認証

最終公開日 : Oct 21, 2026
XenMobile®展開では、認証を構成する方法を決定する際にいくつかの考慮事項が関係してきます。このセクションでは、以下について説明することで、認証に影響を与えるさまざまな要因を理解するのに役立ちます。
  • 認証に関わる主要なMDXポリシー、XenMobileクライアントプロパティ、およびCitrix Gateway設定。
  • これらのポリシー、クライアントプロパティ、および設定がどのように相互作用するか。
  • 各選択肢のトレードオフ。
この記事には、セキュリティレベルの向上に対応する推奨される構成の3つの例も含まれています。
概して言えば、セキュリティが強化されると、ユーザーはより頻繁に認証する必要があるため、ユーザーエクスペリエンスは最適ではなくなります。これらの懸念事項をどのようにバランスさせるかは、組織のニーズと優先順位に依存します。3つの推奨構成を確認することで、利用可能な認証手段の相互作用と、独自のXenMobile環境を最適に展開する方法について、より深く理解する必要があります。
Related information
XenMobile® の展開

認証モード

オンライン認証: ユーザーをXenMobileネットワークに許可します。インターネット接続が必要です。
オフライン認証: デバイス上で実行されます。ユーザーはセキュアボールトをロック解除し、ダウンロードされたメール、キャッシュされたWebサイト、メモなどの項目にオフラインでアクセスできます。

認証方法

シングルファクター

LDAP: XenMobileで、Lightweight Directory Access Protocol (LDAP) に準拠したActive Directoryなどの1つ以上のディレクトリへの接続を構成できます。これは、企業環境でシングルサインオン (SSO) を提供するためによく使用される方法です。LDAPでのユーザーエクスペリエンスを向上させつつ、登録時の複雑なパスワード、パスワードの有効期限、およびアカウントロックアウトのセキュリティを維持するために、Active Directoryパスワードキャッシュを使用したCitrix PINを選択することもできます。
詳細については、ドメインまたはドメインとSTAを参照してください。
クライアント証明書: XenMobileは業界標準の証明機関と統合して、証明書をオンライン認証の唯一の方法として使用できます。XenMobileは、ユーザー登録後にこの証明書を提供します。これには、ワンタイムパスワード、招待URL、またはLDAP資格情報のいずれかが必要です。クライアント証明書を主要な認証方法として使用する場合、デバイス上の証明書を保護するために、クライアント証明書のみの環境ではCitrix PINが必要です。
XenMobileは、サードパーティの証明機関に対してのみ証明書失効リスト (CRL) をサポートしています。Microsoft CAが構成されている場合、XenMobileはCitrix ADCを使用して失効を管理します。クライアント証明書ベースの認証を構成する際は、Citrix ADCの証明書失効リスト (CRL) 設定である「CRL自動更新を有効にする」を構成する必要があるかどうかを検討してください。この手順により、MAM専用モードのデバイスのユーザーが、デバイス上の既存の証明書を使用して認証できないようにします。XenMobileは新しい証明書を再発行します。これは、証明書が失効した場合でも、ユーザーがユーザー証明書を生成することを制限しないためです。この設定は、CRLが期限切れのPKIエンティティをチェックする際に、PKIエンティティのセキュリティを向上させます。
ユーザーに証明書ベースの認証を使用する予定がある場合、またはデバイス証明書の発行にエンタープライズ証明機関 (CA) を使用する必要がある場合に必要となる展開を示す図については、「オンプレミス展開の参照アーキテクチャ」を参照してください。

二要素認証

LDAP + クライアント証明書: XenMobile環境では、この構成はセキュリティとユーザーエクスペリエンスの最適な組み合わせであり、Citrix ADCでの二要素認証によって提供されるセキュリティと相まって、最高のSSOの可能性を提供します。LDAPとクライアント証明書の両方を使用することで、ユーザーが知っているもの (Active Directoryパスワード) と、ユーザーが持っているもの (デバイス上のクライアント証明書) の両方でセキュリティが提供されます。Secure Mail (およびその他のモバイル生産性向上アプリ) は、適切に構成されたExchangeクライアントアクセスサーバー環境で、クライアント証明書認証によるシームレスな初回ユーザーエクスペリエンスを自動的に構成および提供できます。最適な使いやすさのために、このオプションをCitrix PINとActive Directoryパスワードキャッシュと組み合わせることができます。
LDAP + トークン: この構成では、RADIUSプロトコルを使用して、従来のLDAP資格情報とワンタイムパスワードを組み合わせることができます。最適な使いやすさのために、このオプションをCitrix PINとActive Directoryパスワードキャッシュと組み合わせることができます。

認証に関連する重要なポリシー、設定、およびクライアントプロパティ

以下のポリシー、設定、およびクライアントプロパティは、以下の3つの推奨構成で適用されます。

MDXポリシー

アプリのパスコード: オンの場合、アプリの起動時または一定期間の非アクティブ状態からの再開時に、Citrix PINまたはパスコードでアプリのロックを解除する必要があります。デフォルトはオンです。
すべてのアプリの非アクティブタイマーを構成するには、XenMobileコンソールの設定タブにあるクライアントプロパティで、INACTIVITY_TIMERの値を分単位で設定します。デフォルトは15分です。非アクティブタイマーを無効にして、アプリの起動時にのみPINまたはパスコードのプロンプトが表示されるようにするには、値をゼロに設定します。
注:
暗号化キーポリシーで「オフラインを保護」を選択した場合、このポリシーは自動的に有効になります。
オンラインセッションが必要: オンの場合、ユーザーはエンタープライズネットワークへの接続とアクティブなセッションを持っている必要があります。オフの場合、デバイス上のアプリにアクセスするためにアクティブなセッションは必要ありません。デフォルトはオフです。
最大オフライン期間 (時間): アプリの資格を再確認したり、XenMobileからポリシーを更新したりすることなく、アプリが実行できる最大期間を定義します。最大オフライン期間を設定すると、iOS用Secure Hubが有効なCitrix Gatewayトークンを持っている場合、アプリはユーザーに中断を与えることなく、XenMobileからMDXアプリの新しいポリシーを取得します。Secure Hubが有効なCitrix ADCトークンを持っていない場合、ユーザーはアプリポリシーを更新するためにSecure Hubを介して認証する必要があります。Citrix ADCトークンは、Citrix Gatewayセッションの非アクティブまたは強制セッションタイムアウトポリシーのために無効になる可能性があります。ユーザーがSecure Hubに再度サインオンすると、アプリの実行を継続できます。
期間が終了する30分前、15分前、5分前に、ユーザーにサインオンするよう通知されます。期限切れ後、ユーザーがサインオンするまでアプリはロックされます。デフォルトは**72時間 (3日間)**です。最小期間は1時間です。
注：
ユーザーが頻繁に移動し、国際ローミングを使用できるシナリオでは、デフォルトの72時間（3日間）では短すぎる可能性があることに留意してください。
バックグラウンドサービスチケットの有効期限： バックグラウンドネットワークサービスチケットが有効な期間。Secure MailがCitrix Gatewayを介してActiveSyncを実行しているExchange Serverに接続すると、XenMobileはSecure Mailが内部Exchange Serverに接続するために使用するトークンを発行します。このプロパティ設定は、Secure Mailが認証とExchange Serverへの接続のために新しいトークンを必要とせずにトークンを使用できる期間を決定します。制限時間が経過すると、ユーザーは新しいトークンを生成するために再度ログオンする必要があります。デフォルトは**168時間（7日間）**です。このタイムアウトが期限切れになると、メール通知は停止します。
オンラインセッション必須の猶予期間： オンラインセッション必須ポリシーによってそれ以上使用できなくなるまで（オンラインセッションが検証されるまで）、ユーザーがアプリをオフラインで使用できる分数。デフォルトは0（猶予期間なし）です。
認証ポリシーについては、以下を参照してください。

XenMobileクライアントプロパティ

注：
クライアントプロパティは、XenMobileに接続するすべてのデバイスに適用されるグローバル設定です。
Citrix PIN： シンプルなサインオンエクスペリエンスのために、Citrix PINを有効にすることを選択できます。PINを使用すると、ユーザーはActive Directoryのユーザー名やパスワードなどの他の資格情報を繰り返し入力する必要がありません。Citrix PINは、スタンドアロンのオフライン認証としてのみ構成することも、PINとActive Directoryパスワードキャッシュを組み合わせて、最適な使いやすさのために認証を効率化することもできます。XenMobileコンソールの**［設定］>［クライアント］>［クライアントプロパティ］**でCitrix PINを構成します。
以下は、いくつかの重要なプロパティの概要です。詳細については、「クライアントプロパティ」を参照してください。
ENABLE_PASSCODE_AUTH
**表示名：**Citrix PIN認証を有効にする
このキーを使用すると、Citrix PIN機能を有効にできます。Citrix PINまたはパスコードを使用すると、ユーザーはActive Directoryパスワードの代わりにPINを定義するように求められます。ENABLE_PASSWORD_CACHINGが有効になっている場合、またはXenMobileが証明書認証を使用している場合は、この設定を有効にする必要があります。
指定可能な値: true または false
既定値: false
ENABLE_PASSWORD_CACHING
表示名: ユーザーパスワードのキャッシュを有効にする
このキーを使用すると、ユーザーのActive Directoryパスワードをモバイルデバイスにローカルでキャッシュできます。このキーをtrueに設定すると、ユーザーはCitrix PINまたはパスコードを設定するように求められます。このキーをtrueに設定する場合、ENABLE_PASSCODE_AUTHキーもtrueに設定する必要があります。
指定可能な値: true または false
既定値: false
PASSCODE_STRENGTH
表示名: PINの強度要件
このキーは、Citrix PINまたはパスコードの強度を定義します。この設定を変更すると、ユーザーは次回認証を求められたときに新しいCitrix PINまたはパスコードを設定するように求められます。
指定可能な値: Low、Medium、または Strong
既定値: Medium
INACTIVITY_TIMER
表示名: 非アクティブタイマー
このキーは、ユーザーがデバイスを非アクティブなままにしておき、Citrix PINまたはパスコードの入力を求められることなくアプリにアクセスできる時間を分単位で定義します。MDXアプリでこの設定を有効にするには、App Passcode設定をOnにする必要があります。App Passcode設定がOffになっている場合、ユーザーはSecure Hubにリダイレクトされ、完全な認証を実行します。この設定を変更すると、ユーザーが次回認証を求められたときに値が適用されます。既定値は15分です。
ENABLE_TOUCH_ID_AUTH
表示名: Touch ID認証を有効にする
オフライン認証に指紋リーダー（iOSのみ）の使用を許可します。オンライン認証には、引き続きプライマリ認証方法が必要です。
ENCRYPT_SECRETS_USING_PASSCODE
表示名: パスコードを使用してシークレットを暗号化する
このキーを使用すると、機密データをiOSキーチェーンなどのプラットフォームベースのネイティブストアではなく、秘密の保管庫にモバイルデバイスに保存できます。この構成キーは、主要なアーティファクトの強力な暗号化を可能にするだけでなく、ユーザーエントロピー（ユーザーのみが知っているユーザー生成のランダムなPINコード）も追加します。
設定可能な値: true または false
デフォルト値: false

Citrix ADCの設定

セッションタイムアウト: この設定を有効にすると、Citrix ADCが指定された間隔でネットワークアクティビティを検出しない場合、Citrix Gatewayはセッションを切断します。この設定は、Citrix Gateway Plug-in、Citrix Receiver™、Secure Hub、またはWebブラウザ経由で接続するユーザーに適用されます。デフォルトは1440分です。この値をゼロに設定すると、この設定は無効になります。
強制タイムアウト: この設定を有効にすると、ユーザーが何をしていても、タイムアウト間隔が経過するとCitrix Gatewayはセッションを切断します。タイムアウト間隔が経過すると、ユーザーが切断を防ぐためにできるアクションはありません。この設定は、Citrix Gateway Plug-in、Citrix Receiver、Secure Hub、またはWebブラウザ経由で接続するユーザーに適用されます。Secure Mailが特別なCitrix ADCモードであるSTAを使用している場合、強制タイムアウト設定はSecure Mailセッションには適用されません。デフォルトは1440分です。この値を空白のままにすると、この設定は無効になります。
Citrix Gatewayのタイムアウト設定の詳細については、Citrix ADCのドキュメントを参照してください。
ユーザーがデバイスに資格情報を入力してXenMobileで認証するよう促されるシナリオの詳細については、「認証プロンプトのシナリオ」を参照してください。

デフォルトの構成設定

これらの設定は、以下によって提供されるデフォルトです。
  • NetScaler® for XenMobile ウィザード
  • MAM SDK または MDX Toolkit
  • XenMobile コンソール
設定 設定の場所 既定の設定
セッションタイムアウト シトリックス ゲートウェイ 1440 分
強制タイムアウト シトリックス ゲートウェイ 1440 分
最大オフライン期間 MDX ポリシー 72 時間
バックグラウンドサービスチケットの有効期限 MDXポリシー 168時間 (7日間)
オンラインセッションが必要 MDXポリシー オフ
オンラインセッションが必要な猶予期間 MDXポリシー 0
アプリのパスコード MDXポリシー オン
パスコードを使用してシークレットを暗号化 XenMobileクライアントプロパティ フォールス
Citrix PIN認証を有効にする XenMobileクライアントプロパティ 偽
PINの強度要件 XenMobileクライアントプロパティ 中
PINの種類 XenMobileクライアントプロパティ 数字
ユーザーパスワードのキャッシュを有効にする XenMobileクライアントプロパティ 偽
非アクティブタイマー XenMobileクライアントプロパティ 15
Touch ID認証を有効にする XenMobileクライアントプロパティ 偽

推奨される構成

このセクションでは、最低限のセキュリティと最適なユーザーエクスペリエンスから、最高のセキュリティとより介入的なユーザーエクスペリエンスまで、3つのXenMobile構成の例を挙げます。これらの例は、ご自身の構成をどのレベルに設定するかを決定するための役立つ参考情報となるはずです。これらの設定を変更すると、他の設定も変更する必要がある場合があります。たとえば、最大オフライン期間は常にセッションタイムアウトよりも短くする必要があります。

最高のセキュリティ

この構成は最高のセキュリティレベルを提供しますが、使いやすさにおいて大きなトレードオフを伴います。
設定 設定の場所 推奨設定 動作への影響
セッションタイムアウト シトリックス ゲートウェイ 1440 ユーザーは、オンライン認証が必要な場合（24時間ごと）にのみSecure Hubの資格情報を入力します。
強制タイムアウト シトリックス ゲートウェイ 1440 24時間ごとにオンライン認証が厳密に要求されます。アクティビティによってセッションの有効期間が延長されることはありません。
最大オフライン期間 MDXポリシー 23 毎日ポリシーの更新が必要です。
バックグラウンドサービスチケットの有効期限 MDXポリシー 72時間 Citrix Gatewayセッショントークンなしで長期間のセッションを可能にするSTAのタイムアウト。Secure Mailの場合、STAタイムアウトをセッションタイムアウトよりも長く設定することで、セッションの有効期限が切れる前にユーザーがアプリを開かなかった場合に、ユーザーにプロンプトを表示せずにメール通知が停止するのを防ぎます。
オンラインセッションが必要 MDXポリシー オフ アプリを使用するための有効なネットワーク接続とCitrix Gatewayセッションを確保します。
オンラインセッション必須の猶予期間 MDXポリシー 0 猶予期間なし（オンラインセッション必須を有効にした場合）。
アプリのパスコード MDXポリシー オン アプリケーションにパスコードを要求します。
パスコードを使用してシークレットを暗号化する XenMobileクライアントプロパティ はい ユーザーエントロピーから派生したキーがボールトを保護します。
Citrix PIN認証を有効にする XenMobileクライアントプロパティ はい Citrix PINを有効にして、認証エクスペリエンスを簡素化します。
PINの強度要件 XenMobileクライアントプロパティ 強 高いパスワードの複雑さの要件。
PINタイプ XenMobileクライアントプロパティ 英数字 PINは英数字のシーケンスです。
パスワードキャッシュを有効にする XenMobileクライアントプロパティ いいえ Active Directoryパスワードはキャッシュされず、Citrix PINがオフライン認証に使用されます。
非アクティブタイマー XenMobile クライアントプロパティ 15 ユーザーがこの期間中にMDXアプリまたはSecure Hubを使用しない場合、オフライン認証を要求します。
Touch ID認証を有効にする XenMobile クライアントプロパティ いいえ iOSでのオフライン認証のユースケースに対してTouch IDを無効にします。

より高いセキュリティ

より中道的なアプローチとして、この構成では、ユーザーは（7日ごとではなく）最大3日ごとに認証を行う必要があり、より強力なセキュリティが求められます。認証回数が増えることで、コンテナがより頻繁にロックされ、デバイスが使用されていないときのデータセキュリティが確保されます。
設定 設定の場所 推奨設定 動作への影響
セッションタイムアウト シトリックス ゲートウェイ 4320 ユーザーは、オンライン認証が必要な場合（3日ごと）にのみSecure Hubの資格情報を入力します。
強制タイムアウト シトリックス ゲートウェイ 値なし アクティビティがある場合、セッションは延長されます。
最大オフライン期間 MDXポリシー 71 3日ごとにポリシーの更新が必要です。時間の差は、セッションタイムアウト前に更新を許可するためです。
バックグラウンドサービスチケットの有効期限 MDXポリシー 168時間 STAのタイムアウト。これにより、Citrix Gatewayセッショントークンなしで長期間のセッションが可能になります。Secure Mailの場合、STAのタイムアウトをセッションタイムアウトよりも長くすることで、セッションの有効期限が切れる前にユーザーがアプリを開かなかったとしても、ユーザーにプロンプトを表示せずにメール通知が停止するのを防ぎます。
オンラインセッションが必要 MDXポリシー オフ アプリを使用するために、有効なネットワーク接続とCitrix Gatewayセッションを確保します。
オンラインセッション必須の猶予期間 MDXポリシー 0 猶予期間なし (オンラインセッション必須を有効にした場合)。
アプリのパスコード MDXポリシー オン アプリケーションにパスコードを要求します。
パスコードを使用してシークレットを暗号化する XenMobileクライアントプロパティ フォールス ボールトを暗号化するためにユーザーエントロピーを要求しません。
Citrix PIN認証を有効にする XenMobileクライアントプロパティ 真 認証エクスペリエンスを簡素化するためにCitrix PINを有効にします。
PINの強度要件 XenMobileクライアントプロパティ 中 中程度のパスワード複雑性ルールを適用します。
PINの種類 XenMobileクライアントプロパティ 数字 PINは数字のシーケンスです。
パスワードキャッシュを有効にする XenMobileクライアントプロパティ 真 ユーザーPINはActive Directoryパスワードをキャッシュし、保護します。
非アクティブタイマー XenMobileクライアントプロパティ 30 ユーザーがこの期間中にMDXアプリまたはSecure Hubを使用しない場合、オフライン認証を要求します。
Touch ID認証を有効にする XenMobileクライアントプロパティ 真 iOSでのオフライン認証ユースケースに対してTouch IDを有効にします。

高セキュリティ

この構成は、ユーザーにとって最も便利であり、ベースレベルのセキュリティを提供します。
設定 設定の場所 推奨設定 動作への影響
セッションタイムアウト シトリックス ゲートウェイ 10080 ユーザーは、オンライン認証が必要な場合（7日ごと）にのみSecure Hubの資格情報を入力します。
強制タイムアウト シトリックス ゲートウェイ 値なし アクティビティがある場合、セッションは延長されます。
最大オフライン期間 MDXポリシー 167 毎週（7日ごと）ポリシーの更新が必要です。時間の差は、セッションタイムアウトより前に更新を許可するためです。
バックグラウンドサービスチケットの有効期限 MDXポリシー 240 STAのタイムアウト。これにより、Citrix Gatewayセッショントークンなしで長期間のセッションが可能になります。Secure Mailの場合、STAのタイムアウトをセッションのタイムアウトよりも長く設定することで、セッションの有効期限が切れる前にユーザーがアプリを開かなかった場合に、ユーザーにプロンプトを表示することなくメール通知が停止するのを防ぎます。
オンラインセッションが必要 MDXポリシー オフ アプリを使用するための有効なネットワーク接続とCitrix Gatewayセッションを保証します。
オンラインセッションが必要な猶予期間 MDXポリシー 0 猶予期間なし（オンラインセッションが必要を有効にした場合）。
アプリのパスコード MDXポリシー オン アプリケーションにパスコードを要求します。
パスコードを使用してシークレットを暗号化 XenMobileクライアントプロパティ いいえ ボールトを暗号化するためにユーザーエントロピーを要求しない。
Citrix PIN認証を有効にする XenMobileクライアントプロパティ はい 簡素化された認証エクスペリエンスのためにCitrix PINを有効にする。
PINの強度要件 XenMobileクライアントプロパティ 低 パスワードの複雑さの要件なし
PINタイプ XenMobileクライアントプロパティ 数値 PINは数値シーケンスです。
パスワードキャッシュを有効にする XenMobileクライアントプロパティ はい ユーザーPINはActive Directoryパスワードをキャッシュし、保護します。
非アクティブタイマー XenMobileクライアントプロパティ 90 ユーザーがこの期間中にMDXアプリまたはSecure Hubを使用しない場合、オフライン認証を要求します。
Touch ID認証を有効にする XenMobileクライアントプロパティ はい iOSでのオフライン認証ユースケースに対してTouch IDを有効にします。

ステップアップ認証の使用

一部のアプリでは、強化された認証（たとえば、トークンや積極的なセッションタイムアウトなどの二次認証要素）が必要になる場合があります。この認証方法はMDXポリシーを通じて制御します。この方法では、認証方法を制御するための個別の仮想サーバー（同じCitrix ADCアプライアンス上または別のアプライアンス上）も必要です。
設定 設定の場所 推奨設定 動作への影響
代替シトリックスゲートウェイ MDXポリシー セカンダリCitrix ADCアプライアンスのFQDNとポートが必要です。 セカンダリCitrix ADCアプライアンスの認証ポリシーとセッションポリシーによって制御される、強化された認証を可能にします。
ユーザーが代替Citrix Gatewayインスタンスにログオンするアプリを開くと、他のすべてのアプリはそのCitrix Gatewayインスタンスを使用して内部ネットワークと通信します。セッションは、強化されたセキュリティを持つCitrix Gatewayインスタンスからのセッションがタイムアウトした場合にのみ、セキュリティレベルの低いCitrix Gatewayインスタンスに切り替わります。

オンラインセッション必須の使用

Secure Webなどの特定のアプリケーションでは、ユーザーが認証済みセッションを持ち、デバイスがネットワークに接続されている場合にのみアプリを実行するようにしたい場合があります。このポリシーはそのオプションを強制し、ユーザーが作業を完了できるように猶予期間を設けます。
設定 設定の場所 推奨設定 動作への影響
オンラインセッション必須 MDXポリシー オン デバイスがオンラインであり、有効な認証トークンを持っていることを確認します。
オンラインセッション必須の猶予期間 MDXポリシー 15 ユーザーがアプリを使用できなくなる前に、15分間の猶予期間を許可します。