LDAPS の構成

最終公開日 : Nov 13, 2026
セキュア LDAP (LDAPS) を使用すると、Active Directory 管理対象ドメインでセキュア Lightweight Directory Access Protocol を有効にし、SSL (Secure Socket Layer)/TLS (Transport Layer Security) を介した通信を提供できます。
デフォルトでは、クライアントとサーバーアプリケーション間の LDAP 通信は暗号化されません。SSL/TLS を使用する LDAP (LDAPS) を使用すると、Linux VDA と LDAP サーバー間の LDAP クエリコンテンツを保護できます。
以下の Linux VDA コンポーネントは LDAPS に依存しています。
  • ブローカーエージェント: Delivery Controller™ への Linux VDA 登録
  • ポリシーサービス: ポリシー評価
LDAPS の構成には以下が含まれます。
  • Active Directory (AD)/LDAP サーバーで LDAPS を有効にする
  • クライアントで使用するためにルート CA をエクスポートする
  • Linux VDA で LDAPS を有効/無効にする
  • サードパーティプラットフォーム向けに LDAPS を構成する
  • SSSD を構成する
  • Winbind を構成する
  • Centrify を構成する
  • Quest を構成する
Related information
Linux VDA の構成

AD/LDAPサーバーでLDAPSを有効にする

Microsoft認証局 (CA) またはMicrosoft以外のCAのいずれかから、適切にフォーマットされた証明書をインストールすることで、LDAP over SSL (LDAPS) を有効にできます。
ヒント:
ドメインコントローラーにエンタープライズルートCAをインストールすると、LDAP over SSL/TLS (LDAPS) が自動的に有効になります。
証明書のインストール方法とLDAPS接続の確認方法の詳細については、Microsoftサポートサイトの「How to enable LDAP over SSL with a third-party certification authority」を参照してください。
多層 (2層または3層など) の認証局階層がある場合、ドメインコントローラー上のLDAPS認証に適した証明書が自動的に提供されるわけではありません。
多層認証局階層を使用してドメインコントローラーのLDAPSを有効にする方法については、Microsoft TechNetサイトの「LDAP over SSL (LDAPS) Certificate」の記事を参照してください。

クライアント使用のためにルート認証局を有効にする

クライアントは、LDAPサーバーが信頼するCAからの証明書を使用する必要があります。クライアントのLDAPS認証を有効にするには、ルートCA証明書を信頼されたキーストアにインポートします。
ルートCAのエクスポート方法の詳細については、MicrosoftサポートWebサイトの「How to export Root Certification Authority Certificate」を参照してください。

Linux VDAでLDAPSを有効または無効にする

Linux VDAでLDAPSを有効または無効にするには、次のスクリプトを（管理者としてログオンした状態で）実行します。
このコマンドの構文には、以下が含まれます。
  • 提供されたルートCA証明書を使用してLDAP over SSL/TLSを有効にする:
/opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
  • SSL/TLSなしのLDAPにフォールバックする
/opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
LDAPS専用のJavaキーストアは /etc/xdl/.keystore にあります。影響を受けるレジストリキーは次のとおりです。
HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore

サードパーティプラットフォーム向けLDAPSの構成

Linux VDAコンポーネントの他に、VDAに準拠するいくつかのサードパーティソフトウェアコンポーネント（SSSD、Winbind、Centrify、Questなど）もセキュアなLDAPを必要とする場合があります。以下のセクションでは、LDAPS、STARTTLS、またはSASLサインアンドシールを使用してセキュアなLDAPを構成する方法について説明します。
ヒント:
これらのソフトウェアコンポーネントのすべてが、セキュアなLDAPを確保するためにSSLポート636を使用することを好むわけではありません。そしてほとんどの場合、LDAPS（ポート636上のSSL経由LDAP）は389上のSTARTTLSと共存できません。

SSSD

オプションに従って、ポート636または389でSSSDセキュアLDAPトラフィックを構成します。詳細については、SSSD LDAP Linux manページを参照してください。

ウィンバインド

Winbind LDAPクエリはADSメソッドを使用します。Winbindはポート389でのStartTLSメソッドのみをサポートしています。影響を受ける構成ファイルは、/etc/samba/smb.conf および /etc/openldap/ldap.conf (RHELの場合) または /etc/ldap/ldap.conf (Ubuntuの場合) です。ファイルを次のように変更します。
  • smb.conf
    ldap ssl = start tls
    ldap ssl ads = yes client ldap sasl wrapping = plain
  • ldap.conf
    TLS_REQCERT never
あるいは、セキュアなLDAPはSASL GSSAPIサインアンドシールによって構成できますが、TLS/SSLとは共存できません。SASL暗号化を使用するには、smb.conf の構成を変更します。
ldap ssl = off
ldap ssl ads = no client ldap sasl wrapping = seal

セントリファイ

Centrifyはポート636でのLDAPSをサポートしていません。ただし、ポート389でセキュアな暗号化を提供します。詳細については、Centrifyサイトを参照してください。

クエスト

Quest Authentication Serviceはポート636でのLDAPSをサポートしていませんが、異なる方法を使用してポート389でセキュアな暗号化を提供します。

トラブルシューティング

この機能を使用すると、以下の問題が発生する可能性があります。
  • LDAPS サービスの可用性
    AD/LDAP サーバーで LDAPS 接続が利用可能であることを確認します。ポートはデフォルトで 636 です。
  • LDAPS が有効な場合に Linux VDA の登録が失敗しました
    LDAP サーバーとポートが正しく構成されていることを確認します。まずルート CA 証明書を確認し、それが AD/LDAP サーバーと一致していることを確認します。
  • 誤ってレジストリが変更されました
    enable\_ldaps.sh を使用せずに誤って LDAPS 関連のキーが更新された場合、LDAPS コンポーネントの依存関係が壊れる可能性があります。
  • Wireshark またはその他のネットワーク監視ツールから、LDAP トラフィックが SSL/TLS を介して暗号化されていない
    デフォルトでは、LDAPS は無効になっています。/opt/Citrix/VDA/sbin/enable\_ldaps.sh を実行して強制的に有効にします。
  • Wireshark またはその他のネットワーク監視ツールから LDAPS トラフィックがない
    LDAP/LDAPS トラフィックは、Linux VDA の登録とグループポリシーの評価が行われるときに発生します。
  • AD サーバーで ldp connect を実行して LDAPS の可用性を確認できませんでした
    IP アドレスの代わりに AD FQDN を使用してください。
  • /opt/Citrix/VDA/sbin/enable\_ldaps.sh スクリプトを実行してルート CA 証明書をインポートできませんでした
    CA 証明書のフルパスを指定し、ルート CA 証明書が正しいタイプであることを確認してください。一般的に、サポートされているほとんどの Java Keytool タイプと互換性があるはずです。サポートリストにない場合は、まずタイプを変換できます。証明書形式の問題が発生した場合は、Citrix® は base64 エンコードされた PEM 形式を推奨します。
  • Keytool -list でルート CA 証明書を表示できませんでした
    /opt/Citrix/VDA/sbin/enable\_ldaps.sh を実行して LDAPS を有効にすると、証明書が /etc/xdl/.keystore にインポートされ、キーストアを保護するためにパスワードが設定されます。パスワードを忘れた場合は、スクリプトを再実行してキーストアを作成できます。