ADの統合ドキュメント履歴PDFを表示このコンテンツは動的に機械翻訳されています。放弃このコンテンツは動的に機械翻訳されています。Cloudへの接続(オプション)フェデレーション認証サービスのインストールセキュリティ上の理由により、Citrixではフェデレーション認証サービス(FAS)を専用サーバーにインストールすることをお勧めします。このサーバーは、ドメインコントローラーや証明機関と同様に、セキュリティで保護されている必要があります。ボタンから)を使用、またはスタンドアロンのFASインストーラーファイル(CitrixダウンロードからMSIファイルでダウンロード)を使用。以下のコンポーネントをインストールします:フェデレーション認証サービス詳細なFAS構成用のPowerShellスナップインコマンドレットFAS管理コンソールFASのグループポリシーテンプレート(CitrixFederatedAuthenticationService.admx/adml)証明書テンプレートファイルパフォーマンスカウンターおよびイベントログFASのアップグレードインプレースアップグレードでFASを新しいバージョンにアップグレードできます。アップグレード前に、以下に注意してください:インプレースアップグレードを行った場合、FASサーバーの設定はすべて保持されます。FASをアップグレードする前に、FAS管理コンソールを必ず閉じるようにします。1台以上のFASサーバーを常に利用可能な状態に維持してください。フェデレーション認証サービスに対応したStoreFrontサーバーから到達可能なサーバーがない場合、ユーザーはログオンやアプリケーションの起動を行えなくなります。DesktopsインストーラーまたはスタンドアロンのFASインストーラーファイルを使用してFASをインストールします。Cloudでのみ使用する場合は、この手順は不要です。StoreFrontストアでFASの統合を有効にするには、管理者アカウントで以下のPowerShellコマンドレットを実行します。ストア名が異なる場合は、$StoreVirtualPathを変更します。Cloudでのみ使用する場合は、この手順は不要です。Controllerを構成します。$trueを実行します。Controllerの数にかかわらず、このコマンドはサイトごとに1回のみ実行します。グループポリシーの構成FASのインストール後は、インストールで提供されたグループポリシーテンプレートを使用して、グループポリシー内のサーバーの完全修飾ドメイン名(FQDN)を指定する必要があります。Agent(VDA)に、グループポリシーオブジェクトによって適用されるサーバーの自動番号設定を含む、同じFQDN構成を行う必要があります。説明をシンプルにするために、以下の例ではすべてのマシンに適用されるドメインレベルで単一のポリシーを構成しています。これは必須ではありません。StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンで同じFQDNの一覧が参照されている限り、FASは機能します。手順6を参照してください。Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admxファイル、CitrixBase.admxファイル、およびen-USフォルダーを見つけます。手順2:これらのファイルをドメインコントローラーにコピーして、C:\Windows\PolicyDefinitionsおよびen-USサブフォルダーに配置します。手順3:コマンドラインからMicrosoft管理コンソールを実行します(mmc.exe)。メニューバーから、[ファイル]>[スナップインの追加と削除]の順に選択します。グループポリシー管理エディターを追加します。グループポリシーオブジェクトを入力するための画面が開いたら、[参照]を選択してから[既定のドメインポリシー]を選択します。任意のツールを使用して、環境に応じたポリシーオブジェクトを作成して選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア(VDA、StoreFrontサーバー、管理ツール)を実行しているすべてのマシンに適用する必要があります。Components/Authenticationにあるフェデレーション認証サービスポリシーに移動します。注:フェデレーション認証サービスのポリシー設定は、CitrixBase.admxまたはCitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加する際に、ドメインGPOでのみ使用できます。フォルダーに表示されます。手順5:フェデレーション認証サービスポリシーを開き、[有効]を選択します。ボタンを選択できるようになります。手順6:FASサーバーのFQDNを入力します。重要:複数のFQDNを入力する場合は、VDA、StoreFrontサーバー(存在する場合)とFASサーバー間で一覧の順番が統一されている必要があります。「グループポリシー設定」を参照してください。手順7:[OK]をクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。/forceの実行)が必要な場合があります。Behaviorこのポリシーはセッション内証明書、承認、ロック時の切断をサポートするユーザーのVDAセッションでエージェントプロセスをアクティブ化します。セッション内証明書はこのポリシーが有効かつ証明書の作成に使用されるFASルールでセッション内使用が許可されている場合のみ使用できます。「ルールの構成」を参照してください。Enableによってこのポリシーが有効になりFASエージェントプロセスがユーザーのVDAセッションで実行できます。Disableによってこのポリシーが無効になりFASエージェントプロセスが実行を停止します。Scopeによってアプリケーションでセッション内証明書を使用を許可するかというメッセージをユーザーに表示する方法を制御できます。3つのオプションがあります。required—このオプションはセキュリティメッセージを無効にし、ユーザーが操作する必要なく秘密キーが使用されます。consent—実行中のプログラムごとに個別に承認メッセージが表示されます。クリックすると、このオプションはセッションのすべてのプログラムに適用されます。Timeoutによって承認が表示される期間を秒単位で制御できます。300秒にすると、ユーザーには5分ごとにメッセージが表示されます。この値が0の場合、秘密キーの操作ごとにユーザーにメッセージが表示されます。ロック時の切断このポリシーを有効にすると、ユーザーが画面をロックしたときにセッションが自動的に切断されます。この動作は、「スマートカードの取り出し時に切断」ポリシーに似ています。ログオン資格情報を持っていない場合に使用します。注:ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。注:大半の展開にはFAS管理コンソールが適していますが、PowerShellインターフェイスにはより詳細なオプションもあります。PowerShellコマンドレットについて詳しくは、「PowerShellコマンドレット」を参照してください。FAS管理コンソールはFASの一部としてインストールされます。Service)が配置されます。管理コンソールを初めて使用するときは、次のプロセスを実行するように指示されます。証明書テンプレートを展開します。証明機関をセットアップします。証明機関を使用するためのFASの認証を行います。OS構成ツールを使用して、一部の手順を手動で完了することもできます。FAS管理コンソールは、デフォルトでローカルのFASサービスに接続されます。使用してリモートサービスに接続できます。他のソフトウェアとの相互運用性の問題を避けるため、FASでは、独自の目的で使用する3つのCitrix証明書テンプレートが用意されています。Directoryで登録する必要があります。Directory管理者に渡してください。Directory証明書サービスのセットアップCitrix証明書テンプレートをインストールした後に、これらのテンプレートを1つまたは複数のMicrosoftエンタープライズ証明機関サーバーで公開する必要があります。Directory証明書サービスの展開方法について詳しくは、Microsoft社のドキュメントを参照してください。証明機関を管理する権限があるユーザーは、少なくとも1つのサーバーでテンプレートを公開する必要があります。(証明書テンプレートは、Microsoft証明機関コンソールを使用して公開することもできます。)フェデレーション認証サービスへの権限付与この手順により、FASの認証が開始されます。管理コンソールは、Citrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書の要求生成し、この要求をテンプレートを公開する証明機関のいずれかに送信します。リストに表示されます。FASの構成を続行するには、証明機関の管理者が要求を発行するか拒否する必要があります。選択するまで処理中の「スピナー」アイコンを表示します。選択すると、FAS管理コンソールが認証証明書を表示します。選択すると、コンソールはエラーメッセージを表示します。FAS管理コンソールにより、このプロセスの完了が自動的に検出されます。この処理には数分かかることがあります。ルールの構成FASのルールにより、StoreFrontの指示に従って、VDAログオンおよびセッション中の使用に関する証明書発行の権限が付与されます。各規則は、以下を指定します:証明書要求で信頼されているStoreFrontサーバー。証明書が要求されるユーザーのセット。証明書の使用を許可されたVDAマシンのセット。FASへのアクセス時にStoreFrontは同じ名前のルールを要求するため、Citrixでは「default」という名前のルールを作成することをお勧めします。追加のカスタムルールを作成して、さまざまな証明書テンプレートおよび証明機関を参照し、各種プロパティや権限が含まれるように構成することができます。これらのルールは、さまざまなStoreFrontサーバーやWorkspaceで使用するために構成できます。グループポリシー構成オプションを使用して、カスタムルールを名前で要求できるようにStoreFrontサーバーを構成します。rule])をクリックしてルールを作成するための情報を収集するルール作成ウィザードを開始します。[Rules]タブは各ルールの概要を表示します。このウィザードは次の情報を収集します。テンプレート:ユーザー証明書の発行に使用される証明書テンプレート。これはCitrix_SmartcardLogonテンプレートか、その変更されたコピーである必要があります(「証明書テンプレート」を参照してください)。証明機関:ユーザー証明書を発行し、テンプレートを公開する証明機関。FASでは、フェールオーバーおよび負荷分散のために、複数の証明機関の追加することができます。available」であることを確認してください。「証明機関の管理」を参照してください。オプションにより、証明書をVDAへのログオン後に使用できるかどうかを制御します。useが選択されていない場合(デフォルトで推奨)—証明書はログオンまたは再接続にのみ使用され、認証後、ユーザーは証明書にアクセスできなくなります。useが選択されている場合—認証後、ユーザーは証明書にアクセスできます。通常の場合は、このオプションを選択しないでください。イントラネットWebサイトやファイル共有など、VDAセッション内からアクセスされるリソースには、Kerberosを使用したシングルサインオンでアクセスできるため、セッション内証明書は必要ありません。Behaviorグループポリシーも有効にしてVDAに適用する必要があります。これにより、ログオン後にアプリケーションが使用できるようにユーザーの個人証明書ストアに証明書が配置されます。Explolerは証明書を使用します。アクセス制御:ユーザーのログオンまたは再接続用に証明書を要求する権限が付与された、信頼済みStoreFrontサーバーの一覧。これらのすべてのアクセス許可に対して、個々のADオブジェクトまたはグループを追加できます。設定はセキュリティ上非常に重要であり、慎重に管理する必要があります。Cloudでのみ使用する場合は、アクセス制御を構成する必要はありません。Cloudでルールが使用される場合、StoreFrontのアクセス許可は無視されます。CloudとオンプレミスのStoreFront環境で、同じルールを使用できます。StoreFrontのアクセス許可は、ルールがオンプレミスのStoreFrontで使用される場合には適用されます。Identity」を許可)では、すべてが拒否されます。したがって、StoreFrontサーバーを明示的に許可する必要があります。制限:ユーザーがFASを使用してログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリスト。VDA権限の管理では、FASを使用してユーザーをログオンさせるVDAを指定できます。VDAの一覧のデフォルトはドメインコンピューターになります。ユーザー権限の管理では、FASを使用してVDAにサインインするユーザーを指定できます。ユーザーの一覧のデフォルトはドメインユーザーになります。注:FASサーバーがVDAおよびユーザーのドメインとは異なるドメインにある場合は、デフォルトの制限を変更する必要があります。WorkspaceからIDアサーションを受信したときに、このルールが適用されるかを示します。Cloudで使用するルールを選択します。Cloudに接続した後、ルールを変更することもできます。Workspaceで使用できます。Workspaceの記事を参照してください。