LDAPS

最終公開日 : Nov 13, 2026
LDAPS は、TLS/SSL を使用して LDAP 通信が暗号化される、Lightweight Directory Access Protocol (LDAP) のセキュアバージョンです。
デフォルトでは、クライアントとサーバーアプリケーション間の LDAP 通信は暗号化されません。LDAPS を使用すると、Linux VDA と LDAP サーバー間の LDAP クエリコンテンツを保護できます。
以下の Linux VDA コンポーネントは LDAPS に依存しています。
  • ブローカーエージェント: Delivery Controller™ への Linux VDA 登録
  • ポリシーサービス: ポリシー評価
LDAPS の構成には以下が含まれます。
  • Active Directory (AD)/LDAP サーバーで LDAPS を有効にする
  • クライアントで使用するためにルート CA をエクスポートする
  • Linux VDA で LDAPS を有効/無効にする
  • サードパーティプラットフォーム向けに LDAPS を構成する
  • SSSD を構成する
  • Winbind を構成する
  • Centrify を構成する
  • Quest を構成する
注:
LDAP サーバーの監視サイクルを設定するには、次のコマンドを実行します。デフォルト値は 15 分です。少なくとも 10 分に設定してください。
/opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -v "ListOfLDAPServersMonitorPeroid" -t "REG_DWORD" -d "0x0000000f" --force
Related information
その他

AD/LDAP サーバーで LDAPS を有効にする

Microsoft 認証局 (CA) または Microsoft 以外の CA から適切にフォーマットされた証明書をインストールすることで、LDAP over SSL (LDAPS) を有効にできます。
ヒント:
ドメインコントローラーにエンタープライズルート CA をインストールすると、LDAPS は自動的に有効になります。
証明書のインストール方法と LDAPS 接続の確認方法の詳細については、「サードパーティの認証局で LDAP over SSL を有効にする方法」を参照してください。
多層認証局階層を使用している場合、ドメインコントローラー上の LDAPS 認証に適した証明書が自動的に提供されるわけではありません。
多層認証局階層を使用してドメインコントローラーの LDAPS を有効にする方法については、「LDAP over SSL (LDAPS) 証明書」の記事を参照してください。

クライアント使用のためにルート認証局を有効にする

クライアントは、LDAP サーバーが信頼する CA からの証明書を使用する必要があります。クライアントの LDAPS 認証を有効にするには、ルート CA 証明書を信頼されたキーストアにインポートします。
ルート CA のエクスポート方法の詳細については、Microsoft サポート Web サイトの「ルート認証局証明書をエクスポートする方法」を参照してください。

Linux VDA で LDAPS を有効または無効にする

Linux VDA で LDAPS を有効または無効にするには、(管理者としてログオンしている間に) enable\_ldaps.sh スクリプトを実行します。enable\_ldaps.sh スクリプトを非対話モードで実行するには、次の変数を環境にエクスポートします。
#CTX_LDAPS_KEYSTORE_PASSWORD=

#CTX_LDAPS_LDAP_SERVERS=
  • 提供されたルート CA 証明書を使用して LDAP over SSL/TLS を有効にするには：
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
  • チャネルバインディングを使用して LDAP over SSL/TLS を有効にするには：
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enablecb pathToRootCA
    注:
    チャネルバインディング用のルート CA 証明書は PEM 形式である必要があります。LDAPS を有効にしても Python3 仮想環境が正常に作成されない場合は、「Python3 仮想環境の作成」の手順に従って手動で作成してください。
    pip ツールを使用する際に発生する可能性のある SSL 接続エラーに対処するには、次の信頼されたホストを /etc/pip.conf ファイルに追加することを検討してください。
    \> [global]
    trusted-host =
    \> pypi.org
    files.pythonhosted.org
  • SSL/TLSなしでLDAPにフォールバックするには
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
LDAPS専用のJavaキーストアは /etc/xdl/.keystore にあります。影響を受けるレジストリキーは次のとおりです。
HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore

HKLM\Software\Citrix\VirtualDesktopAgent\EnableChannelBinding

サードパーティプラットフォーム向けLDAPSの構成

Linux VDAコンポーネントの他に、VDAに準拠するいくつかのサードパーティ製ソフトウェアコンポーネント（SSSD、Winbind、Centrify、Questなど）もセキュアLDAPを必要とする場合があります。以下のセクションでは、LDAPS、STARTTLS、またはSASL署名とシーリングを使用してセキュアLDAPを構成する方法について説明します。
ヒント:
これらのソフトウェアコンポーネントのすべてが、セキュアLDAPを確保するためにSSLポート636を使用することを好むわけではありません。また、ほとんどの場合、LDAPS（ポート636上のSSL経由のLDAP）はポート389上のSTARTTLSと共存できません。

SSSD

オプションに従って、ポート636またはポート389でSSSDセキュアLDAPトラフィックを構成します。詳細については、SSSD LDAP Linux manページを参照してください。

ウィンバインド

Winbind LDAPクエリはADSメソッドを使用します。Winbindはポート389でのStartTLSメソッドのみをサポートします。影響を受ける構成ファイルは /etc/samba/smb.conf および /etc/openldap/ldap.conf（Amazon Linux 2、RHEL、Rocky Linux、CentOS、SUSEの場合）、または /etc/ldap/ldap.conf（DebianおよびUbuntuの場合）です。ファイルを次のように変更します。
  • smb.conf
    ldap ssl = start tls
    ldap ssl ads = yes client ldap sasl wrapping = plain
  • ldap.conf
    TLS_REQCERT never
あるいは、SASL GSSAPI署名とシーリングによってセキュアLDAPを構成することもできますが、これはTLS/SSLと共存できません。SASL暗号化を使用するには、smb.conf の構成を変更します。
ldap ssl = off
ldap ssl ads = no client ldap sasl wrapping = seal

セントリファイ

Centrifyはポート636でのLDAPSをサポートしていません。ただし、ポート389ではセキュアな暗号化を提供します。詳細については、Centrifyサイトを参照してください。

クエスト

Quest Authentication Service はポート 636 で LDAPS をサポートしていませんが、別の方法を使用してポート 389 で安全な暗号化を提供します。

トラブルシューティング

この機能を使用すると、次の問題が発生する可能性があります。
  • LDAPS サービスの可用性
    AD/LDAP サーバーで LDAPS 接続が利用可能であることを確認します。ポートはデフォルトで 636 です。
  • LDAPS が有効な場合に Linux VDA の登録が失敗しました
    LDAP サーバーとポートが正しく構成されていることを確認します。まずルート CA 証明書を確認し、AD/LDAP サーバーと一致していることを確認します。
  • 誤ってレジストリが変更された
    enable\_ldaps.sh を使用せずに誤って LDAPS 関連のキーを更新した場合、LDAPS コンポーネントの依存関係が壊れる可能性があります。
  • Wireshark またはその他のネットワーク監視ツールから SSL/TLS を介して LDAP トラフィックが暗号化されていない
    デフォルトでは、LDAPS は無効になっています。強制的に有効にするには、/opt/Citrix/VDA/sbin/enable\_ldaps.sh を実行します。
  • Wireshark またはその他のネットワーク監視ツールから LDAPS トラフィックがない
    LDAP/LDAPS トラフィックは、Linux VDA の登録とグループポリシーの評価が行われるときに発生します。
  • AD サーバーで ldp connect を実行して LDAPS の可用性を確認できませんでした
    IP アドレスの代わりに AD FQDN を使用してください。
  • /opt/Citrix/VDA/sbin/enable\_ldaps.sh スクリプトを実行してルート CA 証明書をインポートできませんでした
    CA証明書のフルパスを指定し、ルートCA証明書が正しいタイプであることを確認します。これは、サポートされているほとんどのJava Keytoolタイプと互換性があるはずです。サポートリストにない場合は、まずタイプを変換できます。証明書形式の問題が発生した場合は、base64エンコードされたPEM形式をお勧めします。
  • Keytool -list でルートCA証明書を表示できませんでした
    /opt/Citrix/VDA/sbin/enable_ldaps.shを実行してLDAPSを有効にすると、証明書は/etc/xdl/.keystoreにインポートされ、キーストアを保護するためにパスワードが設定されます。パスワードを忘れた場合は、スクリプトを再実行してキーストアを作成できます。