製品ドキュメント
Citrix Endpoint Management
PDFを表示

証明書と認証

March 15, 2024
寄稿者: 
C

Citrix Endpoint Managementの動作では、複数のコンポーネントが認証に関与します：

  • Citrix Endpoint Management： Citrix Endpoint Managementサーバーでは、登録に関するセキュリティと登録の動作を定義します。導入するユーザーの選択肢には次が含まれます：
    • 登録を全員にオープンにするか、または招待のみにするか。
    • 2要素認証または3要素認証を必須にするかどうか。Citrix Endpoint Managementのクライアントプロパティを介して、Citrix PIN認証を有効化して、PINの複雑度や有効期限を構成できます。
  • NetScaler Gateway： NetScaler GatewayはマイクロVPN SSLセッションを終了させます。NetScaler Gatewayはネットワーク転送中セキュリティも提供し、ユーザーがアプリにアクセスするたびに使用される認証エクスペリエンスを定義できるようにします。

  • Citrix Secure Hub： Citrix Secure HubとCitrix Endpoint Managementは、登録操作で連携します。Citrix Secure HubはNetScaler Gatewayと通信するデバイス上のエンティティです。セッションが期限切れになると、Citrix Secure HubはNetScaler Gatewayから認証チケットを取得して、MDXアプリにチケットを渡します。Citrixでは中間者攻撃を防げる証明書ピン留めの使用をお勧めします。詳しくは、「Citrix Secure Hub」にある次のセクションを参照してください：「証明書ピンニング」。

    Citrix Secure HubではMDXセキュリティコンテナも容易になります。Citrix Secure Hubは、ポリシーをプッシュし、アプリがタイムアウトするとNetScaler Gatewayでセッションを作成し、MDXタイムアウトおよび認証エクスペリエンスを定義します。Citrix Secure Hubは、ジェイルブレイク検出、地理位置情報チェック、および適用するすべてのポリシーを担当します。

  • MDXポリシー： MDXポリシーは、デバイス上にデータ格納場所を作成します。MDXポリシーは、マイクロVPN接続にNetScaler Gatewayを参照させ、オフラインモード制限を強制し、タイムアウトなどのクライアントポリシーを強制します。

Citrix Endpoint Managementは、次の認証方法を使用して、リソースに対してユーザーを認証します：

  • モバイルデバイス管理（MDM）
    • クラウドでホストされるIDプロバイダー（IdP）
    • ライトウェイトディレクトリアクセスプロトコル（LDAP）
      • 招待URLおよびPIN
      • 2要素認証
  • モバイルアプリケーション管理（MAM）
    • LDAP
    • 証明書
    • セキュリティトークン MAM認証にはNetScaler Gatewayが必要です。

そのほかの構成について詳しくは、以下の記事を参照してください。

証明書

Citrix Endpoint Managementでは、サーバーへの通信フローを保護するため、インストール中に自己署名SSL（Secure Sockets Layer）証明書が生成されます。このSSL証明書を、既知のCA（Certificate Authority：証明機関）からの信頼されるSSL証明書に置き換えます。

Citrix Endpoint Managementはまた、独自のPKI（Public Key Infrastructure：公開キー基盤）サービスを使用するか、CAからクライアント証明書を取得します。すべてのCitrix製品でワイルドカード証明書とSAN（Subject Alternative Name：サブジェクトの別名）証明書がサポートされます。ほとんどの展開では、2つのワイルドカード認証またはSAN認証のみが必要です。

クライアント証明書認証を使用するとモバイルアプリのセキュリティが強化され、ユーザーはシームレスにHDXアプリにアクセスできます。クライアント証明書認証が構成されている場合、ユーザーはCitrix Endpoint Management準拠アプリへのシングルサインオン（SSO）アクセスにはCitrix PINを入力します。またCitrix PINにより、ユーザー認証工程が簡素化されます。Citrix PINは、クライアント証明書をセキュリティで保護するため、またはActive Directory資格情報をデバイス上にローカルに保存するために使用されます。

Citrix Endpoint ManagementでiOSデバイスを登録して管理するには、AppleのAppleプッシュ通知サービス（APNs）証明書を設定および作成します。手順については、「APNs証明書」を参照してください。

次の表は、各Citrix Endpoint Managementコンポーネントの証明書の形式と種類を示しています：

Citrix Endpoint Managementコンポーネント 証明書の形式 必要な証明書の種類
NetScaler Gateway PEM（BASE64）、PFX（PKCS＃12） SSL、ルート（NetScaler Gatewayによって自動的にPFXがPEMに変換されます）。
Citrix Endpoint Management .p12（Windowsベースのコンピューターの.pfx） SSL、SAML、APN（Citrix Endpoint Managementはインストール処理中に完全なPKIも生成します）重要： Citrix Endpoint Managementでは、拡張子「.pem」の証明書はサポートされません。.pem証明書を使用するには、.pemファイルを証明書とキーに分割し、それぞれをCitrix Endpoint Managementにインポートします。
StoreFront PFX（PKCS#12） SSL、ルート

Citrix Endpoint Managementはクライアント証明書をサポートします。ビット長は4096および2048です。

NetScaler GatewayおよびCitrix Endpoint Managementの場合は、Verisign、DigiCert、Thawteなどの商用CAからサーバー証明書を取得することをお勧めします。NetScaler GatewayまたはCitrix Endpoint Management構成ユーティリティから証明書署名要求（Certificate Signing Request：CSR）を作成できます。CSRの作成後、CAへ署名のために送信します。CAから署名入り証明書を受け取ったら、NetScaler GatewayまたはCitrix Endpoint Managementに証明書をインストールできます。

重要：

iOS、iPadOS、およびmacOSでの信頼された証明書の要件

Appleは、TLSサーバー証明書の新しい要件を設定しています。すべての証明書がAppleの要件に準拠していることを確認します。アップルの出版物である「https://support.apple.com/en-us/HT210176」を参照してください。

AppleはTLSサーバー証明書の最大許容有効期間を短縮しています。この変更は、2020年9月以降に発行されたサーバー証明書にのみ影響します。アップルの出版物である「https://support.apple.com/en-us/HT211025」を参照してください。

LDAP認証

Citrix Endpoint Managementは、LDAP（Lightweight Directory Access Protocol）に準拠している1つまたは複数のディレクトリに対するドメインベースの認証をサポートしています。LDAPは、グループ、ユーザーアカウント、および関連するプロパティに関する情報へのアクセスを提供するソフトウェアプロトコルです。詳しくは、「ドメインまたはドメイン+セキュリティトークン認証」を参照してください。

IDプロバイダー認証

Citrix Cloudを介してIDプロバイダー（IdP）を構成し、ユーザーデバイスを登録および管理できます。

IdPでサポートされるユースケース：

  • Citrix Cloudを介したAzure Active Directory
    • Workspace統合はオプションです
    • 証明書ベースの認証で構成されたNetScaler Gateway
    • Android Enterprise（プレビュー。BYOD（Bring Your Own Device）、完全管理対象デバイス、拡張された登録プロファイルをサポートします）
    • MDM+MAM登録およびMDM登録用のiOS
    • Apple Business Manager登録用のiOSおよびmacOS
    • 従来のAndroid（DA）

    Apple School Managerなどの自動登録機能は、現在サポートされていません。

  • Citrix Cloudを介したOkta
    • Workspace統合はオプションです
    • 証明書ベースの認証で構成されたNetScaler Gateway
    • Android Enterprise（プレビュー。BYOD（Bring Your Own Device）、完全管理対象デバイス、拡張された登録プロファイルをサポートします）
    • MDM+MAM登録およびMDM登録用のiOS
    • Apple Business Manager登録用のiOSおよびmacOS
    • 従来のAndroid（DA）

    Apple School Managerなどの自動登録機能は、現在サポートされていません。

  • Citrix Cloudを介したオンプレミスのNetScaler Gateway
    • 証明書ベースの認証で構成されたNetScaler Gateway
    • Android Enterprise（プレビュー。BYOD（Bring Your Own Device）、完全管理対象デバイス、拡張された登録プロファイルをサポートします）
    • MDM+MAM登録およびMDM登録用のiOS
    • 従来のAndroid（DA） Apple Deployment Programなどの自動登録機能は、現在サポートされていません。
証明書と認証
March 15, 2024
寄稿者: 
C
March 15, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.