インストールと構成
インストールとセットアップの順序
-
Federated Authentication Service (FAS) をインストールする
-
FAS管理コンソールを使用して、次の操作を行います。
-
FASをCitrix Cloudに接続する (オプション)
Federated Authentication Serviceをインストールする
セキュリティ上の理由から、CitrixではFederated Authentication Service (FAS) を専用サーバーにインストールすることをお勧めします。このサーバーは、ドメインコントローラーまたは証明機関と同様の方法で保護する必要があります。FASは、次のいずれかの方法でインストールできます。
-
ISOが挿入されたときに自動実行スプラッシュ画面に表示されるFederated Authentication Serviceボタンから、Citrix Virtual Apps and Desktops™インストーラーを使用する
-
XenDesktopFasSetup.exeは Citrix Virtual Apps and Desktops ISO のx64\XenDesktop Setup\XenDesktopFasSetup.exeにあります。 -
FasSetup_xxxx.exe、スタンドアロンFASインストーラーファイル（Citrix Downloadsで入手可能）
これらのいずれかをインストールすると、次のコンポーネントがインストールされます。
-
フェデレーション認証サービス
-
高度なFAS構成用のPowerShell snap-in cmdlets
-
FASグループポリシーテンプレート（CitrixFederatedAuthenticationService.admxまたはCitrixFederatedAuthenticationService.adml）
-
証明書テンプレートファイル
-
FAS常時オン追跡をサポートするCitrix Telemetry Service
-
Citrix Scout、常時オン追跡などの診断情報を収集するために使用できるアプリケーション
インストーラーの詳細については、FASのインストール用コマンドラインオプションを参照してください。
FASのアップグレード
インプレースアップグレードを使用して、FASを新しいバージョンにアップグレードできます。アップグレードする前に、次の点を考慮してください。
-
インプレースアップグレードを実行すると、すべてのFASサーバー設定が保持されます。
-
FASをアップグレードする前に、FAS管理コンソールを閉じてください。
-
常に少なくとも1つのFASサーバーが利用可能であることを確認してください。Federation Authentication Serviceが有効なStoreFront™サーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。
アップグレードを開始するには、Citrix Virtual Apps and DesktopsインストーラーまたはスタンドアロンのFASインストーラーファイルからFASをインストールします。
StoreFrontストアでFASプラグインを有効にする
注：
Citrix CloudでのみFASを使用している場合、この手順は不要です。
StoreFrontストアでFASプラグインを有効にする方法の詳細については、
<https://docs.citrix.com/ja-jp/storefront/current-release/configure-authentication-and-delegation/fas>を参照してください。
Delivery Controller™を構成する
注：
Citrix CloudでのみFASを使用している場合、この手順は不要です。
FASを使用するには、Citrix Virtual AppsまたはCitrix Virtual Desktops™ Delivery Controllerが接続するStoreFrontサーバーを信頼するように構成します。これには、PowerShellコマンドレット Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true を実行します。このコマンドは、サイト上のDelivery Controllerの数に関係なく、サイトごとに1回実行します。
グループポリシーを構成する
注：
すべてのFASサーバーとVDAがバージョン2511以降の場合、VDA上のグループポリシーFQDNリストは不要です。FAS V2チケッティングとレジストリアドレスリストを参照してください。
FASをインストールした後、インストールで提供されるグループポリシーテンプレートを使用して、グループポリシー内のサーバーの完全修飾ドメイン名（FQDN）を指定します。
重要:
チケットを要求するStoreFrontサーバーと、チケットを引き換えるVirtual Delivery Agent (VDA) が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、同一のFQDN構成になっていることを確認してください。
簡潔にするため、以下の例では、すべてのマシンに適用される単一のポリシーをドメインレベルで構成しています。ただし、これは必須ではありません。FASは、StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンが同じFQDNのリストを参照している限り機能します。手順6を参照してください。
手順1. FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx および CitrixBase.admx ファイル、および en-US フォルダーを見つけます。
手順2. これらのファイルをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitionsおよびen-USサブフォルダーに配置します。
手順3. Microsoft Management Console (コマンドラインからmmc.exe) を実行します。メニューバーから、ファイル > スナップインの追加と削除を選択します。グループポリシー管理エディターを追加します。
グループポリシーオブジェクトの入力を求められたら、参照を選択し、Default Domain Policyを選択します。または、任意のツールを使用して、環境に適したポリシーオブジェクトを作成して選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア (VDA、StoreFrontサーバー、管理ツール) を実行しているすべてのマシンに適用する必要があります。
手順4. コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証にあるFederated Authentication Serviceポリシーに移動します。
注:
Federated Authentication Serviceポリシー設定は、CitrixBase.admx/CitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加した場合にのみ、ドメインGPOで利用できます。手順3の後、Federated Authentication Serviceポリシー設定は、管理用テンプレート > Citrixコンポーネント > 認証フォルダーに表示されます。
手順5. Federated Authentication Serviceポリシーを開き、有効を選択します。これにより、表示ボタンを選択できるようになり、FASサーバーのFQDNを構成できます。
手順6. FASサーバーのFQDNを入力します。
重要:
複数のFQDNを入力する場合、VDA、StoreFrontサーバー（存在する場合）、およびFASサーバーから見て、リストの順序は一貫している必要があります。グループポリシー設定を参照してください。
手順7. OKをクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。変更を有効にするには、マシンを再起動するか（またはコマンドラインからgpupdate /forceを実行する）、必要がある場合があります。
セッション内動作
このポリシーは、ユーザーのVDAセッションでエージェントプロセスをアクティブ化し、セッション内証明書、同意、およびロック時の切断をサポートします。セッション内証明書は、このポリシーが有効になっており、かつ証明書の作成に使用されたFASルールでセッション内使用が許可されている場合にのみ利用可能です。ルールの構成を参照してください。
有効にすると、このポリシーが有効になり、FASエージェントプロセスがユーザーのVDAセッションで実行されることが許可されます。
無効にすると、このポリシーが無効になり、FASエージェントプロセスが実行されなくなります。
プロンプトスコープ
このポリシーが有効になっている場合、プロンプトスコープは、アプリケーションがセッション内証明書を使用することを許可するための同意をユーザーにどのように求めるかを制御します。次の3つのオプションがあります。
-
同意不要—このオプションはセキュリティプロンプトを無効にし、秘密鍵はサイレントに使用されます。
-
プロセスごとの同意—実行中の各プログラムが個別に同意を求めます。
-
セッションごとの同意—ユーザーがOKをクリックすると、このオプションはセッション内のすべてのプログラムに適用されます。
同意タイムアウト
このポリシーが有効な場合、同意タイムアウトは同意が持続する期間（秒単位）を制御します。たとえば、300秒に設定すると、ユーザーは5分ごとにプロンプトが表示されます。値がゼロの場合、プライベートキー操作ごとにユーザーにプロンプトが表示されます。
ロック時に切断
このポリシーが有効な場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この動作は、「スマートカード取り外し時に切断」ポリシーに似ています。ユーザーがActive Directoryログオン資格情報を持っていない場合に、この機能を使用します。
注：
ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。
Federated Authentication Service管理コンソールの使用
注：
FAS管理コンソールはほとんどの展開に適していますが、PowerShellインターフェイスはより高度なオプションを提供します。FAS PowerShellコマンドレットの詳細については、「PowerShellコマンドレット」を参照してください。
FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）はスタートメニューに配置されます。
管理コンソールを初めて使用する際には、以下のプロセスが案内されます。
-
証明書テンプレートを展開する。
-
証明機関をセットアップする。
-
FASが証明機関を使用することを承認する。
OS構成ツールを使用して、一部の手順を手動で完了することもできます。
FAS管理コンソールは、デフォルトでローカルのFASサービスに接続します。必要に応じて、コンソールの右上にある別のサーバーに接続を使用して、リモートサービスに接続できます。
証明書テンプレートを展開する
他のソフトウェアとの相互運用性の問題を回避するため、FAS は独自の用途のために 3 つの Citrix 証明書テンプレートを提供します。
-
Citrix_RegistrationAuthority_ManualAuthorization
-
Citrix_RegistrationAuthority
-
Citrix_SmartcardLogon
これらのテンプレートは Active Directory に登録する必要があります。「展開」ボタンをクリックし、「OK」をクリックします。
テンプレートの構成は、FAS とともに次の場所にインストールされている拡張子 .certificatetemplate の XML ファイルにあります。
C:\Program Files\Citrix\フェデレーション認証サービス\証明書テンプレート
これらのテンプレートファイルをインストールする権限がない場合は、Active Directory 管理者に渡してください。
テンプレートを手動でインストールするには、テンプレートが含まれているフォルダーから次の PowerShell コマンドを実行します。
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)
Active Directory 証明書サービスをセットアップする
Citrix 証明書テンプレートをインストールしたら、1 つ以上の Microsoft Enterprise 証明機関サーバーに公開する必要があります。Active Directory 証明書サービスの展開方法については、Microsoft のドキュメントを参照してください。
証明機関を管理する権限を持つユーザーは、少なくとも1つのサーバーでテンプレートを公開する必要があります。テンプレートを公開するには、Set Up Certificate Authorityを使用します。
（証明書テンプレートは、Microsoft Certification Authorityコンソールを使用して公開することもできます。）
フェデレーテッド認証サービスを承認する
この手順により、FASの承認が開始されます。管理コンソールは、Citrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書要求を生成し、そのテンプレートを公開している証明機関のいずれかに送信します。
要求が送信されると、Microsoft Certification AuthorityコンソールのPending Requestsリストに、FASマシンアカウントからの保留中の要求として表示されます。FASの構成を続行する前に、証明機関管理者は要求を発行または拒否する必要があります。
FAS管理コンソールは、管理者がIssueまたはDenyを選択するまで、ビジー状態の「スピナー」を表示します。
Microsoft Certification Authorityコンソールで、All Tasksを右クリックし、証明書要求に対してIssueまたはDenyを選択します。Issueを選択すると、FAS管理コンソールに承認証明書が表示されます。Denyを選択すると、コンソールにエラーメッセージが表示されます。
FAS管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。
ルールを構成する
FASは、StoreFrontの指示に従って、VDAログオンおよびセッション内使用の証明書の発行を承認するためにルールを使用します。
各ルールは以下を指定します。
-
証明書を要求することを信頼されているStoreFrontサーバー。
-
証明書が要求されるユーザーのセット。
-
証明書の使用が許可されているVDAマシンのセット。
Citrixでは、「default」という名前のルールを作成することをお勧めします。これは、StoreFrontがFASに接続する際に、同じ名前のルールを要求するためです。
異なる証明書テンプレートや証明機関を参照するカスタムルールをさらに作成し、異なるプロパティと権限を持つように構成できます。これらのルールは、異なるStoreFrontサーバーまたはWorkspaceで使用するように構成できます。グループポリシー構成オプションを使用して、StoreFrontサーバーがカスタムルールを名前で要求するように構成します。
作成（または「ルール」タブのルールの作成）をクリックして、ルールを作成するための情報を収集するルール作成ウィザードを開始します。「ルール」タブには、各ルールの概要が表示されます。
ウィザードは次の情報を収集します。
テンプレート: ユーザー証明書の発行に使用される証明書テンプレート。これは、Citrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります（証明書テンプレートを参照）。
証明機関: ユーザー証明書を発行し、テンプレートを公開する証明機関。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。選択した証明機関のステータスが「テンプレート利用可能」と表示されていることを確認してください。証明機関の管理を参照してください。
セッション内使用: セッション内使用を許可オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。
-
セッション内使用を許可が選択されていない場合（デフォルト、推奨）—証明書はログオンまたは再接続にのみ使用され、ユーザーは認証後に証明書にアクセスできません。
-
セッション内使用を許可が選択されている場合—ユーザーは認証後に証明書にアクセスできます。ほとんどのお客様はこのオプションを選択しないでください。イントラネットWebサイトやファイル共有など、VDAセッション内からアクセスされるリソースは、Kerberosシングルサインオンを使用してアクセスできるため、セッション内証明書は必要ありません。セッション内使用を許可を選択した場合、セッション内動作グループポリシーも有効にしてVDAに適用する必要があります。その後、証明書はログオン後にアプリケーションで使用するためにユーザーの個人証明書ストアに配置されます。たとえば、VDAセッション内のWebサーバーへのTLS認証が必要な場合、Internet Explorerはその証明書を使用できます。
アクセス制御: ユーザーのログオンまたは再接続のために証明書を要求することを承認された、信頼できるStoreFrontサーバーマシンのリスト。これらのすべての権限に対して、個々のADオブジェクトまたはグループを追加できます。
重要:
「アクセス制御」の設定はセキュリティ上重要であり、慎重に管理する必要があります。
注:
FASサーバーをCitrix Cloudでのみ使用している場合、アクセス制御を構成する必要はありません。ルールがCitrix Cloudで使用される場合、StoreFrontのアクセス許可は無視されます。Citrix CloudとオンプレミスのStoreFront展開の両方で同じルールを使用できます。オンプレミスのStoreFrontでルールが使用される場合、StoreFrontのアクセス許可は引き続き適用されます。
デフォルトの権限（「IDアサーション」が許可されている）はすべてを拒否します。したがって、StoreFrontサーバーを明示的に許可する必要があります。
制限: FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリスト。
-
VDA権限の管理では、どのVDAがFASを使用してユーザーをログオンできるかを指定できます。VDAのリストはデフォルトで「Domain Computers」です。
-
ユーザー権限の管理では、どのユーザーがFASを使用してVDAにサインインできるかを指定できます。ユーザーのリストはデフォルトで「Domain Users」です。
注:
FASサーバーのドメインがVDAおよびユーザーのドメインと異なる場合、デフォルトの制限を変更する必要があります。
クラウド規則: IDアサーションがCitrix Workspaceから受信されたときに規則が適用されるかどうかを示します。Citrix Cloudに接続するときに、Citrix Cloudで使用する規則を選択します。「Connect to Citrix Cloud」セクションのリンクから、Citrix Cloudに接続した後で規則を変更することもできます。
Citrix Cloud に接続
FAS サーバーを Citrix Workspace を使用して Citrix Cloud に接続できます。この Citrix Workspace の記事を参照してください。
-
-
-
ウィンドウに一意の登録コードが表示されます。これは Citrix Cloud で承認する必要があります。詳しくは、「オンプレミス製品を Citrix Cloud に登録する」を参照してください。
-
-
-
注:
オンプレミスの FAS サーバーは、Citrix Cloud と Citrix Virtual Apps and Desktops へのアクセスを同時に許可するユーザー証明書を発行できます。