LDAPS

最終公開日 : Nov 13, 2026
LDAPSは、LDAP通信がTLS/SSLを使用して暗号化される、Lightweight Directory Access Protocol (LDAP) のセキュアなバージョンです。
デフォルトでは、クライアントとサーバーアプリケーション間のLDAP通信は暗号化されません。LDAPSを使用すると、Linux VDAとLDAPサーバー間のLDAPクエリコンテンツを保護できます。
以下のLinux VDAコンポーネントはLDAPSに依存しています。
  • ブローカーエージェント：Delivery Controller™へのLinux VDA登録
  • ポリシーサービス：ポリシー評価
LDAPSの構成には以下が含まれます。
  • アクティブディレクトリ (AD)/LDAPサーバーでLDAPSを有効にする
  • クライアントで使用するためにルートCAをエクスポートする
  • Linux VDAでLDAPSを有効または無効にします。
  • サードパーティプラットフォーム向けにLDAPSを構成する
  • SSSDを構成する
  • Winbindを構成する
  • Centrifyを構成する
  • Questを構成する
注:
LDAPサーバーの監視サイクルを設定するには、次のコマンドを実行します。デフォルト値は15分です。少なくとも10分に設定してください。
/opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -v "ListOfLDAPServersMonitorPeroid" -t "REG_DWORD" -d "0x0000000f" --force
Related information
その他

AD/LDAPサーバーでLDAPSを有効にする

Microsoft 認証局 (CA) または Microsoft 以外の CA のいずれかから、適切な形式の証明書をインストールすることで、LDAP over SSL (LDAPS) を有効にできます。
ヒント:
ドメインコントローラーにエンタープライズルート CA をインストールすると、LDAPS は自動的に有効になります。
証明書のインストール方法と LDAPS 接続の確認方法の詳細については、サードパーティの認証局で LDAP over SSL を有効にする方法を参照してください。
多層認証局階層を使用している場合、ドメインコントローラーで LDAPS 認証用の適切な証明書が自動的に利用できるわけではありません。
多層認証局階層を使用してドメインコントローラーで LDAPS を有効にする方法については、LDAP over SSL (LDAPS) 証明書の記事を参照してください。

クライアントが使用できるようにルート認証局を有効にする

クライアントは、LDAP サーバーが信頼する CA の証明書を使用する必要があります。クライアントの LDAPS 認証を有効にするには、ルート CA 証明書を信頼されたキーストアにインポートします。
ルート CA のエクスポート方法の詳細については、Microsoft サポート Web サイトのルート認証局証明書をエクスポートする方法を参照してください。

Linux VDA で LDAPS を有効または無効にする

Linux VDA で LDAPS を有効または無効にするには、(管理者としてログオンした状態で) enable\_ldaps.sh スクリプトを実行します。enable\_ldaps.sh スクリプトを非対話モードで実行するには、次の変数を環境にエクスポートします。
#CTX_LDAPS_KEYSTORE_PASSWORD=

#CTX_LDAPS_LDAP_SERVERS=
  • 提供されたルート CA 証明書を使用して LDAP over SSL/TLS を有効にするには (LDAP チャネルバインディングがサポートされています):
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
  • SSL/TLS なしの LDAP にフォールバックする
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
LDAPS 専用の Java キーストアは /etc/xdl/.keystore にあります。影響を受けるレジストリキーは次のとおりです。
HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore

HKLM\Software\Citrix\VirtualDesktopAgent\EnableChannelBinding

サードパーティプラットフォーム向けの LDAPS を構成する

Linux VDAコンポーネントのほかに、VDAに準拠するサードパーティ製ソフトウェアコンポーネント（SSSD、Winbind、Centrify、Questなど）もセキュアLDAPを必要とする場合があります。以下のセクションでは、LDAPS、STARTTLS、またはSASL署名およびシーリングを使用してセキュアLDAPを構成する方法について説明します。
ヒント:
これらのソフトウェアコンポーネントのすべてが、セキュアLDAPを確保するためにSSLポート636を使用することを推奨しているわけではありません。また、ほとんどの場合、LDAPS（ポート636でのSSL経由のLDAP）はポート389でのSTARTTLSと共存できません。

SSSD

オプションに従って、ポート636またはポート389でSSSDセキュアLDAPトラフィックを構成します。詳しくは、SSSD LDAP Linux manページを参照してください。

ウィンバインド

Winbind LDAPクエリはADSメソッドを使用します。Winbindはポート389でのStartTLSメソッドのみをサポートします。影響を受ける構成ファイルは、/etc/samba/smb.conf および /etc/openldap/ldap.conf (Amazon Linux 2、RHEL、Rocky Linux、CentOS、SUSEの場合)、または /etc/ldap/ldap.conf (DebianおよびUbuntuの場合) です。ファイルを次のように変更します。
  • smb.conf
    ldap ssl = start tls
    ldap ssl ads = yes client ldap sasl wrapping = plain
  • ldap.conf
    TLS_REQCERT never
または、SASL GSSAPI署名およびシーリングによってセキュアLDAPを構成することもできますが、TLS/SSLとは共存できません。SASL暗号化を使用するには、smb.conf構成を変更します。
ldap ssl = off
ldap ssl ads = no client ldap sasl wrapping = seal

セントリファイ

Centrifyはポート636でのLDAPSをサポートしていません。ただし、ポート389でセキュアな暗号化を提供します。詳しくは、Centrifyサイトを参照してください。

クエスト

Quest Authentication Serviceはポート636でのLDAPSをサポートしていませんが、異なるメソッドを使用してポート389でセキュアな暗号化を提供します。

トラブルシューティング

この機能を使用すると、次の問題が発生する可能性があります。
  • LDAPSサービスの可用性
    AD/LDAPサーバーでLDAPS接続が利用可能であることを確認します。ポートはデフォルトで636です。
  • LDAPSが有効な場合にLinux VDAの登録が失敗しました
    LDAPサーバーとポートが正しく構成されていることを確認します。まずルートCA証明書を確認し、AD/LDAPサーバーと一致していることを確認します。
  • 誤ってレジストリを変更してしまった場合
    enable\_ldaps.shを使用せずに誤ってLDAPS関連のキーを更新した場合、LDAPSコンポーネントの依存関係が壊れる可能性があります。
  • Wiresharkまたはその他のネットワーク監視ツールからSSL/TLSで暗号化されていないLDAPトラフィック
    デフォルトでは、LDAPSは無効になっています。強制的に有効にするには、/opt/Citrix/VDA/sbin/enable\_ldaps.shを実行します。
  • Wiresharkまたはその他のネットワーク監視ツールからLDAPSトラフィックがない
    LDAP/LDAPSトラフィックは、Linux VDAの登録とグループポリシーの評価が行われるときに発生します。
  • ADサーバーでldp connectを実行してLDAPSの可用性を確認できませんでした
    IPアドレスの代わりにAD FQDNを使用してください。
  • /opt/Citrix/VDA/sbin/enable\_ldaps.shスクリプトを実行してルートCA証明書をインポートできませんでした
    CA証明書のフルパスを指定し、ルートCA証明書が正しいタイプであることを確認します。これは、Java Keytoolでサポートされているほとんどのタイプと互換性があるはずです。サポートリストにない場合は、まずタイプを変換できます。証明書形式の問題が発生した場合は、base64エンコードされたPEM形式をお勧めします。
  • Keytool -listでルートCA証明書を表示できませんでした
    /opt/Citrix/VDA/sbin/enable_ldaps.shを実行してLDAPSを有効にすると、証明書は/etc/xdl/.keystoreにインポートされ、キーストアを保護するためにパスワードが設定されます。パスワードを忘れた場合は、スクリプトを再実行してキーストアを作成できます。