PIVスマートカード認証の構成
この記事では、スマートカード認証機能を有効にするためにDirectorサーバーとActive Directoryで必要な構成について説明します。
注: スマートカード認証は、同じActive Directoryドメインからのユーザーに対してのみサポートされています。
Directorサーバー構成
Directorサーバーで、次の構成手順を実行します。
-
クライアント証明書マッピング認証をインストールして有効にします。Microsoftのドキュメント「Client Certificate Mapping Authentication」の「Client Certificate Mapping authentication using Active Directory」の説明に従います。
-
Directorサイトでフォーム認証を無効にします。
IISマネージャーを起動します。
[サイト]>[既定のWebサイトのホーム]>[Director] に移動します。
[認証] を選択します。
[フォーム認証] を右クリックし、[無効化] を選択します。
-
クライアント証明書認証として、Director URLに、より安全なhttpsプロトコル(httpではなく)を設定します。
-
IISマネージャーを起動します。
-
[サイト]>[既定のWebサイトのホーム]>[Director] に移動します。
-
[SSL設定] を選択します。
-
[SSLを必須にする] および [クライアント証明書]>[必須] を選択します。
-
-
web.configを更新します。テキストエディターを使用してweb.configファイル(c:\inetpub\wwwroot\Directorにある)を開きます。
<system.webServer>
親要素の下で、最初の子要素として次のスニペットを追加します:
<defaultDocument>
<files>
<add value="LogOn.aspx"/>
</files>
</defaultDocument>
Active Directory構成
デフォルトでは、Directorアプリケーションは、アプリケーションプールIDプロパティを使用して実行されます。スマートカード認証には委任が必要であり、この委任には、DirectorアプリケーションIDにサービスホスト上のTCB(Trusted Computing Base)特権が必要となります。
アプリケーションプールID用に別個のサービスアカウントを作成することをCitrixではお勧めします。Microsoftの記事「Protocol Transition with Constrained Delegation Technical Supplement」内の説明に従って、サービスアカウントを作成し、TCB特権を割り当てます。
新しく作成したサービスアカウントをDirectorアプリケーションプールに割り当てます。次の図は、サンプルサービスアカウントDomain Poolのプロパティダイアログです。
このアカウント用に以下のサービスを構成します:
- Delivery Controller:HOST、http
- Director:HOST、http
- Active Directory:GC、LDAP
これを行うには、次のようにします。
-
ユーザーアカウントのプロパティダイアログで、[追加] をクリックします。
-
[サービスの追加] ダイアログで、[ユーザーまたはコンピューター] をクリックします。
-
Delivery Controllerホスト名を選択します。
-
[使用可能なサービス] 一覧から、[HOST]および[http] サービスタイプを選択します。
同様に、DirectorおよびActive Directoryのホストのサービスタイプを追加します。
Firefoxブラウザー構成
Firefoxブラウザーを使用するには、OpenSC 0.17.0で使用可能なPIVドライバーをインストールします。インストールと構成の手順については、「Installing OpenSC PKCS#11 Module in Firefox, Step by Step」を参照してください。 Directorでスマートカード認証機能を使用する方法については、Directorの記事で「DirectorでのPIVスマートカード認証の使用」のセクションを参照してください。