ADの統合フェデレーション認証サービスの構成方法および管理方法フェデレーション認証サービスの証明機関の設定フェデレーション認証サービスの秘密キー保護フェデレーション認証サービスのセキュリティとネットワークの構成フェデレーション認証サービスによるWindowsログオンの問題のトラブルシューティングフェデレーション認証サービスのPowerShellコマンドレットPDFを表示このコンテンツは動的に機械翻訳されています。放弃このコンテンツは動的に機械翻訳されています。2022寄稿者:Cこの記事では、Citrixフェデレーション認証サービス(FAS)をFAS管理コンソールでサポートされていない証明機関(CA)サーバーと統合するための詳細設定について説明します。この記事に記載されている説明を実行する前に、PowerShellの基礎知識を確認してください。FASで使用するための複数CAサーバーのセットアップこのセクションでは、複数のCAサーバーを使用して証明書を発行するための単一FASのセットアップ方法について説明します。これにより、CAサーバーの負荷分散とフェールオーバーが可能になります。手順1:FASが検出できるCAサーバーの数の確認Get-FASMsCertificateAuthorityコマンドレットを使用して、FASが接続できるCAサーバーを特定します。次の例は、FASが3つのCAサーバーに接続できることを示しています。Citrix_Regis...手順2:既存の証明書定義の変更ロールの作成には、PowerShellではなくFAS管理コンソールを使用することをお勧めします。これにより、後から手動でSDLを追加する手間が省けます。次の例では、アクセスの規則が構成された「default」という名前の役割が作成されています:証明機関フィールドに複数のCAを追加するには、PowerShellを使用して証明書定義を構成する必要があります。(複数のCAの追加すこのリリースでFAS管理コンソールからサポートされていません。)最初に、証明書定義の名前が必要です。この名前を管理コンソールから特定できない場合は、Get-FASCertificateDefinitionコマンドレットを使用してください。TrueUIと同等のもの証明書定義の名前が特定できたら、証明書定義を変更してCertificateAuthoritiesが1つではなく一覧で含まれるようにします。Get-FASCertificateDefinitionコマンドレットによって以下が返されます。True複数のCAサーバーで構成した後は、FAS管理コンソールを使用してFASを構成できません。ここに示すように、「証明機関」と「証明書テンプレート」フィールドは空になります。注:コンソールを使用してアクセス規則を修正すると、複数のCAでの構成が上書きされます。手順2を繰り返すだけで、すべての証明機関を再構成することができます。PowerShellからアクセス規則のACLを再構成する場合、使用する値が不明な場合は以下の方法をお勧めします。同じCAを使用して別の規則を作成する(例:「テスト」など)。「テスト」規則に必要なACLを構成する。PowerShellを使用して元の規則にACLを適用する(Set-FasRule)。不要になった「テスト」規則を削除する。想定される動作の変更FASサーバーを複数のCAサーバーで構成した後は、ユーザー証明書の生成は構成済みのすべてのCAサーバー間で配信されます。構成済みのCAサーバーのうちいずれかでエラーが発生すると、FASサーバーは別の使用可能なCAサーバーに切り替えます。CAはアクセスにDCOMを使用します。この場合、ファイアウォールの実装が複雑になるため、静的TCPポートに切り替えることができます。ノードを表示し、CertSrvの要求DCOMアプリケーションのプロパティを編集します。[エンドポイント]を変更して静的エンドポイントを選択し、TCPポート番号を指定します(上の図では900です)。CAを再起動して、証明書要求を送信します。–b」を実行する場合は、certsvrがポート900をリスンしていることを確認する必要があります。DCOMにはRPCポートを使用するネゴシエーションステージがあるため、FASサーバー(またはCAを使用するその他のマシン)を構成する必要はありません。Serviceに接続して特定のDCOMサーバーへのアクセスを要求します。これによってポート900が開かれ、DCOMサーバーはFASサーバーに接続方法を指示します。ユーザー証明書の事前生成ユーザー証明書がFASサーバー内で事前生成されると、ユーザーのログオンにかかる時間が大幅に短縮されます。次のセクションでは、単一または複数のFASサーバーでユーザー証明書を事前生成する方法について説明します。対してクエリを実行し、ユーザーの一覧を次の例のようにファイル(.csvファイルなど)に保存することにより、証明書の生成を改善することができます。$filename}<!--NeedCopy-->Get-ADUserは、ユーザーの一覧を要求するための標準コマンドレットです。上述の例にはUserPrincipalNameでステータスが「有効」のユーザーのみを一覧表示するためのフィルター引数が含まれています。SearchBase引数によって、ADのユーザー検索が制限されます。すべてのユーザーをADに含めたい場合、これを省略できます。このクエリによって、多数のユーザーが返される可能性があります。CSVの外観は、次のようになります。以下のPowerShellスクリプトでは、以前生成されたユーザーの一覧を使用してユーザー証明書の一覧が作成されます。}}<!--NeedCopy-->複数のFASサーバーが存在する場合は、特定のユーザーの証明書がメインサーバーで1回、フェールオーバーサーバーで1回の合計2回生成されます。上述の例は「default」という名前の規則の場合です。規則名が異なる場合(「hello」など)は、スクリプトの$rule変数を変更してください。登録機関証明書を更新します複数のFASサーバーを使用中の場合は、ログオン中のユーザーに影響することなくFAS認証証明書を更新できます。GUIを使用してFASの権限を取り消したり再び付与したりすることもできますが、これによってFASの構成オプションがリセットされます。以下の手順を実行します。新しい認証証明書を作成します。$true新しい認証証明書を置換します。<GUID>FASサーバーのメンテナンスモードを解除します。$false古い認証証明書を削除します。Service」を参照してください。一般的なFAS環境については、「フェデレーション認証サービスのアーキテクチャの概要」を参照してください。「フェデレーション認証サービスの構成と管理」ではそのほかの「方法」記事を紹介しています。このコンテンツの正式なバージョンは英語で提供されています。Groupドキュメントのコンテンツの一部は、お客様の利便性のみを目的として機械翻訳されています。Groupは機械翻訳されたコンテンツを管理していないため、誤り、不正確な情報、不適切な用語が含まれる場合があります。Groupとのその他すべての契約に基づき提供される保証、および製品またはサービスのドキュメントとの一致に関する保証は、明示的か黙示的かを問わず、かかるドキュメントの機械翻訳された範囲には適用されないものとします。Groupは責任を負わないものとします。提供する翻訳が含まれている可能性があります。翻訳について、明示的か黙示的かを問わず、精度と信頼性に関するあらゆる保証、および商品性、特定目的への適合性、第三者の権利を侵害しないことに関するあらゆる黙示的保証を含め、一切保証しません。Contributors><このコンテンツは動的に機械翻訳されています。reserved.フィードバックを提供フィードバックをありがとうございます。詳細情報が必要な場合、記載のメールアドレスに連絡させていただきます。フィードバックの送信中にエラーが発生しました。