クライアント証明書または証明書とドメイン認証

1. Microsoft Management Consoleに証明書スナップインを追加します。
2. 証明機関 (CA) にテンプレートを追加します。
3. CAサーバーからPFX証明書を作成します。

1. 証明書をXenMobileにアップロードします。
2. 証明書ベースの認証用のPKIエンティティを作成します。
3. 資格情報プロバイダーを構成します。
4. 認証用のユーザー証明書を配信するようにCitrix Gatewayを構成します。

• クライアント認証
• SSLプロファイルインフラストラクチャ
• クライアント証明書認証ポリシーの構成とバインド

前提条件

• Microsoft Certificate Servicesエンティティテンプレートを作成する際は、特殊文字を除外して、登録済みデバイスでの認証に関する潜在的な問題を回避してください。たとえば、テンプレート名に次の文字を使用しないでください: : ! $ () # % + * ~ ? | {} []
• Exchange ActiveSyncの証明書ベースの認証を構成するには、このMicrosoftブログを参照してください。クライアント証明書を要求するように、Exchange ActiveSync用の証明機関（CA）サーバーサイトを構成します。
• ActiveSyncトラフィックをExchange Serverに保護するためにプライベートサーバー証明書を使用する場合は、モバイルデバイスに必要なすべてのルート/中間証明書があることを確認してください。そうしないと、Secure Mailでのメールボックス設定中に証明書ベースの認証が失敗します。Exchange IISコンソールでは、次の操作を行う必要があります。
  • ExchangeでXenMobileを使用するためのWebサイトを追加し、Webサーバー証明書をバインドします。
  • ポート9443を使用します。
  • そのWebサイトには、「Microsoft-Server-ActiveSync」用と「EWS」用の2つのアプリケーションを追加する必要があります。これらの両方のアプリケーションで、SSL設定の下にあるSSLを要求を選択します。

Microsoft管理コンソールに証明書スナップインを追加する

1. コンソールを開き、スナップインの追加と削除をクリックします。
2. 次のスナップインを追加します。
   • 証明書テンプレート
   • 証明書 (ローカル コンピューター)
   • 証明書 - 現在のユーザー
   • 証明機関 (ローカル)
   
3. 証明書テンプレートを展開します。
   
4. ユーザーテンプレートを選択し、テンプレートの複製を選択します。
   
5. テンプレートの表示名を指定します。
   重要:
   Active Directory で証明書を発行するオプションを選択することはお勧めしません。このオプションを選択すると、Active Directory 内のすべてのユーザーに対してクライアント証明書が作成され、Active Directory データベースが煩雑になる可能性があります。

6. テンプレートの種類としてWindows 2003 Serverを選択します。Windows 2012 R2 サーバーでは、互換性の下で証明機関を選択し、受信者をWindows 2003に設定します。
7. セキュリティで、以下を構成します:
   1. 追加をクリックし、次に XenMobile Server が証明書の生成に使用する AD ユーザーアカウントを選択します。
      重要:
      ここではサービスアカウントユーザーのみを追加します。登録権限はこの AD ユーザーアカウントにのみ追加します。
      この記事で後述するように、サービスアカウントを使用してユーザー .pfx 証明書を作成します。詳細については、「CA サーバーから PFX 証明書を作成する」を参照してください。
      
   2. ドメインユーザーから登録権限を取り消します。
      
8. 暗号化で、キーサイズを指定していることを確認します。このキーサイズは、後で XenMobile を構成するときに入力します。
   
9. サブジェクト名で、要求で指定を選択します。変更を適用して保存します。
   

証明機関へのテンプレートの追加

1. 証明機関に移動し、証明書テンプレートを選択します。
2. 右ペインで右クリックし、次に新規 > 発行する証明書テンプレートを選択します。
   
3. 前のステップで作成したテンプレートを選択し、OKをクリックして証明機関に追加します。
   

CAサーバーからPFX証明書を作成する

1. ログインしたサービスアカウントを使用して、ユーザーの.pfx証明書を作成します。.pfxはXenMobileにアップロードされ、その後、デバイスを登録するユーザーに代わってユーザー証明書を要求します。
2. 現在のユーザーの下で、証明書を展開します。
3. 右ペインで右クリックし、新しい証明書を要求をクリックします。
   
4. 証明書の登録画面が表示されます。次へをクリックします。
   
5. Active Directory登録ポリシーを選択し、次へをクリックします。
   
6. ユーザーテンプレートを選択し、登録をクリックします。
   
7. 前のステップで作成した.pfxファイルをエクスポートします。
   
8. 「はい、秘密キーをエクスポートします」をクリックします。
   
9. 「可能であれば、証明のパスにあるすべての証明書を含める」を選択し、「すべての拡張プロパティをエクスポートする」チェックボックスをオンにします。
   
10. この証明書をXenMobileにアップロードするときに使用するパスワードを設定します。
    
11. 証明書をハードドライブに保存します。

XenMobileへの証明書のアップロード

1. XenMobileコンソールで、右上隅にある歯車アイコンをクリックします。「設定」画面が表示されます。
2. 「証明書」をクリックし、次に「インポート」をクリックします。
3. 次のパラメーターを入力します。
   • インポート: キーストア
   • キーストアの種類: PKCS #12
   • 用途: サーバー
   • 「キーストアファイル」：「参照」をクリックして、作成した.pfx証明書を選択します。
   • 「パスワード」：この証明書用に作成したパスワードを入力します。
   証明書構成画面のスクリーンショット(/en-us/xenmobile/server/media/import-certificate.png)
4. 「インポート」をクリックします。
5. 証明書が正しくインストールされていることを確認します。正しくインストールされた証明書は、ユーザー証明書として表示されます。

証明書ベースの認証用のPKIエンティティの作成

1. 「設定」で、「その他 > 証明書管理 > PKIエンティティ」の順に進みます。
2. 「追加」をクリックし、その後「Microsoft Certificate Servicesエンティティ」をクリックします。「Microsoft Certificate Servicesエンティティ：一般情報」画面が表示されます。
3. 次のパラメーターを入力します。
   • 「名前」：任意の名前を入力します
   • 「Web登録サービスルートURL」：https://RootCA-URL/certsrv/ (URLパスの最後のスラッシュ「/」を必ず追加してください。)
   • 「certnew.cerページ名」：certnew.cer (デフォルト値)
   • 「certfnsh.asp」：certfnsh.asp (デフォルト値)
   • 「認証の種類」：クライアント証明書
   • 「SSLクライアント証明書」：XenMobileクライアント証明書の発行に使用するユーザー証明書を選択します。
   
4. 「テンプレート」で、Microsoft 証明書を構成したときに作成したテンプレートを追加します。スペースを追加しないでください。
   
5. HTTP パラメーターをスキップし、CA 証明書をクリックします。
6. 環境に対応するルート CA 名を選択します。このルート CA は、XenMobile クライアント証明書からインポートされたチェーンの一部です。
   
7. 保存をクリックします。

資格情報プロバイダーの構成

1. 「設定」で、その他 > 証明書管理 > 資格情報プロバイダーの順に移動します。
2. 追加をクリックします。
3. 「一般」で、次のパラメーターを入力します。
   • 名前: 任意の名前を入力します。
   • 説明: 任意の説明を入力します。
   • 発行エンティティ: 以前に作成した PKI エンティティを選択します。
   • 発行方法: SIGN
   • テンプレート: PKIエンティティの下に追加されたテンプレートを選択します。
   
4. 証明書署名要求をクリックし、次のパラメーターを入力します。
   • キーアルゴリズム: RSA
   • キーサイズ: 2048
   • 署名アルゴリズム: SHA256withRSA
   • サブジェクト名: cn=$user.username
   サブジェクトの別名については、追加をクリックし、次のパラメーターを入力します。
   • 種類: ユーザープリンシパル名
   • 値: $user.userprincipalname
   
5. 配布をクリックし、次のパラメーターを入力します。
   • 発行CA証明書: XenMobileクライアント証明書に署名した発行CAを選択します。
   • 配布モードの選択: 集中型を優先: サーバー側でのキー生成を選択します。
   
6. 次の2つのセクション、Revocation XenMobile と Revocation PKI については、必要に応じてパラメータを設定します。この例では、両方のオプションをスキップします。
7. 更新をクリックします。
8. 証明書の有効期限が切れたときに更新するについては、ONを選択します。
9. その他の設定はすべてデフォルトのままにするか、必要に応じて変更します。
   資格情報プロバイダーの構成画面(/en-us/xenmobile/server/media/configure-credential-providers-4.png)
10. 保存をクリックします。

証明書ベースの認証を使用するようにSecure Mailを構成する

XenMobileでのCitrix ADC証明書配信の構成

1. XenMobileコンソールにログオンし、右上隅の歯車アイコンをクリックします。設定画面が表示されます。
2. サーバーの下で、Citrix Gatewayをクリックします。
3. Citrix Gatewayがまだ追加されていない場合は、追加をクリックし、設定を指定します。
   • 外部URL: https://YourCitrixGatewayURL
   • ログオンの種類: 証明書とドメイン
   • パスワードが必要: オフ
   • デフォルトとして設定: オン
4. 認証用のユーザー証明書を配信には、オンを選択します。
   
5. 資格情報プロバイダーには、プロバイダーを選択し、保存をクリックします。
6. ユーザー証明書のsAMAccount属性をユーザープリンシパル名 (UPN) の代替として使用するには、XenMobileでLDAPコネクタを次のように構成します。設定 > LDAPに移動し、ディレクトリを選択して編集をクリックし、ユーザー検索条件でsAMAccountNameを選択します。
   

クライアント証明書構成のトラブルシューティング

1. ユーザーはモバイルデバイスを登録します。
2. XenMobileは、Citrix PINの作成をユーザーに促します。
3. その後、ユーザーはXenMobile Storeにリダイレクトされます。
4. ユーザーがSecure Mailを起動しても、XenMobileはメールボックス構成のユーザー資格情報を要求しません。代わりに、Secure MailはSecure Hubからクライアント証明書を要求し、認証のためにMicrosoft Exchange Serverに送信します。ユーザーがSecure Mailを起動したときにXenMobileが資格情報を要求する場合は、構成を確認してください。

1. Microsoft Exchange Server ActiveSync がプライベート SSL サーバー証明書を使用してトラフィックを保護している場合、ルート/中間証明書がモバイルデバイスにインストールされていることを確認してください。
2. ActiveSyncに選択されている認証タイプがクライアント証明書を要求するであることを確認します。
   Microsoft ActiveSyncのプロパティ画面(/en-us/xenmobile/server/media/activesync-require-client-certs.png)
3. Microsoft Exchange Serverで、Microsoft-Server-ActiveSyncサイトを確認し、クライアント証明書マッピング認証が有効になっていることを確認します。デフォルトでは、クライアント証明書マッピング認証は無効になっています。このオプションは、構成エディター > セキュリティ > 認証の下にあります。
   Microsoft ActiveSyncの構成画面(/en-us/xenmobile/server/media/activesync-enable-cert-mapping.png)
   Trueを選択した後、変更を適用するために適用をクリックしてください。
4. XenMobileコンソールでCitrix Gatewayの設定を確認します。認証用のユーザー証明書を配信がオンになっており、資格情報プロバイダーに正しいプロファイルが選択されていることを確認します。