe" /SVCPORT [port] /CONFIGUREFIREWALL
[port] を使用したいポート番号に置き換えます。

/CONFIGUREFIREWALL スイッチにより、Windowsファイアウォールが更新され、指定されたポートでの受信接続が許可されます。
FASサービスを再起動します。
FASグループポリシーオブジェクトで、FASサーバーのリストを更新してポートを含めます（例：fas.example.com:[port]）。
変更をFASサーバー、StoreFront、およびVDAに伝播します（例：gpupdate /force を使用）。

イベントログの監視

FASとVDAはWindowsイベントログに情報を書き込みます。このログは、監視および監査情報に使用できます。イベントログセクションには、生成可能なイベントログエントリがリストされています。

ハードウェアセキュリティモジュール

FASによって発行されたユーザー証明書キーを含むすべての秘密キーは、ネットワークサービスアカウントによってエクスポート不可能な秘密キーとして保存されます。セキュリティポリシーで必要とされる場合、FASは暗号化ハードウェアセキュリティモジュールの使用をサポートします。

低レベルの暗号化構成は、PowerShell コマンドを使用して利用できます。FAS認証証明書の秘密キーとユーザー証明書キーには異なる設定を使用できます。詳細については、秘密キーの保護を参照してください。

管理者の責任

環境の管理は、以下のグループに分けられます。

名前	責任
エンタープライズ管理者	フォレスト内の証明書テンプレートをインストールして保護する
ドメイン管理者	グループポリシー設定を構成する
証明機関管理者	証明機関を構成する
FAS管理者	FASサーバーをインストールして構成する
StoreFront/Citrix Gateway管理者	ユーザー認証を構成する
シトリックスバーチャルデスクトップ™ 管理者	VDAとコントローラーを構成する

各管理者は、全体的なセキュリティモデルの異なる側面を制御し、システムを保護するための多層防御アプローチを可能にします。

グループポリシー設定

注：

すべてのFASサーバーとVDAがバージョン2511以降の場合、VDA上のグループポリシーFQDNリストは不要になります。「FAS V2チケッティングとレジストリアドレスリスト」(/ja-jp/federated-authentication-service/current-release/config-manage/fas-v2-ticketing-and-registry-address-list.html)を参照してください。

信頼されたFASマシンは、グループポリシーを通じて構成された「インデックス番号 -> FQDN」のルックアップテーブルによって識別されます。FASサーバーに接続する際、クライアントはFASサーバーのHOST\<fqdn> Kerberos IDを検証します。FASサーバーにアクセスするすべてのサーバーは、同じインデックスに対して同一のFQDN構成を持つ必要があります。そうでない場合、StoreFrontとVDAは異なるFASサーバーに接続する可能性があります。さらに、FASサーバーがCitrix Cloudに接続されている場合、グループポリシーはFASサーバー自体にも適用する必要があります。

Citrixは、誤設定を避けるために、環境内のすべてのマシンに単一のポリシーを適用することを推奨します。FASサーバーのリストを変更する際は、特にエントリを削除したり並べ替えたりする際に注意してください。

このGPOの制御は、FASサーバーをインストールおよび廃止するFAS管理者（および/またはドメイン管理者）に限定する必要があります。FASサーバーを廃止した直後に、マシンのFQDN名を再利用しないように注意してください。

FASグループポリシー設定は、レジストリのHKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\Authenticationに表示されます。グループポリシーからのFAS FQDNのリストは、サブキーHKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\Authentication\UserCredentialService\Addressesに表示されます。

証明書テンプレート

FASに付属のCitrix_SmartcardLogon証明書テンプレートを使用しない場合は、そのコピーを変更できます。以下の変更がサポートされています。

証明書テンプレートの名前を変更する

Citrix_SmartcardLogonの名前を組織のテンプレート命名標準に合わせて変更したい場合は、次の操作を行う必要があります。

証明書テンプレートのコピーを作成し、組織のテンプレート命名標準に合わせて名前を変更します。
管理ユーザーインターフェイスではなく、FAS PowerShellコマンドを使用してFASを管理します。（管理ユーザーインターフェイスは、Citrixのデフォルトテンプレート名でのみ使用することを目的としています。）
- Microsoft MMC証明書テンプレートスナップインまたはPublish-FasMsTemplateコマンドを使用してテンプレートを公開します。
- New-FasCertificateDefinitionコマンドを使用して、テンプレート名でFASを構成します。

全般プロパティの変更

デフォルトでは、ユーザー証明書の有効期間は7日間です。証明書テンプレートで有効期間を変更できます。

更新期間は変更しないでください。FASは証明書テンプレートのこの設定を無視します。FASは、有効期間の途中で証明書を自動的に更新します。

要求処理プロパティの変更

これらのプロパティは変更しないでください。FASは証明書テンプレートのこれらの設定を無視します。

FASが提供する設定については、秘密キーの保護を参照してください。

暗号化プロパティの変更

これらのプロパティは変更しないでください。FASは証明書テンプレートのこれらの設定を無視します。

FASが提供する同等の設定については、秘密キーの保護を参照してください。

キー証明プロパティの変更

これらのプロパティは変更しないでください。FASはキー証明をサポートしていません。

置き換えられたテンプレートプロパティの変更

これらのプロパティは変更しないでください。FASはテンプレートの置き換えをサポートしていません。

拡張機能プロパティの変更

これらの設定は、組織のポリシーに合わせて変更できます。

注：

不適切な拡張設定は、セキュリティ上の問題を引き起こしたり、使用できない証明書になったりする可能性があります。

セキュリティプロパティの変更

Citrixでは、これらの設定を変更して、FASサーバーのマシンアカウントのみに読み取りおよび登録のアクセス許可を付与することを推奨しています。FASサービスには、その他のアクセス許可は必要ありません。

さらに：

認証済みユーザーがテンプレートを読み取りできるようにします。これは、証明機関自体がテンプレートを読み取る必要があるため、不可欠です。
証明機関管理者がテンプレートを読み取りおよび書き込みできるようにします。

この推奨事項は、以下の3つのFASテンプレートすべてに適用されます。

Citrix_SmartcardLogon
Citrix_RegistrationAuthority
Citrix_RegistrationAuthority_ManualAuthorization

注：

コンピューターアカウントのActive Directoryグループメンバーシップに対する変更は、コンピューターが再起動されるまで有効になりません。

サブジェクト名プロパティの変更

Citrix は、これらのプロパティを変更しないことを推奨します。

テンプレートは、この Active Directory 情報から構築が選択されており、これにより証明機関はユーザーの SID を証明書拡張機能に含めます。これは、ユーザーの Active Directory アカウントへの強力なマッピングを提供します。

サーバープロパティの変更

Citrix は推奨しませんが、必要に応じて、これらの設定を組織のポリシーに合わせて変更できます。

発行要件プロパティの変更

これらの設定は変更しないでください。これらの設定は、以下に示すとおりである必要があります。

互換性プロパティの変更

これらの設定は変更できます。設定は、少なくともWindows Server 2003 CA (スキーマバージョン 2) である必要があります。ただし、FAS は Windows Server 2008 以降の CA のみをサポートします。また、前述のとおり、FAS は、Windows Server 2008 CA (スキーマバージョン 3) またはWindows Server 2012 CA (スキーマバージョン 4) を選択することで利用できる追加設定を無視します。

証明機関の管理

証明機関の管理者は、証明機関サーバーの構成と、使用する発行証明書の秘密キーを担当します。

テンプレートの公開

証明機関がエンタープライズ管理者によって提供されたテンプレートに基づいて証明書を発行するには、証明機関の管理者は、そのテンプレートを公開することを選択する必要があります。

簡単なセキュリティ対策は、FAS サーバーのインストール時に登録機関の証明書テンプレートのみを公開すること、または完全にオフラインの発行プロセスを要求することです。いずれの場合でも、証明機関の管理者は、登録機関の証明書要求の承認を完全に制御し、FAS サーバーを承認するためのポリシーを持つ必要があります。

ファイアウォールの設定

証明機関管理者は、証明機関のネットワークファイアウォール設定を制御し、受信接続を制御できます。証明機関管理者は、FASサーバーのみが証明書を要求できるように、DCOM TCPおよびファイアウォールルールを構成できます。

登録の制限

デフォルトでは、登録機関証明書の所有者は、アクセスを許可する任意の証明書テンプレートを使用して、任意のユーザーに証明書を発行できます。Citrixでは、登録エージェントの制限証明機関プロパティを使用して、証明書の発行を非特権ユーザーのグループに制限することを推奨しています。(/ja-jp/federated-authentication-service/current-release/config-manage/security#delegated-enrollment-agents)「委任された登録エージェント」を参照してください。

ポリシーモジュールと監査

高度な展開では、カスタムセキュリティモジュールを使用して、証明書の発行を追跡および拒否できます。

FAS管理

FASにはいくつかのセキュリティ機能があります。

ACLによるStoreFront、ユーザー、およびVDAの制限

FASセキュリティモデルの中心は、どのKerberosアカウントが機能にアクセスできるかを制御することです。

アクセスベクター	説明
StoreFront [IdP]	これらのKerberosアカウントは、ユーザーが正しく認証されたことを宣言するために信頼されています。これらのアカウントのいずれかが侵害された場合、FASの構成によって許可されたユーザーのために証明書を作成して使用できます。
VDA [Relying party]	これらのマシンは、証明書と秘密鍵へのアクセスが許可されています。IdPによって取得された資格情報ハンドルも必要であるため、このグループ内の侵害されたVDAアカウントがシステムを攻撃できる範囲は限られています。
ユーザー	このオプションは、IdPによってアサートできるユーザーを制御します。証明機関の「制限付き登録エージェント」構成オプションと重複する点があることに注意してください。一般的に、このリストには特権のないアカウントのみを含めることをお勧めします。これにより、侵害されたStoreFrontアカウントがより高い管理レベルに特権を昇格させることを防ぎます。特に、ドメイン管理者アカウントは、このACLによって許可されてはなりません。

ルールの構成

複数の独立したCitrix Virtual Apps™またはCitrix Virtual Desktops展開が同じFASサーバーインフラストラクチャを使用する場合、ルールは役立ちます。各ルールには個別の構成オプションセットがあり、特にKerberosアクセス制御リスト（ACL）は個別に構成できます。

証明機関とテンプレートの構成

異なるアクセス権限に対して、異なる証明書テンプレートとCAを構成できます。高度な構成では、環境に応じて、より強力な証明書またはより強力でない証明書を使用することを選択できます。たとえば、「外部」として識別されたユーザーは、「内部」ユーザーよりも少ない特権を持つ証明書を持つことができます。

インセッション証明書と認証証明書

FAS管理者は、認証に使用される証明書がユーザーセッション内で使用可能であるかどうかを制御できます。たとえば、ユーザーはセッション内で「署名」証明書のみを使用でき、より強力な「ログオン」証明書はログオン時にのみ使用できます。

秘密鍵の保護と鍵長

FAS管理者は、秘密鍵をハードウェアセキュリティモジュール（HSM）またはトラステッドプラットフォームモジュール（TPM）に保存するようにFASを構成できます。Citrixは、少なくともFAS承認証明書の秘密鍵をTPMに保存して保護することを推奨しています。

同様に、ユーザー証明書の秘密鍵はTPMまたはHSMに保存できます。すべての鍵はエクスポート不可として生成され、RSAを使用する場合は少なくとも2048ビットの長さである必要があります。

注：

FASはユーザー証明書鍵をTPMまたはHSMで生成および保存できますが、大規模な展開ではハードウェアが遅すぎたり、サイズが制約されたりする可能性があります。

詳細については、「秘密鍵の保護」を参照してください。

イベントログ

FASサーバーは、詳細な構成とランタイムのイベントログを提供し、監査および侵入検知に使用できます。

管理アクセスと管理ツール

FASには、リモート管理機能（相互認証Kerberos）とツールが含まれています。「ローカル管理者グループ」のメンバーは、FAS構成を完全に制御できます。FAS構成は適切に維持する必要があります。

シトリックスバーチャルアプリ、シトリックスバーチャルデスクトップ、およびVDA管理者

FASの使用は、FASの「資格情報ハンドル」が単に「Active Directoryパスワード」を置き換えるだけであるため、Delivery ControllerおよびVDA管理者のセキュリティモデルを変更しません。ControllerおよびVDA管理グループには、信頼できるユーザーのみを含める必要があります。監査およびイベントログは維持する必要があります。

一般的なWindowsサーバーのセキュリティ

すべてのサーバーは完全にパッチが適用され、標準のファイアウォールおよびウイルス対策ソフトウェアが利用可能である必要があります。セキュリティ上重要なインフラストラクチャサーバーは、物理的に安全な場所に保管し、ディスク暗号化と仮想マシンのメンテナンスオプションに注意を払う必要があります。

監査およびイベントログは、リモートマシンに安全に保存する必要があります。

RDPアクセスは、許可された管理者のみに制限する必要があります。Citrixは、ユーザーアカウント、特に証明機関およびドメイン管理者アカウントに対してスマートカードログオンを推奨しています。

連邦情報処理標準（FIPS）のサポート

FASは、FIPS対応のWindowsコンピューターでFIPS検証済み暗号化アルゴリズムを使用します。キーの保存にTPMまたはHSMを使用するようにFASを構成する場合は、FIPS準拠情報についてハードウェアベンダーに問い合わせてください。

フェデレーション認証サービス