証明書と認証

最終公開日 : Oct 21, 2026
XenMobile® の操作中、認証にはいくつかのコンポーネントが関与します。
  • XenMobile Server: XenMobile Server は、登録セキュリティと登録エクスペリエンスを定義する場所です。ユーザーをオンボーディングするためのオプションには、次のものがあります。
    • 登録をすべての人に公開するか、招待者のみにするか。
    • 2 要素認証または 3 要素認証を要求するかどうか。XenMobile のクライアントプロパティを通じて、Citrix PIN 認証を有効にし、PIN の複雑さと有効期限を設定できます。
  • Citrix ADC: Citrix ADC は、マイクロ VPN SSL セッションの終端を提供します。Citrix ADC は、ネットワークの転送中のセキュリティも提供し、ユーザーがアプリにアクセスするたびに使用される認証エクスペリエンスを定義できます。
  • Secure Hub: Secure Hub と XenMobile Server は、登録操作で連携します。Secure Hub は、Citrix ADC と通信するデバイス上のエンティティです。セッションの有効期限が切れると、Secure Hub は Citrix ADC から認証チケットを取得し、そのチケットを MDX アプリに渡します。Citrix は、中間者攻撃を防ぐ証明書ピンニングを推奨しています。詳細については、Secure Hub の記事のこのセクションを参照してください: 証明書ピンニング。
    Secure Hub は MDX セキュリティコンテナも促進します。Secure Hub はポリシーをプッシュし、アプリがタイムアウトしたときに Citrix ADC とセッションを作成し、MDX のタイムアウトと認証エクスペリエンスを定義します。Secure Hub は、ジェイルブレイク検出、地理位置情報チェック、および適用するすべてのポリシーも担当します。
  • MDX ポリシー: MDX ポリシーは、デバイス上にデータボールトを作成します。MDX ポリシーは、マイクロ VPN 接続を Citrix ADC に戻し、オフラインモードの制限を適用し、タイムアウトなどのクライアントポリシーを適用します。
認証の構成に関する詳細情報（単一要素認証および二要素認証方法の概要を含む）については、展開ハンドブックの記事「認証」を参照してください。
XenMobile では、証明書を使用して安全な接続を作成し、ユーザーを認証します。この記事の残りの部分では、証明書について説明します。その他の構成の詳細については、次の記事を参照してください。
Related information
シトリックス ゲートウェイ と XenMobile®ドメインまたはドメインとセキュリティトークン認証クライアント証明書または証明書とドメイン認証PKIエンティティ資格情報プロバイダーAPNs証明書Citrix FilesでのシングルサインオンのためのSAMLIDプロバイダーとしてのAzure Active Directory

証明書

XenMobileは、サーバーへの通信フローを保護するために、インストール中に自己署名Secure Sockets Layer（SSL）証明書を生成します。SSL証明書は、信頼できる既知のCAからのSSL証明書に置き換える必要があります。
XenMobileは、独自の公開鍵インフラストラクチャ（PKI）サービスを使用するか、クライアント証明書のためにCAから証明書を取得します。すべてのCitrix製品は、ワイルドカード証明書とサブジェクト代替名（SAN）証明書をサポートしています。ほとんどの展開では、2つのワイルドカード証明書またはSAN証明書のみが必要です。
クライアント証明書認証は、モバイルアプリにセキュリティの追加レイヤーを提供し、ユーザーがHDX™アプリにシームレスにアクセスできるようにします。クライアント証明書認証が構成されている場合、ユーザーはCitrix PINを入力して、XenMobile対応アプリへのシングルサインオン（SSO）アクセスを行います。Citrix PINは、ユーザー認証エクスペリエンスも簡素化します。Citrix PINは、クライアント証明書を保護したり、Active Directory資格情報をデバイスにローカルに保存したりするために使用されます。
XenMobileでiOSデバイスを登録および管理するには、AppleからApple Push Notification Service（APNs）証明書を設定および作成します。手順については、「APNs証明書」を参照してください。
次の表は、各XenMobileコンポーネントの証明書形式と種類を示しています。
XenMobileコンポーネント 証明書形式 必要な証明書の種類
シトリックス ゲートウェイ PEM (BASE64)、PFX (PKCS #12) SSL、ルート (Citrix Gateway は PFX を PEM に自動的に変換します。)
XenMobile サーバー .p12 (Windowsベースのコンピューターでは .pfx) SSL、SAML、APNs (XenMobile はインストールプロセス中に完全な PKI を生成します。) 重要: XenMobile Server は .pem 拡張子の証明書をサポートしていません。 .pem 証明書を使用するには、.pem ファイルを証明書とキーに分割し、それぞれを XenMobile Server にインポートします。
StoreFront™ PFX (PKCS #12) SSL、ルート
XenMobile は、ビット長が 4096、2048、1024 の SSL リスナー証明書とクライアント証明書をサポートしています。1024ビット証明書は簡単に侵害される可能性があります。
Citrix Gateway および XenMobile Server の場合、Citrix は Verisign、DigiCert、Thawte などの公開 CA からサーバー証明書を取得することを推奨しています。Citrix Gateway または XenMobile 構成ユーティリティから証明書署名要求 (CSR) を作成できます。CSR を作成したら、署名のために CA に提出します。CA が署名済み証明書を返したら、その証明書を Citrix Gateway または XenMobile にインストールできます。
重要: iOS、iPadOS、および macOS での信頼された証明書の要件
Apple は TLS サーバー証明書に関する新しい要件を設けています。すべての証明書が新しい Apple の要件に準拠していることを確認してください。Apple の公開情報 <https://support.apple.com/ja-jp/HT210176> を参照してください。
Apple は TLS サーバー証明書の最大有効期間を短縮しています。この変更は、2020年9月以降に発行されたサーバー証明書にのみ影響します。Apple の公開情報 <https://support.apple.com/ja-jp/HT211025> を参照してください。

XenMobile での証明書のアップロード

アップロードする各証明書は、その内容の概要を含め、証明書テーブルにエントリを持ちます。証明書を必要とする PKI 統合コンポーネントを構成する場合、コンテキスト依存の基準を満たすサーバー証明書を選択します。たとえば、XenMobile を Microsoft 証明機関 (CA) と統合するように構成したい場合があります。Microsoft CA への接続は、クライアント証明書を使用して認証する必要があります。
このセクションでは、証明書をアップロードするための一般的な手順について説明します。クライアント証明書の作成、アップロード、および構成の詳細については、「クライアント証明書または証明書とドメイン認証」を参照してください。

秘密鍵の要件

XenMobileは、特定の証明書の秘密鍵を所有している場合と所有していない場合があります。同様に、XenMobileは、アップロードされた証明書に秘密鍵を必要とする場合と必要としない場合があります。

証明書のアップロード

証明書をアップロードするには、次の2つのオプションがあります。
  • 証明書をコンソールに個別にアップロードします。
  • REST APIを使用して、iOSデバイスに証明書を一括アップロードします。
証明書をコンソールにアップロードする場合、主に2つのオプションがあります。
  • クリックしてキーストアをインポートします。次に、PKCS #12形式をアップロードする場合を除き、インストールするキーストアリポジトリ内のエントリを特定します。
  • クリックして証明書をインポートします。
CAが要求の署名に使用するCA証明書（秘密鍵なし）をアップロードできます。また、クライアント認証用のSSLクライアント証明書（秘密鍵あり）をアップロードすることもできます。
Microsoft CAエンティティを構成するときに、CA証明書を指定します。CA証明書であるすべてのサーバー証明書のリストからCA証明書を選択します。同様に、クライアント認証を構成するときに、XenMobileが秘密鍵を所有するすべてのサーバー証明書のリストから選択できます。

キーストアをインポートするには

設計上、セキュリティ証明書のリポジトリであるキーストアには、複数のエントリを含めることができます。したがって、キーストアからロードするときは、ロードするエントリを識別するエントリアリアスを指定するように求められます。エイリアスを指定しない場合、ストアの最初のエントリがロードされます。PKCS #12ファイルには通常1つのエントリしか含まれていないため、キーストアタイプとしてPKCS #12を選択してもエイリアスフィールドは表示されません。
  1. XenMobileコンソールで、コンソールの右上隅にある歯車アイコンをクリックします。設定ページが表示されます。
  2. Certificatesをクリックします。Certificatesページが表示されます。
    証明書構成ページ(/en-us/xenmobile/server/media/settings-certificates-with-status.png)
  3. Importをクリックします。Importダイアログボックスが表示されます。
  4. 次の設定を構成します。
    • インポート: リストで、Keystoreをクリックします。Importダイアログボックスが、利用可能なキーストアオプションを反映するように変更されます。
    証明書構成ページ(/en-us/xenmobile/server/media/settings-certificates-import-keystore.png)
    • キーストアの種類: リストで、PKCS #12をクリックします。
    • 用途: リストで、証明書の使用方法をクリックします。利用可能なオプションは次のとおりです。
      • サーバー。サーバー証明書は、XenMobile Serverによって機能的に使用され、XenMobile Webコンソールにアップロードされる証明書です。これには、CA証明書、RA証明書、およびインフラストラクチャの他のコンポーネントとのクライアント認証用の証明書が含まれます。さらに、サーバー証明書を、デバイスに展開する証明書のストレージとして使用できます。この用途は、特にデバイスで信頼を確立するために使用されるCAに適用されます。
      • SAML。Security Assertion Markup Language (SAML) 認証により、サーバー、Webサイト、およびアプリへのSSOアクセスを提供できます。
      • APNs。AppleからのAPNs証明書は、Apple Push Networkを介したモバイルデバイス管理を可能にします。
      • SSLリスナー。Secure Sockets Layer (SSL) リスナーは、SSL暗号化アクティビティをXenMobileに通知します。
    • キーストアファイル: インポートするキーストアファイル（.p12タイプ、またはWindowsベースのコンピューターでは.pfx）を参照して見つけます。
    • パスワード: 証明書に割り当てられているパスワードを入力します。
    • 説明: オプションで、他のキーストアと区別するために、キーストアの説明を入力します。
  5. 「インポート」をクリックします。キーストアが証明書テーブルに追加されます。

証明書をインポートするには

ファイルまたはキーストアエントリから証明書をインポートすると、XenMobile は入力から証明書チェーンを構築しようとします。XenMobile は、そのチェーン内のすべての証明書をインポートし、それぞれにサーバー証明書エントリを作成します。この操作は、ファイルまたはキーストアエントリ内の証明書がチェーンを形成している場合にのみ機能します。たとえば、チェーン内の後続の各証明書が前の証明書の発行者である場合などです。
インポートされた証明書にオプションの説明を追加できます。説明は、チェーン内の最初の証明書にのみ添付されます。残りの証明書の説明は後で更新できます。
  1. XenMobile コンソールで、コンソールの右上隅にある歯車アイコンをクリックし、次に「証明書」をクリックします。
  2. 「証明書」ページで、「インポート」をクリックします。「インポート」ダイアログボックスが表示されます。
  3. 「インポート」ダイアログボックスの「インポート」で、まだ選択されていない場合は、「証明書」をクリックします。
  4. 「インポート」ダイアログボックスが、利用可能な証明書オプションを反映するように変更されます。「用途」で、キーストアの使用方法を選択します。利用可能なオプションは次のとおりです。
    • 「サーバー」。サーバー証明書は、XenMobile Server が機能的に使用する証明書で、XenMobile Web コンソールにアップロードされます。これには、CA 証明書、RA 証明書、およびインフラストラクチャの他のコンポーネントとのクライアント認証用の証明書が含まれます。さらに、サーバー証明書をデバイスに展開する証明書のストレージとして使用できます。このオプションは、特にデバイスで信頼を確立するために使用される CA に適用されます。
    • 「SAML」。Security Assertion Markup Language (SAML) 認証により、サーバー、Web サイト、およびアプリへのシングルサインオン (SSO) アクセスを提供できます。
    • 「SSL リスナー」。Secure Sockets Layer (SSL) リスナーは、SSL 暗号化アクティビティを XenMobile に通知します。
  5. インポートするキーストアを、ファイルの種類が .p12 (Windows ベースのコンピューターでは .pfx) のものから参照して見つけます。
  6. 証明書用のオプションの秘密鍵ファイルを参照して見つけます。秘密鍵は、証明書とともに暗号化と復号化に使用されます。
  7. 必要に応じて、他の証明書と区別できるように、証明書の説明を入力します。
  8. 「インポート」をクリックします。証明書が証明書テーブルに追加されます。

REST API を使用して iOS デバイスに証明書を一括アップロードする

証明書を1つずつアップロードするのが実用的でない場合は、REST API を使用して iOS デバイスに一括アップロードできます。この方法では、.p12 形式の証明書がサポートされています。REST API の詳細については、「REST API」を参照してください。
  1. 各証明書ファイルを device_identity_value.p12 の形式で名前変更します。device_identity_value は、各デバイスの IMEI、シリアル番号、または MEID にすることができます。
    例として、識別方法としてシリアル番号を使用することを選択したとします。あるデバイスのシリアル番号が A12BC3D4EFGH である場合、そのデバイスにインストールする証明書ファイルの名前を A12BC3D4EFGH.p12 にします。
  2. .p12 証明書のパスワードを保存するテキストファイルを作成します。そのファイルに、各デバイスのデバイス識別子とパスワードを新しい行に入力します。device_identity_value=password の形式を使用します。以下を参照してください。
    A12BC3D4EFGH.p12=password1!
    A12BC3D4EFIJ.p12=password2@
    A12BC3D4EFKL.p12=password3#
  3. 作成したすべての証明書とテキストファイルを .zip ファイルにまとめます。
  4. REST API クライアントを起動し、XenMobile にログインして、認証トークンを取得します。
  5. メッセージ本文に以下を記述して、証明書をインポートします。
    {
        "alias": "",
        "useAs": "device",
        "uploadType": "keystore",
        "keystoreType": "PKCS12",
        "identityType":"SERIAL_NUMBER",        # identity type can be "SERIAL_NUMBER","IMEI","MEID"
        "credentialFileName":"credential.txt"   # The credential file name in .zip
    }    REST API クライアント
  6. 資格情報タイプを Always on IKEv2、デバイス認証方法を Device Certificate Based on Device Identity に設定して VPN ポリシーを作成します。証明書ファイル名で使用した Device identity type を選択します。「VPN デバイスポリシー」を参照してください。
  7. iOS デバイスを登録し、VPN ポリシーが展開されるのを待ちます。デバイスの MDM 構成を確認して、証明書のインストールを確認します。XenMobile コンソールでデバイスの詳細を確認することもできます。
    iOS MDM 管理デバイスの詳細
削除する各証明書について device_identity_value をリストしたテキストファイルを作成することで、証明書を一括削除することもできます。REST API で、削除 API を呼び出し、device_identity_value を適切な識別子に置き換えて、次のリクエストを使用します。
```
{
    "identityType"="device_identity_value"
}
```REST API クライアント

証明書の更新

XenMobileでは、システム内に同時に存在する公開キーあたりの証明書は1つのみです。すでにインポートされている証明書と同じキーペアの証明書をインポートしようとすると、既存のエントリを置き換えるか、エントリを削除することができます。
XenMobileコンソールで証明書を最も効果的に更新するには、次の手順を実行します。コンソールの右上隅にある歯車アイコンをクリックして、 ページを開き、 をクリックします。 ダイアログボックスで、新しい証明書をインポートします。
サーバー証明書を更新すると、以前の証明書を使用していたコンポーネントは自動的に新しい証明書を使用するように切り替わります。同様に、デバイスにサーバー証明書を展開している場合、証明書は次回の展開時に自動的に更新されます。

証明書の更新

XenMobile Serverは、PKI用に内部で次の証明機関を使用します: Root CA、device CA、およびserver CA。これらのCAは論理グループとして分類され、グループ名が提供されます。新しいXenMobile Serverインスタンスがプロビジョニングされると、3つのCAが生成され、「default」というグループ名が付けられます。
サポートされているiOS、macOS、およびAndroidデバイスのCAは、XenMobile Serverコンソールまたは公開REST APIを使用して更新できます。登録済みのWindowsデバイスの場合、ユーザーは新しいdevice CAを受け取るためにデバイスを再登録する必要があります。
XenMobile Server内の内部PKI CAsを更新または再生成し、これらの証明機関によって発行されたデバイス証明書を更新するために、次のAPIが利用可能です。
  • グループ証明機関 (CA) を作成します。
  • 新しいCAをアクティブ化し、古いCAを非アクティブ化します。
  • 設定済みのデバイスリストでデバイス証明書を更新します。すでに登録されているデバイスは中断なく動作し続けます。デバイスがサーバーに再接続すると、デバイス証明書が発行されます。
  • 古いCAをまだ使用しているデバイスのリストを返します。
  • すべてのデバイスが新しいCAを持つようになったら、古いCAを削除します。
詳細については、Public API for REST Services PDFの次のセクションを参照してください。
  • セクション 3.16.58、デバイス証明書の更新
  • セクション 3.23、内部 PKI CA グループ
デバイスの管理コンソールには、デバイスの登録証明書を更新するために使用されるセキュリティアクション証明書の更新が含まれています。
前提条件
  • デフォルトでは、この証明書更新機能は無効になっています。証明書更新機能を有効にするには、サーバープロパティrefresh.internal.caの値をTrueに設定します。
重要:
Citrix ADCがSSLオフロード用に設定されている場合、新しい証明書を生成する際は、ロードバランサーを新しいcacert.permで更新してください。Citrix Gatewayの設定の詳細については、「NetScaler VIPsでSSLオフロードモードを使用するには」を参照してください。
クラスターノードのサーバーCA証明書パスワードをリセットするCLIオプション
XenMobile ServerノードでサーバーCA証明書を生成した後、XenMobile CLIを使用して他のクラスターノードの証明書パスワードをリセットします。CLIメインメニューから、System > Advanced Settings > Reset CA certs passwordを選択します。新しいCA証明書がないときにパスワードをリセットしても、XenMobileはパスワードをリセットしません。
XenMobile CLIの画像

XenMobile証明書管理

XenMobile展開で使用する証明書、特にその有効期限と関連するパスワードを一覧表示することをお勧めします。このセクションは、XenMobileでの証明書管理を容易にするためのものです。
お使いの環境には、以下の証明書の一部またはすべてが含まれている場合があります。
  • ゼンモバイル サーバー
    • MDM FQDN用SSL証明書
    • SAML証明書 (Citrix Files用)
    • 前述の証明書およびその他の内部リソース (StoreFront/プロキシなど) 用のルートおよび中間CA証明書
    • iOSデバイス管理用APN証明書
    • XenMobile Server Secure Hub通知用内部APNs証明書
    • PKIへの接続用PKIユーザー証明書
  • MDX ツールキット
    • Apple開発者証明書
    • Appleプロビジョニングプロファイル (アプリケーションごと)
    • Apple APNs証明書 (Citrix Secure Mail™で使用)
    • Androidキーストアファイル
    MAM SDKはアプリをラップしないため、証明書は不要です。
  • シトリックス エーディーシー
    • MDM FQDN用SSL証明書
    • Gateway FQDN用SSL証明書
    • ShareFile SZC FQDN用SSL証明書
    • Exchange負荷分散用SSL証明書 (オフロード構成)
    • StoreFront ロードバランシング用 SSL 証明書
    • 前述の証明書用のルートおよび中間CA証明書

XenMobile 証明書の有効期限ポリシー

証明書の有効期限が切れると、その証明書は無効になります。環境で安全なトランザクションを実行できなくなり、XenMobileリソースにアクセスできなくなります。
注：
認証局（CA）は、有効期限が切れる前にSSL証明書を更新するよう促します。

Citrix Secure Mail 用 APNs 証明書

Apple Push Notification Service (APNs) 証明書は毎年期限切れになります。証明書の有効期限が切れる前に、APNs SSL 証明書を作成し、Citrix ポータルで更新してください。証明書の有効期限が切れると、ユーザーはSecure Mailのプッシュ通知に一貫性の問題が生じます。また、アプリのプッシュ通知を送信できなくなります。

iOSデバイス管理用 APNs 証明書

XenMobile で iOS デバイスを登録および管理するには、Apple から APNs 証明書を設定および作成します。証明書の有効期限が切れると、ユーザーは XenMobile に登録できなくなり、iOS デバイスを管理できなくなります。詳細については、「APNs 証明書」を参照してください。
Apple Push Certificates Portal にログオンすると、APNs 証明書のステータスと有効期限を表示できます。証明書を作成したのと同じユーザーとしてログオンしてください。
また、有効期限の30日前と10日前にAppleからメール通知が届きます。通知には次の情報が含まれます。
The following Apple Push Notification Service certificate, created for Apple ID CustomerID will expire on Date. Revoking or allowing this certificate to expire will require existing devices to be re-enrolled with a new push certificate.

Please contact your vendor to generate a new request (a signed CSR), then visit https://identity.apple.com/pushcert to renew your Apple Push Notification Service certificate.

Thank You,

Apple Push Notification Service

MDX Toolkit (iOS配布証明書)

物理的なiOSデバイスで実行されるアプリ（Apple App Storeのアプリを除く）には、次の署名要件があります。
  • プロビジョニングプロファイルでアプリに署名します。
  • アプリに、対応する配布証明書を使用して署名します。
有効なiOS配布証明書があることを確認するには、次の手順を実行します。
  1. Apple Enterprise Developerポータルから、MDX Toolkitでラップする予定の各アプリに対して明示的なApp IDを作成します。許容されるApp IDの例は次のとおりです: com.CompanyName.ProductName。
  2. Apple Enterprise Developerポータルから、Provisioning Profiles > Distributionに移動し、社内プロビジョニングプロファイルを作成します。前の手順で作成した各App IDに対して、この手順を繰り返します。
  3. すべてのプロビジョニングプロファイルをダウンロードします。詳細については、「Wrapping iOS Mobile Apps」を参照してください。
すべてのXenMobile Server証明書が有効であることを確認するには、次の手順を実行します。
  1. XenMobileコンソールで、Settings > Certificatesをクリックします。
  2. APNs、SSLリスナー、ルート、および中間証明書を含むすべての証明書が有効であることを確認します。

Androidキーストア

キーストアは、Androidアプリの署名に使用される証明書を含むファイルです。キーの有効期間が期限切れになると、ユーザーはアプリの新しいバージョンにシームレスにアップグレードできなくなります。

シトリックス エーディーシー

Citrix ADCの証明書の有効期限の処理方法の詳細については、Citrixサポート技術情報センターの「How to handle certificate expiry on NetScaler」を参照してください。
期限切れのCitrix ADC証明書は、ユーザーが登録してStoreにアクセスするのを妨げます。期限切れの証明書は、Secure Mailを使用しているときにユーザーがExchange Serverに接続するのも妨げます。さらに、ユーザーはHDXアプリを列挙して開くことができません（どの証明書が期限切れになったかによります）。
Expiry MonitorとCommand Centerは、Citrix ADC証明書を追跡するのに役立ちます。証明書の有効期限が切れると、センターから通知されます。これらのツールは、次のCitrix ADC証明書を監視するのに役立ちます。
  • MDM FQDN用SSL証明書
  • ゲートウェイFQDN用SSL証明書
  • ShareFile SZC FQDN用SSL証明書
  • Exchange負荷分散用SSL証明書 (オフロード構成)
  • StoreFront負荷分散用SSL証明書
  • 前述の証明書用のルートおよび中間CA証明書