Windows プロファイルと Password Manager およびシングルサインオンの使用
この記事には、Profile Management に固有の情報は含まれていません。Citrix Single Sign-on がローカルプロファイル、移動プロファイル、強制プロファイル、またはハイブリッドプロファイルで最適に動作するように、特定の Windows オプションを構成する方法について説明します。このトピックは、Citrix Single Sign-on 4.8 または 5.0 に適用されます。
ローカルプロファイル
ローカルプロファイルは、ユーザーがログオンしたローカルサーバーに保存されます。Password Manager とシングルサインオンは、ユーザーレジストリの
HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Manager ハイブにレジストリ情報を保存します。
%SystemDrive%\Documents および Settings\%username%\NTUSER.DAT。
ファイルは次の場所にも保存されます。
%SystemDrive%\Documents and Settings\%username%\Application Data\Citrix\MetaFrame Password Manager。
Windows 7 では、シングルサインオンは以下を使用します。
%APPDATA%\Roaming\Citrix\MetaFrame Password Manager
重要: シングルサインオンが以下のファイルに対してフルコントロールアクセス権を持つことが不可欠です。
| ファイル名 | 説明 |
|---|---|
| ユーザー名.mmf | aelist.ini へのポインターを含むユーザーの資格情報ファイル。 |
| entlist.ini | 同期ポイントまたは Active Directory でエンタープライズレベルで作成されたアプリケーション定義ファイル。 |
| aelist.ini | ユーザーのローカルアプリケーション定義ファイル (applist.ini) とエンタープライズアプリケーション定義 (entlist.ini) をマージして作成されたアプリケーション定義ファイル。 |
ローミングプロファイル
ローミングプロファイルはネットワーク共有に保存され、ユーザーがログオンするたびにローカルサーバーのコピーに同期されます。ローミングプロファイルの展開が成功するための特徴には、SAN (System Area Network) や NAS (Network Area Storage) などの高速ネットワーク接続が含まれます。その他の一般的な展開には、プロファイルが高可用性サーバーに保存されるクラスタリングソリューションがあります。
ローミングプロファイルと強制プロファイルの展開には、次の2つの問題が影響します。
-
単一のローミングプロファイルは、1つのファイル同期ポイントでのみ使用できます。複数の同期ポイントが使用される場合、メモリマップトファイル (MMF) 内のデータが破損する可能性があります。
-
複数の同時セッションでローミングプロファイルが使用される場合、バックエンドのMMFを共有します。すべてのアクティブなセッションは、再試行ロックカウンター、最終使用データカウンター、イベントログエントリなど、いくつかの共通セッションデータを共有します。
強制プロファイルまたはハイブリッドプロファイル
強制プロファイルは、定義上、ユーザーの読み取り専用プロファイルです。シングルサインオンでは、Application Data の下のプロファイルフォルダーへの書き込み権限が必要です。強制プロファイルでは、ユーザーが変更を加えることはできますが、ログオフ時にその変更はプロファイルに保存されません。強制プロファイルでシングルサインオンを正しく機能させるには、Application Data フォルダーをリダイレクトする必要があります。
レジストリの変更は、ユーザーがログオンするたびに書き込まれます。資格情報が同期ポイントと同期されますが、変更はプロファイルに保存されません。
Windows 2000以降、MicrosoftはApplication Data フォルダーをリダイレクトするためのメカニズムを提供しています。ただし、Windows NT4ドメインを使用する場合は、Application Data フォルダーの場所を変更できるログオンスクリプトが必要です。これを達成するには、
Kix や VBScript などのツールを使用して、Application Data フォルダーの書き込み可能な場所を定義できます。
次の例では、
Kix を使用して、ユーザーログオン中に Application Data フォルダーをリダイレクトします。
重要: このサンプルスクリプトは情報提供のみを目的としています。最初にテストする前に、ご自身の環境で使用しないでください。
$LogonServer = "%LOGONSERVER%"
$HKCU = "HKEY_CURRENT_USER"
$ShellFolders_Key =
"$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
Folders"
$UserShellFolders_Key =
"$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User
Shell Folders"
$UserProfFolder =
"$LogonServer\profiles\@userID"
$UserAppData =
"$LogonServer\profiles\@userID\Application Data"
$UserDesktop =
"$LogonServer\profiles\@userID\Desktop"
$UserFavorites =
"$LogonServer\profiles\@userID\Favorites"
$UserPersonal = "X:\My Documents"
$UserRecent =
"$LogonServer\profiles\@userID\Recent"
if (exist("$UserAppData") = 0)
shell '%ComSpec% /c md "$UserAppData"'
endif
if (exist("$UserDesktop") = 0)
shell '%ComSpec% /c md "$UserDesktop"'
endif
if (exist("$UserRecent") = 0)
shell '%ComSpec% /c md "$UserRecent"'
endif
if (exist("$UserFavorites") = 0)
shell '%ComSpec% /c md "$UserFavorites"'
endif
ハイブリッドプロファイルは、強制プロファイルの問題に対するもう1つの解決策です。ユーザーがログオンすると、強制プロファイルがロードされ、ユーザーが利用できるアプリケーションに基づいて、カスタムアプリケーションがユーザーレジストリハイブをロードおよびアンロードします。強制プロファイルと同様に、ユーザーはセッション中にレジストリのそれらの部分を変更できます。強制プロファイルとの違いは、ユーザーがログオフするときに変更が保存され、再度ログオンするときに再ロードされることです。
ハイブリッドプロファイルが使用される場合、
HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password レジストリキーはログオンおよびログオフプロセスの一部としてインポートおよびエクスポートされる必要があります。
フォルダーリダイレクト
フォルダーリダイレクトは、グループポリシーオブジェクトとActive Directoryを使用して実装されます。ユーザープロファイルの一部であるフォルダーの場所を定義するためにグループポリシーを使用します。
次の4つのフォルダーをリダイレクトできます。
-
マイドキュメント
-
アプリケーションデータ
-
デスクトップ
-
スタートメニュー
グループポリシーを使用して、基本リダイレクトと高度なリダイレクトの2つのリダイレクトモードを設定できます。どちらもシングルサインオンでサポートされています。Windows 2000では、アプリケーションデータを格納する共有を
%username%変数を使用して参照する必要があります（例: \\servername\sharename\%username%）。
フォルダーリダイレクトはユーザーに対してグローバルであり、そのユーザーのすべてのアプリケーションに影響します。Application Dataフォルダーを使用するすべてのアプリケーションがこれをサポートしている必要があります。
フォルダーリダイレクトの詳細については、以下のMicrosoftの記事を参照してください。
ベストプラクティス
-
可能な場合は、Application Dataフォルダーをリダイレクトします。このアプローチにより、ネットワークパフォーマンスが向上し、ユーザーがログオンするたびにそれらのフォルダー内のデータをコピーする必要がなくなります。
-
Password Manager Agentのトラブルシューティングを行う際は、ログオンしているユーザーが自身のApplication Dataフォルダーに対してフルコントロールのアクセス許可を持っていることを常に確認してください。