LDAPS の構成

最終公開日 : Nov 13, 2026
セキュアLDAP (LDAPS) を使用すると、Active Directory管理ドメイン向けにセキュア軽量ディレクトリアクセスプロトコルを有効にし、SSL (Secure Socket Layer)/TLS (Transport Layer Security) を介した通信を提供できます。
デフォルトでは、クライアントとサーバーアプリケーション間のLDAP通信は暗号化されていません。SSL/TLS (LDAPS) を使用するLDAPにより、Linux VDAとLDAPサーバー間のLDAPクエリコンテンツを保護できます。
以下のLinux VDAコンポーネントはLDAPSに依存しています:
  • ブローカーエージェント: Delivery Controller™へのLinux VDA登録
  • ポリシーサービス: ポリシー評価
LDAPSの構成には以下が含まれます:
  • アクティブディレクトリ (AD)/LDAPサーバーでLDAPSを有効にする
  • クライアント使用のためにルートCAをエクスポートする
  • リナックス VDAでLDAPSを有効/無効にする
  • サードパーティプラットフォーム向けにLDAPSを構成する
  • SSSDを構成する
  • Winbindを構成する
  • Centrifyを構成する
  • Questを構成する
Related information
Linux VDA を構成する

AD/LDAP サーバーで LDAPS を有効にする

Microsoft 証明機関 (CA) または Microsoft 以外の CA から適切にフォーマットされた証明書をインストールすることで、LDAP over SSL (LDAPS) を有効にできます。
ヒント:
ドメインコントローラーにエンタープライズルート CA をインストールすると、LDAP over SSL/TLS (LDAPS) は自動的に有効になります。
証明書のインストール方法と LDAPS 接続の確認方法の詳細については、Microsoft サポートサイトの「サードパーティの証明機関で LDAP over SSL を有効にする方法」を参照してください。
多層 (2 層または 3 層など) の証明機関階層を使用している場合、ドメインコントローラーで LDAPS 認証に適した証明書が自動的に提供されるわけではありません。
多層証明機関階層を使用してドメインコントローラーの LDAPS を有効にする方法については、Microsoft TechNet サイトの「LDAP over SSL (LDAPS) 証明書」の記事を参照してください。

クライアント使用のためのルート証明機関を有効にする

クライアントは、LDAP サーバーが信頼する CA の証明書を使用する必要があります。クライアントの LDAPS 認証を有効にするには、ルート CA 証明書を信頼されたキーストアにインポートします。
ルート CA のエクスポート方法の詳細については、Microsoft サポート Web サイトの「ルート証明機関証明書をエクスポートする方法」を参照してください。

Linux VDA で LDAPS を有効または無効にする

Linux VDA で LDAPS を有効または無効にするには、(管理者としてログオンした状態で) 次のスクリプトを実行します。
このコマンドの構文には、以下が含まれます。
  • 提供されたルート CA 証明書を使用して LDAP over SSL/TLS を有効にする:
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
  • チャネルバインディングを使用して LDAP over SSL/TLS を有効にする:
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enablecb pathToRootCA
    注:
    チャネルバインディング用のルート CA 証明書は PEM 形式である必要があります。チャネルバインディングを有効にする前に、Python3 仮想環境を作成してください。詳細については、「Python3 仮想環境を作成する」を参照してください。
  • SSL/TLSなしでLDAPにフォールバックする
/opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
LDAPS専用のJavaキーストアは /etc/xdl/.keystore にあります。影響を受けるレジストリキーは次のとおりです。
HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore

HKLM\Software\Citrix\VirtualDesktopAgent\EnableChannelBinding

サードパーティプラットフォーム向けLDAPSの構成

Linux VDAコンポーネントの他に、VDAに準拠するいくつかのサードパーティ製ソフトウェアコンポーネント（SSSD、Winbind、Centrify、Questなど）もセキュアなLDAPを必要とする場合があります。以下のセクションでは、LDAPS、STARTTLS、またはSASLの署名と封印を使用してセキュアなLDAPを構成する方法について説明します。
ヒント:
これらのソフトウェアコンポーネントのすべてが、セキュアなLDAPを確保するためにSSLポート636を使用することを好むわけではありません。また、ほとんどの場合、LDAPS（ポート636上のSSL経由のLDAP）はポート389上のSTARTTLSと共存できません。

SSSD

オプションに従って、ポート636またはポート389でSSSDセキュアLDAPトラフィックを構成します。詳細については、SSSD LDAP Linux manページを参照してください。

ウィンバインド

Winbind LDAPクエリはADSメソッドを使用します。Winbindはポート389でのStartTLSメソッドのみをサポートします。影響を受ける構成ファイルは、/etc/openldap/ldap.conf の ldap.conf と /etc/samba/smb.conf の smb.conf です。ファイルを次のように変更します。
ldap.conf:

TLS_REQCERT never

smb.conf:

ldap ssl = start tls
ldap ssl ads = yes
client ldap sasl wrapping = plain
あるいは、セキュアなLDAPはSASL GSSAPIの署名と封印によって構成できますが、TLS/SSLとは共存できません。SASL暗号化を使用するには、smb.conf の構成を変更します。
smb.conf:

ldap ssl = off
ldap ssl ads = no
client ldap sasl wrapping = seal

セントリファイ

Centrifyはポート636でのLDAPSをサポートしていません。ただし、ポート389でセキュアな暗号化を提供します。詳細については、Centrifyサイトを参照してください。

クエスト

Quest Authentication Serviceはポート636でのLDAPSをサポートしていませんが、異なる方法を使用してポート389でセキュアな暗号化を提供します。

トラブルシューティング

この機能を使用すると、次の問題が発生する可能性があります。
  • LDAPSサービスの可用性
    AD/LDAPサーバーでLDAPS接続が利用可能であることを確認します。ポートはデフォルトで636です。
  • LDAPSが有効な場合にLinux VDAの登録が失敗する
    LDAPサーバーとポートが正しく構成されていることを確認します。まずルートCA証明書を確認し、AD/LDAPサーバーと一致していることを確認してください。
  • 誤ってレジストリを変更してしまった場合
    enable\_ldaps.shを使用せずに誤ってLDAPS関連のキーを更新した場合、LDAPSコンポーネントの依存関係が壊れる可能性があります。
  • Wiresharkまたはその他のネットワーク監視ツールからSSL/TLSで暗号化されていないLDAPトラフィック
    デフォルトでは、LDAPSは無効になっています。強制的に有効にするには、/opt/Citrix/VDA/sbin/enable\_ldaps.shを実行します。
  • Wiresharkまたはその他のネットワーク監視ツールからLDAPSトラフィックがない
    LDAP/LDAPSトラフィックは、Linux VDAの登録とグループポリシーの評価が行われるときに発生します。
  • ADサーバーでldp connectを実行してLDAPSの可用性を確認できなかった
    IPアドレスの代わりにAD FQDNを使用してください。
  • /opt/Citrix/VDA/sbin/enable\_ldaps.shスクリプトを実行してルートCA証明書をインポートできなかった
    CA証明書のフルパスを指定し、ルートCA証明書が正しいタイプであることを確認してください。ほとんどのJava Keytoolでサポートされているタイプと互換性があるはずです。サポートリストにない場合は、まずタイプを変換できます。証明書形式の問題が発生した場合は、base64エンコードされたPEM形式をお勧めします。
  • Keytool -listでルートCA証明書を表示できなかった
    /opt/Citrix/VDA/sbin/enable_ldaps.sh を実行して LDAPS を有効にすると、証明書は /etc/xdl/.keystore にインポートされ、キーストアを保護するためにパスワードが設定されます。パスワードを忘れた場合は、スクリプトを再実行してキーストアを作成できます。