LDAPS

最終公開日 : Nov 13, 2026
LDAPS は、LDAP 通信が TLS/SSL を使用して暗号化される、Lightweight Directory Access Protocol (LDAP) のセキュアバージョンです。
デフォルトでは、クライアントとサーバーアプリケーション間の LDAP 通信は暗号化されません。LDAPS を使用すると、Linux VDA と LDAP サーバー間の LDAP クエリコンテンツを保護できます。
以下の Linux VDA コンポーネントは LDAPS に依存しています。
  • ブローカーエージェント：Delivery Controller™ への Linux VDA 登録
  • ポリシーサービス：ポリシー評価
LDAPS の構成には以下が含まれます。
  • Active Directory (AD)/LDAP サーバーで LDAPS を有効にする
  • クライアントで使用するためにルート CA をエクスポートする
  • Linux VDA で LDAPS を有効/無効にする
  • サードパーティプラットフォーム向けに LDAPS を構成する
  • SSSD を構成する
  • Winbind を構成する
  • Centrify を構成する
  • Quest を構成する
注:
LDAP サーバーの監視サイクルを設定するには、次のコマンドを実行します。デフォルト値は 15 分です。少なくとも 10 分に設定してください。
/opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -v "ListOfLDAPServersMonitorPeroid" -t "REG_DWORD" -d "0x0000000f" --force
Related information
その他

AD/LDAPサーバーでLDAPSを有効にする

Microsoftの認証局 (CA) またはMicrosoft以外のCAから適切にフォーマットされた証明書をインストールすることで、LDAP over SSL (LDAPS) を有効にできます。
ヒント:
ドメインコントローラーにエンタープライズルートCAをインストールすると、LDAPSは自動的に有効になります。
証明書のインストール方法とLDAPS接続の確認方法の詳細については、「サードパーティの認証局でLDAP over SSLを有効にする方法」を参照してください。
多層認証局階層を使用している場合、ドメインコントローラー上のLDAPS認証に適した証明書が自動的に提供されるわけではありません。
多層認証局階層を使用してドメインコントローラーでLDAPSを有効にする方法については、「LDAP over SSL (LDAPS) 証明書」の記事を参照してください。

クライアント使用のためにルート認証局を有効にする

クライアントは、LDAPサーバーが信頼するCAからの証明書を使用する必要があります。クライアントのLDAPS認証を有効にするには、ルートCA証明書を信頼されたキーストアにインポートします。
ルートCAのエクスポート方法の詳細については、MicrosoftサポートWebサイトの「ルート認証局証明書をエクスポートする方法」を参照してください。

Linux VDAでLDAPSを有効または無効にする

Linux VDAでLDAPSを有効または無効にするには、次のスクリプトを（管理者としてログインして）実行します。
このコマンドの構文には、以下が含まれます。
  • 提供されたルートCA証明書を使用してLDAP over SSL/TLSを有効にする:
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
  • チャネルバインディングを使用してLDAP over SSL/TLSを有効にする:
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enablecb pathToRootCA
    注:
    チャネルバインディング用のルートCA証明書はPEM形式である必要があります。LDAPSを有効にしてもPython3仮想環境が正常に作成されない場合は、「Python3仮想環境を作成する」の手順に従って手動で作成してください。
    pip ツールを使用する際に発生する可能性のある SSL 接続エラーに対処するには、次の信頼できるホストを /etc/pip.conf ファイルに追加することを検討してください。
    \>[global]
    trusted-host =
    \>pypi.org
    files.pythonhosted.org
  • SSL/TLS なしで LDAP にフォールバックする
/opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
LDAPS 専用の Java キーストアは /etc/xdl/.keystore にあります。影響を受けるレジストリキーは次のとおりです。
HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore

HKLM\Software\Citrix\VirtualDesktopAgent\EnableChannelBinding

サードパーティプラットフォーム向けに LDAPS を構成する

Linux VDA コンポーネントの他に、VDA に準拠するいくつかのサードパーティソフトウェアコンポーネント（SSSD、Winbind、Centrify、Quest など）もセキュアな LDAP を必要とする場合があります。以下のセクションでは、LDAPS、STARTTLS、または SASL の署名と封印を使用してセキュアな LDAP を構成する方法について説明します。
ヒント:
これらのソフトウェアコンポーネントのすべてが、セキュアな LDAP を確保するために SSL ポート 636 を使用することを好むわけではありません。また、ほとんどの場合、LDAPS (ポート 636 の SSL 経由 LDAP) はポート 389 の STARTTLS と共存できません。

SSSD

オプションに従って、ポート 636 またはポート 389 で SSSD セキュア LDAP トラフィックを構成します。詳細については、SSSD LDAP Linux man ページを参照してください。

ウィンバインド

Winbind LDAP クエリは ADS メソッドを使用します。Winbind はポート 389 で StartTLS メソッドのみをサポートします。影響を受ける構成ファイルは /etc/samba/smb.conf および /etc/openldap/ldap.conf (RHEL の場合) または /etc/ldap/ldap.conf (Ubuntu の場合) です。ファイルを次のように変更します。
  • smb.conf
    ldap ssl = start tls
    ldap ssl ads = yes client ldap sasl wrapping = plain
  • ldap.conf
    TLS_REQCERT never
あるいは、SASL GSSAPI の署名と封印によってセキュアな LDAP を構成することもできますが、これは TLS/SSL と共存できません。SASL 暗号化を使用するには、smb.conf の構成を変更します。
ldap ssl = off
ldap ssl ads = no client ldap sasl wrapping = seal

セントリファイ

Centrify はポート 636 での LDAPS をサポートしていません。ただし、ポート 389 でセキュアな暗号化を提供します。詳細については、Centrify サイトを参照してください。

クエスト

Quest Authentication Serviceはポート636でのLDAPSをサポートしていませんが、異なる方法を使用してポート389で安全な暗号化を提供します。

トラブルシューティング

この機能を使用すると、次の問題が発生する可能性があります。
  • LDAPSサービスの可用性
    AD/LDAPサーバーでLDAPS接続が利用可能であることを確認してください。ポートはデフォルトで636です。
  • LDAPSが有効になっている場合にLinux VDAの登録に失敗しました
    LDAPサーバーとポートが正しく構成されていることを確認してください。まずルートCA証明書を確認し、AD/LDAPサーバーと一致することを確認してください。
  • 誤って不適切なレジストリ変更を行った場合
    enable\_ldaps.shを使用せずに誤ってLDAPS関連のキーを更新した場合、LDAPSコンポーネントの依存関係が破損する可能性があります。
  • Wiresharkまたはその他のネットワーク監視ツールから見て、LDAPトラフィックがSSL/TLSを介して暗号化されていません
    デフォルトでは、LDAPSは無効になっています。強制的に有効にするには、/opt/Citrix/VDA/sbin/enable\_ldaps.shを実行してください。
  • Wiresharkまたはその他のネットワーク監視ツールから見て、LDAPSトラフィックがありません
    LDAP/LDAPSトラフィックは、Linux VDAの登録とグループポリシーの評価が行われるときに発生します。
  • ADサーバーでldp connectを実行してLDAPSの可用性を確認できませんでした
    IPアドレスの代わりにAD FQDNを使用してください。
  • /opt/Citrix/VDA/sbin/enable\_ldaps.sh スクリプトを実行してルートCA証明書のインポートに失敗しました
    CA証明書のフルパスを指定し、ルートCA証明書が正しいタイプであることを確認してください。ほとんどのJava Keytoolでサポートされているタイプと互換性があるはずです。サポートリストにない場合は、まずタイプを変換できます。証明書形式の問題が発生した場合は、base64エンコードされたPEM形式をお勧めします。
  • Keytool -list でルートCA証明書を表示できませんでした
    /opt/Citrix/VDA/sbin/enable_ldaps.sh を実行してLDAPSを有効にすると、証明書は /etc/xdl/.keystore にインポートされ、キーストアを保護するためにパスワードが設定されます。パスワードを忘れた場合は、スクリプトを再実行してキーストアを作成できます。