スマートカード
Linux仮想デスクトップセッションにログオンする際、クライアントデバイスに接続されたスマートカードを認証に使用できます。この機能は、ICA®スマートカード仮想チャネルを介したスマートカードリダイレクトによって実装されます。セッション内でスマートカードを使用することもできます。使用例は次のとおりです。
-
ドキュメントにデジタル署名を追加する
-
メールを暗号化または復号化する
-
Webサイトへの認証
この機能では、Linux VDAはWindows VDAと同じ構成を使用します。詳細については、この記事の(/ja-jp/linux-virtual-delivery-agent/2407/configure/authentication/support-for-smart-cards.html#configure-the-smart-card-environment)セクションを参照してください。
注:
Linux VDAセッション内でマップされたスマートカードを使用してCitrix Gatewayにサインオンすることはサポートされていません。
前提条件
スマートカードパススルー認証の可用性は、次の条件に左右されます。
-
お使いのLinux VDAはDelivery Controller™に登録でき、Windows資格情報を使用して公開されたLinuxデスクトップセッションを開くことができます。
-
OpenSCでサポートされているスマートカードが使用されます。詳細については、(/ja-jp/linux-virtual-delivery-agent/2407/configure/authentication/support-for-smart-cards.html#ensure-that-opensc-supports-your-smart-card)を参照してください。
OpenSCがスマートカードをサポートしていることを確認する
OpenSCは、RHEL 7.4以降で広く使用されているスマートカードドライバーです。CoolKeyの完全に互換性のある代替品として、OpenSCは多くの種類のスマートカードをサポートしています (Red Hat Enterprise Linuxでのスマートカードのサポートを参照)。
この記事では、構成を説明するためにYubiKeyスマートカードを例として使用します。YubiKeyは、Amazonやその他の小売業者から簡単に購入できるオールインワンのUSB CCID PIVデバイスです。OpenSCドライバーはYubiKeyをサポートしています。
組織がより高度なスマートカードを必要とする場合は、サポートされているLinuxディストリビューションとOpenSCパッケージがインストールされた物理マシンを準備します。OpenSCのインストールについては、(/ja-jp/linux-virtual-delivery-agent/2407/configure/authentication/support-for-smart-cards.html#install-the-smart-card-driver)を参照してください。スマートカードを挿入し、次のコマンドを実行して、OpenSCがスマートカードをサポートしていることを確認します。
pkcs11-tool --module opensc-pkcs11.so --list-slots
構成
ルート証明書を準備する
ルート証明書は、スマートカード上の証明書を検証するために使用されます。ルート証明書をダウンロードしてインストールするには、次の手順を実行します。
-
PEM形式のルート証明書を取得します。通常、CAサーバーから取得します。DERファイル（*.crt、*.cer、*.der）をPEMに変換するには、次のようなコマンドを実行します。次のコマンド例では、certnew.cerはDERファイルです。
openssl x509 -inform der -in certnew.cer -out certnew.pem -
ルート証明書を
opensslディレクトリにインストールします。certnew.pemファイルは例として使用されています。cp certnew.pem <path where you install the root certificate>ルート証明書をインストールするためのパスを作成するには、sudo mdkir -p <path where you install the root certificate>を実行します。
スマートカード環境を構成する
ctxsmartlogon.shスクリプトを使用してスマートカード環境を構成するか、手動で構成を完了できます。
（オプション1）ctxsmartlogon.shスクリプトを使用してスマートカード環境を構成する
注:
ctxsmartlogon.shスクリプトは、PKINIT情報をデフォルトレルムに追加します。この設定は、/etc/krb5.conf構成ファイルを通じて変更できます。
スマートカードを初めて使用する前に、ctxsmartlogon.shスクリプトを実行してスマートカード環境を構成します。
ヒント:
ドメイン参加にSSSDを使用している場合は、ctxsmartlogon.shを実行した後、SSSDサービスを再起動してください。 RHEL 8以降では、PAM_KRB5がEPELリポジトリに移動されたため、スクリプトはこれらのディストリビューションでEPELを有効にしようとします。
sudo /opt/Citrix/VDA/sbin/ctxsmartlogon.sh
結果は次のようになります。
注:
ドメイン参加方法としてQuestを使用する場合、Key Distribution Center (KDC) のホスト名を指定する必要があります。例：
ctxsmartlogon.shスクリプトを実行してスマートカードを無効にすることもできます。
sudo /opt/Citrix/VDA/sbin/ctxsmartlogon.sh
結果は次のようになります。
(オプション2) スマートカード環境を手動で構成する
Linux VDAは、Windows VDAと同じスマートカード環境を使用します。この環境では、ドメインコントローラー、Microsoft証明機関 (CA)、Internet Information Services、Citrix StoreFront、Citrix Workspaceアプリなど、複数のコンポーネントを構成する必要があります。YubiKeyスマートカードに基づいた構成については、Knowledge Centerの記事CTX206156を参照してください。
次の手順に進む前に、以下を確認してください。
-
すべてのコンポーネントが正しく構成されていること。
-
秘密キーとユーザー証明書をスマートカードにダウンロードしていること。
-
スマートカードを使用してVDAに正常にログオンできること。
PC/SC Liteパッケージをインストールする
PCSC Liteは、LinuxにおけるPersonal Computer/Smart Card (PC/SC) 仕様の実装です。スマートカードおよびリーダーと通信するためのWindowsスマートカードインターフェイスを提供します。Linux VDAでのスマートカードリダイレクトは、PC/SCレベルで実装されています。
PC/SC Liteパッケージをインストールするには、次のコマンドを実行します。
RHEL 9.4/9.3/9.2/8.x、Rocky Linux 9.4/9.3/9.2/8.x 対応：
yum install pcsc-lite pcsc-lite-ccid pcsc-lite-libs
ウブントゥ 22.04、ウブントゥ 20.04、デビアン 12.5、デビアン 11.9：
apt-get install -y libpcsclite1 libccid
スマートカードドライバーをインストールする
OpenSCは広く使用されているスマートカードドライバーです。OpenSCがインストールされていない場合は、次のコマンドを実行してインストールします。
RHEL 9.4/9.3/9.2/8.x、Rocky Linux 9.4/9.3/9.2/8.x 対応：
yum install opensc
ウブントゥ 22.04, ウブントゥ 20.04, デビアン 12.5, デビアン 11.9：
apt-get install -y opensc
スマートカード認証用のPAMモジュールをインストールする
pam\_krb5およびkrb5-pkinitモジュールをインストールするには、次のコマンドを実行します。
RHEL 9.4/9.3/9.2/8.x, ロッキー・リナックス 9.4/9.3/9.2/8.x：
yum install krb5-pkinit
ウブントゥ 22.04、ウブントゥ 20.04:
apt-get install libpam-krb5 krb5-pkinit
デビアン 12.5、デビアン 11.9:
apt-get install -y libpam-krb5 krb5-pkinit
pam\_krb5モジュールは、プラガブル認証モジュールです。PAM対応アプリケーションは、pam\_krb5を使用してパスワードをチェックし、Key Distribution Center (KDC) からチケット許可チケットを取得できます。krb5-pkinitモジュールには、クライアントが秘密鍵と証明書を使用してKDCから初期資格情報を取得できるようにするPKINITプラグインが含まれています。
pam\_krb5モジュールを構成する
pam\_krb5モジュールは、スマートカード内の証明書を使用してKerberosチケットを取得するためにKDCと対話します。PAMでpam_krb5認証を有効にするには、次のコマンドを実行します。
authconfig --enablekrb5 --update
/etc/krb5.conf構成ファイルで、実際のレルムに従ってPKINIT情報を追加します。
注:
pkinit_cert_matchオプションは、PKINIT認証を試行するために使用される前にクライアント証明書が一致する必要がある一致ルールを指定します。一致ルールの構文は次のとおりです。
ここで、relation-operatorは**&&（すべてのコンポーネントルールが一致する必要があることを意味します）または\|\|**（いずれか1つのコンポーネントルールが一致する必要があることを意味します）のいずれかになります。
汎用krb5.confファイルの例を次に示します。
EXAMPLE.COM = {
kdc = KDC.EXAMPLE.COM
auth_to_local = RULE:[1:$1@$0]
pkinit_anchors = FILE:<path where you install the root certificate>/certnew.pem
pkinit_kdc_hostname = KDC.EXAMPLE.COM
pkinit_cert_match = ||<EKU>msScLogin,<KU>digitalSignature
pkinit_eku_checking = kpServerAuth
}
PKINIT情報を追加すると、構成ファイルは次のようになります。
追加されたPKINIT情報(/en-us/linux-virtual-delivery-agent/2407/media/pkinit-information-new2.png)
PAM認証の構成
PAM構成ファイルは、PAM認証に使用されるモジュールを示します。pam_krb5を認証モジュールとして追加するには、/etc/pam.d/smartcard-authファイルに次の行を追加します。
auth [success=done ignore=ignore default=die] pam_krb5.so preauth_options=X509_user_identity=PKCS11:<path to the pkcs11 driver>/opensc-pkcs11.so
SSSDを使用する場合、変更後の構成ファイルは次のようになります。
SSSDを使用する場合の変更された構成ファイル(/en-us/linux-virtual-delivery-agent/2407/media/smartcard-authentication-file.png)
(オプション)スマートカードを使用したシングルサインオン
シングルサインオン (SSO) は、仮想デスクトップおよびアプリケーションの起動時にパススルー認証を実装するCitrixの機能です。この機能により、ユーザーがPINを入力する回数が減ります。Linux VDAでSSOを使用するには、Citrix Workspaceアプリを構成します。構成はWindows VDAと同じです。詳しくは、Knowledge Centerの記事CTX133982を参照してください。
Citrix Workspace™アプリでグループポリシーを構成する際に、スマートカード認証を次のように有効にします。
Workspaceアプリでのスマートカード認証の有効化(/en-us/linux-virtual-delivery-agent/2407/media/enable-smart-card-auth-in-receiver.jpg)
高速スマートカードログオン
高速スマートカードは、既存のHDX PC/SCベースのスマートカードリダイレクトを改善したものです。これにより、高遅延WAN環境でスマートカードを使用する際のパフォーマンスが向上します。詳しくは、スマートカードを参照してください。
Linux VDAは、Citrix Workspaceアプリの次のバージョンで高速スマートカードをサポートしています。
-
シトリックス レシーバー フォー ウィンドウズ 4.12
-
Windows向けCitrix Workspaceアプリ1808以降
クライアントで高速スマートカードログオンを有効にする
高速スマートカードログオンは、VDAではデフォルトで有効になっており、クライアントではデフォルトで無効になっています。クライアントで高速スマートカードログオンを有効にするには、関連するStoreFrontサイトのdefault.icaファイルに次のパラメーターを含めます。
[WFClient]
SmartCardCryptographicRedirection=On
クライアントで高速スマートカードログオンを無効にする
クライアントで高速スマートカードログオンを無効にするには、関連するStoreFrontサイトのdefault.icaファイルからSmartCardCryptographicRedirectionパラメーターを削除します。
XDPingを実行する
前述の手順を完了した後、Linux XDPingツールを使用して、Linux VDA環境に存在する可能性のある一般的な構成の問題を確認できます。
使用方法
スマートカードを使用してLinux VDAにログオンする
SSOおよび非SSOの両方のシナリオで、スマートカードを使用してLinux VDAにログオンできます。
-
SSOシナリオでは、キャッシュされたスマートカード証明書とPINを使用して、StoreFront™に自動的にログオンします。StoreFrontでLinux仮想デスクトップセッションを起動すると、スマートカード認証のためにPINがLinux VDAに渡されます。
-
非SSOシナリオでは、StoreFrontにログオンするために証明書を選択し、PINを入力するよう求められます。
StoreFrontでLinux仮想デスクトップセッションを起動すると、Linux VDAへのログオンダイアログボックスが次のように表示されます。ユーザー名はスマートカードの証明書から抽出され、ログオン認証のためにPINを再度入力する必要があります。
この動作はWindows VDAと同じです。
スマートカードを使用してセッションに再接続する
セッションに再接続するには、スマートカードがクライアントデバイスに接続されていることを確認してください。そうしないと、スマートカードが接続されていないために再認証が失敗するため、Linux VDA側で灰色のキャッシュウィンドウが表示され、すぐに終了します。この場合、スマートカードを接続するよう通知する他のプロンプトは表示されません。
ただし、StoreFront側では、セッションに再接続するときにスマートカードが接続されていない場合、StoreFront Webは次のようなアラートを表示する可能性があります。
スマートカードの挿入(/en-us/linux-virtual-delivery-agent/2407/media/please-insert-smart-card.png)
制限事項
制限されたLinuxディストリビューションとAD統合方法のサポート
-
スマートカードパススルー認証は、制限されたLinuxディストリビューションとAD統合方法をサポートしています。次のマトリックスを参照してください。
ウィンバインド SSSD セントリファイ クエスト デビアン 12.5/11.9 はい はい はい いいえ RHEL 9.4/9.3/9.2 はい はい はい はい RHEL 8.10/8.9/8.8 はい はい はい はい ロッキー リナックス 9.4/9.3/9.2 はい はい はい いいえ ロッキー リナックス 8.10/8.9/8.8 はい はい はい いいえ ウブントゥ 22.04/20.04 はい はい はい はい
スマートカードの取り外し設定
ログイン中のユーザーのスマートカードがセッション中にスマートカードリーダーから取り外されたときに何が起こるかを、Linux VDAで以下のレジストリキーを編集することで決定できます。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix\LocalPolicies\SecurityOptions
| 値の名前 | タイプ | デフォルト | 説明 |
|---|---|---|---|
| SCardRemoveOption | REG_DWORD | 0x00000000 | この設定は、ログイン中のユーザーのスマートカードがセッション中にスマートカードリーダーから取り外されたときに何が起こるかを決定します。オプションは次のとおりです。 |
| \^ | \^ | \^ | 0 アクションなし |
| \^ | \^ | \^ | 1 強制ログオフ: スマートカードが取り外されると、ユーザーは自動的にサインアウトされます。 |
| \^ | \^ | \^ | 2 セッションの切断: スマートカードが取り外されても、ユーザーはサインアウトされずにセッションが切断されます。ユーザーは後でスマートカードを再挿入してセッションに再接続できます。 |
| SCardRemoveActionDelaySeconds | REG_DWORD | 15 | 削除オプションが 強制ログオフ または セッションの切断 に設定されている場合、アクションが実行されるまでの遅延を数秒間指定できます。この設定により、スマートカードが取り外された後、ユーザーセッションにメッセージボックスが表示され、指定された秒数後にセッションが強制ログオフ/切断されることを示します。その時間内にスマートカードを再挿入すると、セッションは中断されずに続行されます。 |
制限事項
Linux VDAは、一度に1つのスマートカードリーダーのみをサポートします。
その他のスマートカードとPKCS#11ライブラリのサポート
Citrix は汎用スマートカードリダイレクトソリューションを提供します。サポートリストにはOpenSCスマートカードのみが記載されていますが、他のスマートカードやPKCS#11ライブラリを使用することもできます。特定のスマートカードまたはPKCS#11ライブラリに切り替えるには:
-
すべての
opensc-pkcs11.soインスタンスをPKCS#11ライブラリに置き換えます。 -
PKCS#11ライブラリのパスをレジストリに設定するには、次のコマンドを実行します。
/opt/Citrix/VDA/bin/ctxreg update -k "HKLM\System\CurrentControlSet\Control\Citrix\VirtualChannels\Scard" -v "PKCS11LibPath" -d "PATH"ここで、PATH は /usr/lib64/pkcs11/opensc-pkcs11.so のようなPKCS#11ライブラリを指します。 -
クライアントで高速スマートカードログオンを無効にします。