スマートカードのサポート
クライアントデバイスに接続されたスマートカードを使用して、Linux仮想デスクトップセッションへのログオン時に認証を行うことができます。この機能は、ICA®スマートカード仮想チャネルを介したスマートカードリダイレクトによって実装されます。セッション内でスマートカードを使用することもできます。ユースケースには、ドキュメントへのデジタル署名の追加、メールの暗号化または復号化、スマートカード認証を必要とするWebサイトへの認証などがあります。
Linux VDAは、この機能に関してWindows VDAと同じ構成を使用します。詳しくは、この記事の「スマートカード環境の構成」セクションを参照してください。
注:
Linux VDAセッション内でマップされたスマートカードを使用してCitrix Gatewayにサインオンすることは、公式にはサポートされていません。
前提条件
スマートカードパススルー認証の可用性は、以下の条件に左右されます。
-
お使いのLinux VDAは、以下のいずれかのディストリビューションにインストールされています。
-
RHEL 8/CentOS 8
-
RHEL 7/CentOS 7
-
ウブントゥ 20.04
-
ウブントゥ 18.04
-
ウブントゥ 16.04
-
デビアン 10.9
VDAのインストールが完了したら、VDAがDelivery Controller™に登録でき、公開されたLinuxデスクトップセッションがWindows資格情報を使用して正常に起動できることを確認してください。 -
-
OpenSCでサポートされているスマートカードが使用されます。詳しくは、「OpenSCがスマートカードをサポートしていることを確認する」を参照してください。
-
Citrix Workspace™アプリ（Windows向け）が使用されます。
OpenSCがお使いのスマートカードをサポートしていることを確認してください
OpenSCは、RHEL 7.4以降で広く使用されているスマートカードドライバーです。CoolKeyと完全に互換性のある代替品として、OpenSCは多くの種類のスマートカードをサポートしています（Red Hat Enterprise Linuxでのスマートカードのサポートを参照）。
この記事では、設定を説明するための例としてYubiKey 4スマートカードを使用します。YubiKey 4は、Amazonやその他の小売業者から簡単に購入できるオールインワンのUSB CCID PIVデバイスです。OpenSCドライバーはYubiKey 4をサポートしています。
組織でより高度なスマートカードが必要な場合は、サポートされているLinuxディストリビューションとOpenSCパッケージがインストールされた物理マシンを準備してください。OpenSCのインストールについては、スマートカードドライバーのインストールを参照してください。スマートカードを挿入し、次のコマンドを実行して、OpenSCがお使いのスマートカードをサポートしていることを確認します。
pkcs11-tool --module opensc-pkcs11.so --list-slots
構成
ルート証明書を準備する
ルート証明書は、スマートカード上の証明書を検証するために使用されます。ルート証明書をダウンロードしてインストールするには、次の手順を実行します。
-
通常、CAサーバーからPEM形式のルート証明書を取得します。DERファイル（*.crt、*.cer、*.der）をPEMに変換するには、次のコマンドに似たコマンドを実行します。次のコマンド例では、certnew.cerがDERファイルです。
openssl x509 -inform der -in certnew.cer -out certnew.pem -
ルート証明書を
opensslディレクトリにインストールします。certnew.pemファイルは例として使用されています。cp certnew.pem <path where you install the root certificate>ルート証明書をインストールするためのパスを作成するには、sudo mdkir -p <path where you install the root certificate>を実行します。
RHEL 8/CentOS 8でpam_krb5モジュールをビルドする
スマートカード認証はpam\_krb5モジュールに依存しますが、これはRHEL 8/CentOS 8では非推奨です。RHEL 8/CentOS 8でスマートカード認証を使用するには、次のようにpam\_krb5モジュールをビルドします。
-
<https://centos.pkgs.org/7/centos-x86_64/pam_krb5-2.4.8-6.el7.x86_64.rpm.html>からpam_krb5-2.4.8-6のソースコードをダウンロードします。 -
RHEL 8/CentOS 8でpam\_krb5モジュールをビルドしてインストールします。
yum install -y opensc pcsc-lite pcsc-lite-libs pcsc-lite-ccid nss-tools
yum install gcc krb5-devel pam-devel autoconf libtool
rpm2cpio pam_krb5-2.4.8-6.el7.src.rpm | cpio –div
tar xvzf pam_krb5-2.4.8.tar.gz
cd pam_krb5-2.4.8
./configure --prefix=/usr
make
make install -
pam_krb5.so が /usr/lib64/security/ に存在することを確認します。
ls -l /usr/lib64/security | grep pam_krb5
スマートカード環境を構成する
ctxsmartlogon.sh スクリプトを使用してスマートカード環境を構成するか、手動で構成を完了できます。
(オプション 1) ctxsmartlogon.sh スクリプトを使用してスマートカード環境を構成する
注:
ctxsmartlogon.sh スクリプトは、PKINIT 情報をデフォルトのレルムに追加します。この設定は、/etc/krb5.conf 構成ファイルで変更できます。
スマートカードを初めて使用する前に、ctxsmartlogon.sh スクリプトを実行してスマートカード環境を構成します。
ヒント:
ドメイン参加に SSSD を使用している場合は、ctxsmartlogon.sh の実行後に SSSD サービスを再起動してください。
sudo /opt/Citrix/VDA/sbin/ctxsmartlogon.sh
結果は次のようになります。
ctxsmartlogon.sh スクリプトを実行してスマートカードを無効にすることもできます。
sudo /opt/Citrix/VDA/sbin/ctxsmartlogon.sh
結果は次のようになります。
(オプション 2) スマートカード環境を手動で構成する
Linux VDA は、Windows VDA と同じスマートカード環境を使用します。この環境では、ドメインコントローラー、Microsoft 証明機関 (CA)、インターネットインフォメーションサービス、Citrix StoreFront、Citrix Workspace アプリなど、複数のコンポーネントを構成する必要があります。YubiKey 4 スマートカードに基づく構成については、Knowledge Center の記事 CTX206156 を参照してください。
次のステップに進む前に、すべてのコンポーネントが正しく構成され、秘密キーとユーザー証明書がスマートカードにダウンロードされており、スマートカードを使用して Windows VDA に正常にログオンできることを確認してください。
PC/SC Lite パッケージをインストールする
PCSC Lite は、Linux における Personal Computer/Smart Card (PC/SC) 仕様の実装です。スマートカードとリーダーとの通信のための Windows スマートカードインターフェイスを提供します。Linux VDA のスマートカードリダイレクトは、PC/SC レベルで実装されています。
PC/SC Lite パッケージをインストールするには、次のコマンドを実行します。
RHEL 7/CentOS 7、RHEL 8/CentOS 8:
yum install pcsc-lite pcsc-lite-ccid pcsc-lite-libs
Ubuntu 20.04、Ubuntu 18.04、Ubuntu 16.04、Debian 10.9 の環境設定を行う場合:
apt-get install -y libpcsclite1 libccid
スマートカードドライバーをインストールする
OpenSC は広く使用されているスマートカードドライバーです。OpenSC がインストールされていない場合は、次のコマンドを実行してインストールします。
RHEL 7/CentOS 7、RHEL 8/CentOS 8:
yum install opensc
Ubuntu 20.04、Ubuntu 18.04、Ubuntu 16.04、Debian 10.9 の環境設定を行う場合:
apt-get install -y opensc
スマートカード認証用の PAM モジュールをインストールする
pam\_krb5 および krb5-pkinit モジュールをインストールするには、次のコマンドを実行します。
RHEL 7/CentOS 7:
yum install pam_krb5 krb5-pkinit
RHEL 8/CentOS 8:
yum install krb5-pkinit
ウブントゥ 20.04、ウブントゥ 18.04、ウブントゥ 16.04:
apt-get install libpam-krb5 krb5-pkinit
Debian 10.9 の場合：
apt-get install -y libpam-krb5 krb5-pkinit
pam\_krb5モジュールは、PAM対応アプリケーションがパスワードをチェックし、Key Distribution Center (KDC) からチケット許可チケットを取得するために使用できるプラガブル認証モジュールです。krb5-pkinitモジュールには、クライアントが秘密鍵と証明書を使用してKDCから初期資格情報を取得できるようにするPKINITプラグインが含まれています。
pam\_krb5モジュールの構成
pam\_krb5モジュールは、スマートカード内の証明書を使用してKerberosチケットを取得するためにKDCと対話します。PAMでpam_krb5認証を有効にするには、次のコマンドを実行します。
authconfig --enablekrb5 --update
/etc/krb5.conf 設定ファイルに、実際のレルムに従ってPKINIT情報を追加します。
注:
pkinit_cert_match オプションは、PKINIT認証を試行する前にクライアント証明書が一致する必要がある照合ルールを指定します。照合ルールの構文は次のとおりです。
ここで、
relation-operator は && (すべてのコンポーネントルールが一致する必要があることを意味します) または \|\| (1つのコンポーネントルールのみが一致する必要があることを意味します) のいずれかです。
一般的なkrb5.confファイルの例を次に示します。
EXAMPLE.COM = {
kdc = KDC.EXAMPLE.COM
auth_to_local = RULE:[1:$1@$0]
pkinit_anchors = FILE:<path where you install the root certificate>/certnew.pem
pkinit_kdc_hostname = KDC.EXAMPLE.COM
pkinit_cert_match = ||<EKU>msScLogin,<KU>digitalSignature
pkinit_eku_checking = kpServerAuth
}
PKINIT情報を追加すると、構成ファイルは次のようになります。
PAM認証の構成
PAM構成ファイルは、PAM認証に使用されるモジュールを示します。pam_krb5を認証モジュールとして追加するには、/etc/pam.d/smartcard-auth ファイルに次の行を追加します。
auth [success=done ignore=ignore default=die] pam_krb5.so preauth_options=X509_user_identity=PKCS11:<path to the pkcs11 driver>/opensc-pkcs11.so
SSSDを使用する場合、変更後の構成ファイルは次のようになります。
(オプション) スマートカードを使用したシングルサインオン
Single sign-on (SSO) は、仮想デスクトップおよびアプリケーションの起動時にパススルー認証を実装する Citrix の機能です。この機能により、ユーザーが PIN を入力する回数を減らすことができます。Linux VDA で SSO を使用するには、Citrix Workspace アプリを構成します。構成は Windows VDA と同じです。詳細については、Knowledge Center の記事 CTX133982 を参照してください。
Citrix Workspace アプリでグループポリシーを構成する際は、次のようにスマートカード認証を有効にします。
高速スマートカードログオン
高速スマートカードは、既存の HDX PC/SC ベースのスマートカードリダイレクトを改善したものです。これにより、スマートカードが高遅延の WAN 環境で使用される場合のパフォーマンスが向上します。詳細については、「スマートカード」を参照してください。
Linux VDA は、Citrix Workspace アプリの以下のバージョンで高速スマートカードをサポートしています。
-
シトリックス レシーバー Windows 用 4.12
-
Windows向けCitrix Workspaceアプリ1808以降
クライアントで高速スマートカードログオンを有効にする
高速スマートカードログオンは、VDA ではデフォルトで有効になっており、クライアントではデフォルトで無効になっています。クライアントで高速スマートカードログオンを有効にするには、関連する StoreFront サイトの default.ica ファイルに次のパラメーターを含めます。
[WFClient]
SmartCardCryptographicRedirection=On
クライアントで高速スマートカードログオンを無効にする
クライアントで高速スマートカードログオンを無効にするには、関連する StoreFront サイトの default.ica ファイルから SmartCardCryptographicRedirection パラメーターを削除します。
使用方法
スマートカードを使用して Linux VDA にログオンする
SSO シナリオと非 SSO シナリオの両方で、スマートカードを使用して Linux VDA にログオンできます。
-
SSO シナリオでは、キャッシュされたスマートカード証明書と PIN を使用して、StoreFront™ に自動的にログオンします。StoreFront で Linux 仮想デスクトップセッションを起動すると、PIN はスマートカード認証のために Linux VDA に渡されます。
-
非 SSO シナリオでは、証明書を選択し、PIN を入力して StoreFront にログオンするよう求められます。StoreFrontにログオンするためにPINを入力する(/en-us/linux-virtual-delivery-agent/2109/media/pin-new.png)
StoreFrontでLinux仮想デスクトップセッションを起動すると、Linux VDAへのログオンダイアログボックスが次のように表示されます。ユーザー名はスマートカードの証明書から抽出され、ログオン認証のためにPINを再度入力する必要があります。
この動作はWindows VDAと同じです。
ログオン認証(/en-us/linux-virtual-delivery-agent/2109/media/logon-authentication.png)
スマートカードを使用してセッションに再接続する
セッションに再接続するには、スマートカードがクライアントデバイスに接続されていることを確認してください。そうしないと、スマートカードが接続されていないため再認証が失敗し、Linux VDA側で灰色のキャッシュウィンドウが表示され、すぐに終了します。この場合、スマートカードを接続するよう促す他のプロンプトは表示されません。
ただし、StoreFront側では、セッションに再接続しようとしたときにスマートカードが接続されていない場合、StoreFront Webは次のようなアラートを表示する可能性があります。
スマートカードを挿入するイメージ(/en-us/linux-virtual-delivery-agent/2109/media/please-insert-smart-card.png)
制限事項
スマートカード取り外しポリシー
現在、Linux VDAはスマートカードの取り外しに対してデフォルトの動作のみを使用します。Linux VDAに正常にログオンした後でスマートカードを取り外しても、セッションは接続されたままであり、セッション画面はロックされません。
その他のスマートカードとPKCS#11ライブラリのサポート
サポートリストにはOpenSCスマートカードのみが記載されていますが、Citrixは汎用スマートカードリダイレクトソリューションを提供しているため、他のスマートカードやPKCS#11ライブラリを試すことができます。特定のスマートカードまたはPKCS#11ライブラリに切り替えるには：
-
すべての
opensc-pkcs11.soインスタンスを、お使いのPKCS#11ライブラリに置き換えます。 -
PKCS#11ライブラリのパスをレジストリに設定するには、次のコマンドを実行します。
/opt/Citrix/VDA/bin/ctxreg update -k "HKLM\System\CurrentControlSet\Control\Citrix\VirtualChannels\Scard" -v "PKCS11LibPath" -d "PATH"ここで、PATHは/usr/lib64/pkcs11/opensc-pkcs11.soのようなPKCS#11ライブラリを指します。 -
クライアントで高速スマートカードログオンを無効にします。