製品ドキュメント
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
PDFを表示

デリバリーコントローラーでのTLSの有効化

March 26, 2026
寄稿者: 
C C

デフォルトでは、HTTPとHTTPSの両方が有効になっています。HTTPSは、サーバーのFQDNを共通名として使用する自己署名証明書を使用しますが、これはStoreFront™やWebブラウザーでは信頼されません。

デリバリーコントローラー™でTLSを有効にするには、次の操作が必要です。

証明書の要求とインストール

TLSを使用するには、共通名またはサブジェクトの別名がサーバーのFQDNと一致する証明書をインストールする必要があります。デリバリーコントローラーの前にロードバランサーを使用している場合は、サーバーとロードバランサーの両方のFQDNをサブジェクトの別名として含めます。詳細については、「証明書」を参照してください。StoreFrontがデリバリーコントローラーに接続するには、RSAデジタル署名アルゴリズムを使用する必要があります。StoreFrontはECDSAアルゴリズムを使用する証明書をサポートしていません。

SSL/TLSリスナーポートの構成

Web StudioおよびDirectorの一部としてインストールされているIIS Windowsコンポーネントが同じサーバーにインストールされている場合、IISを使用してTLSを構成できます。詳細については、「Web StudioおよびDirectorでのTLSの有効化」を参照してください。それ以外の場合は、PowerShellを使用して証明書を構成します。

  1. 既存の証明書がバインドされているかどうかを確認するには、コマンドプロンプトを開き、netsh http show sslcertを実行します。

    netsh http show sslcert
<!--NeedCopy-->

  2. 既存のバインドがある場合は、それを削除します。

    netsh http delete sslcert ipport=0.0.0.0:443
<!--NeedCopy-->

    既存のバインドで特定のIPアドレスとポートが指定されていた場合は、0.0.0.0:443をそのIPアドレスとポートに置き換えます。

  3. 以前にインストールした証明書のサムプリントを見つけます。サムプリントを表示するには、コンピューター証明書の管理を開き、証明書を参照して開き、詳細タブに移動します。

    証明書のプロパティでサムプリントが表示されているスクリーンショット

    または、PowerShellを使用することもできます。たとえば、次のスクリプトは、共通名がサーバーのホスト名と一致する証明書を検索し、サムネイルを出力します。

    $HostName = ([System.Net.Dns]::GetHostByName(($env:computerName))).Hostname
$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -match ("CN=" + $HostName)}).Thumbprint -join ';'
Write-Host -Object "Certificate Thumbprint for $($HostName): $($Thumbprint)" -Foreground Yellow
<!--NeedCopy-->

    証明書の共通名がホスト名と一致しない場合、これは失敗します。ホスト名に対して複数の証明書がある場合、これは複数のサムプリントを連結して返すため、適切なサムプリントを選択する必要があります。

    次の例は、フレンドリ名で証明書を検索します。

    $friendlyName = "My certificate name"
$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.FriendlyName -eq $friendlyNam}).Thumbprint -join ';'
Write-Host -Object "Certificate Thumbprint for $friendlyName: $($Thumbprint)" -Foreground Yellow
<!--NeedCopy-->

    指定されたフレンドリ名を持つ証明書が複数ある場合、これは複数のサムプリントを連結して返すため、適切なサムプリントを選択する必要があります。

  4. 証明書をポートにバインドするには、netsh http add sslcertコマンドを使用します。

    netsh http add sslcert ipport=[IP address]:443 certhash=[certificate hash] appid=[application GUID] disablelegacytls=enable
<!--NeedCopy-->
    • ipport: IPアドレスとポート。0.0.0.0:443を使用すると、すべてのIPアドレスに適用されます。代わりに特定のIPアドレスを指定することもできます。
    • certhash: 前のステップで特定した証明書のサムプリント。

    • appid: Citrix Broker ServiceのGUID。

      注:

      証明書を更新または再バインドする際は、任意のGUIDではなく、Broker Serviceに関連付けられた特定のappidを使用してください。 Citrix Broker Serviceの正しいappidを見つけるには：

      1. 管理者としてPowerShellコマンドウィンドウを開き、次のコマンドを実行します。
       ```
 Get-WmiObject -Class Win32_Product | Select-String -Pattern "broker"
 <!--NeedCopy--> ```
      1. 出力でCitrix Broker ServiceのIdentifyingNumber（GUID）を見つけます（例：{D333C884-187F-447C-8C67-463F33989C8F}）。このGUIDをappidパラメーターに使用します。
    • disablelegacytls=enable: レガシーバージョンのTLSを無効にします。このパラメーターはWindows 2022以降で利用可能です。Windows 2022ではTLS 1.0および1.1を無効にします。Windows 2025では、TLS 1.0および1.1がデフォルトで無効になっているため、これは不要です。

    たとえば、次のコマンドを実行して、サムプリントbc96f958848639fd101a793b87915d5f2829b0b6の証明書をすべてのIPアドレスのポート443にバインドします。

    netsh http add sslcert ipport=0.0.0.0:443 certhash=bc96f958848639fd101a793b87915d5f2829b0b6 appid={91fe7386-e0c2-471b-a252-1e0a805febac} disablelegacytls=enable
<!--NeedCopy-->

HTTPSが有効になったら、StoreFront展開およびNetScaler Gatewayを構成して、HTTPではなくHTTPSを使用してデリバリーコントローラーに接続するようにします。

モニターサービスOData APIのHTTPS構成

モニターサービスは、Citrix®およびサードパーティアプリケーションがデータを照会できるように、OData v3およびv4 APIを提供します。DirectorはOData API V3を使用して監視サービスに接続します。モニターOData APIをHTTPS用に構成するには、次の手順を完了します。

  1. 次のPowerShellを実行します。

    $serviceGroup = Get-ConfigRegisteredServiceInstance -ServiceType Monitor | Select -First 1 ServiceGroupUid
Remove-ConfigServiceGroup -ServiceGroupUid $serviceGroup.ServiceGroupUid
& 'C:\Program Files\Citrix\Monitor\Service\citrix.monitor.exe' -ConfigureFirewall -RequireODataTls –OdataPort 443 -RequireODataSdkTls –OdataSdkPort 443
get-MonitorServiceInstance | register-ConfigServiceInstance
Get-ConfigRegisteredServiceInstance -ServiceType Config | Reset-MonitorServiceGroupMembership
<!--NeedCopy-->

  2. テキストエディターでファイルC:\Program Files\Citrix\Monitor\Service\Citrix.Monitor.exe.Configを開きます。要素<add key="owin:baseAddress" value="http://localhost/citrix/monitor/odata/v4" />を見つけて、<add key="owin:baseAddress" value="https://localhost/citrix/monitor/odata/v4" />に変更します。

暗号スイートの構成

暗号スイートの順序リストには、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384またはTLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256の暗号スイート（またはその両方）を含める必要があります。また、これらの暗号スイートは、TLS_DHE_暗号スイートよりも前に配置する必要があります。

  1. Microsoftグループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL構成設定に移動します。
  2. ポリシー「SSL Cipher Suite Order」を編集します。デフォルトでは、このポリシーは「未構成」に設定されています。このポリシーを「有効」に設定します。
  3. スイートを正しい順序に並べ替えます。使用したくない暗号スイートは削除します。

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384またはTLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256のいずれかが、TLS_DHE_暗号スイートよりも前に配置されていることを確認してください。

Microsoft Learnで、「TLS暗号スイートの順序の構成」も参照してください。

HTTPSトラフィックのみの強制

XMLサービスがHTTPトラフィックを無視するように構成することをお勧めします。

  1. regeditを実行します。
  2. HKLM\Software\Citrix\DesktopServer\を開きます。
  3. XmlServicesEnableNonSslという名前で新しいDWORD値を作成し、0に設定します。
  4. Broker Serviceを再起動します。

HTTPSトラフィックを無視するために作成できる対応するレジストリDWORD値XmlServicesEnableSslがあります。これが0に設定されていないことを確認してください。

HTTPまたはHTTPSポートの変更

デフォルトでは、コントローラー上のXMLサービスはHTTPトラフィックにはポート80を、HTTPSトラフィックにはポート443をリッスンします。デフォルト以外のポートを使用することもできますが、コントローラーを信頼できないネットワークに公開することによるセキュリティリスクに注意してください。デフォルトを変更するよりも、スタンドアロンのStoreFrontサーバーを展開する方が望ましいです。

コントローラーが使用するデフォルトのHTTPまたはHTTPSポートを変更するには、Studioから次のコマンドを実行します。

BrokerService.exe -StoreFrontPort <http-port> -StoreFrontTlsPort <https-port>
<!--NeedCopy-->

ここで：

  • <http-port>はHTTPトラフィックのポート番号です。
  • <https-port>はHTTPSトラフィックのポート番号です。

注記:

ポートを変更した後、Studio はライセンスの互換性とアップグレードに関するメッセージを表示する場合があります。この問題を解決するには、次の PowerShell コマンドレットシーケンスを使用してサービスインスタンスを再登録します。

Get-ConfigRegisteredServiceInstance -ServiceType Broker -Binding XML_HTTPS |
Unregister-ConfigRegisteredServiceInstance
Get-BrokerServiceInstance | where Binding -eq "XML_HTTPS" |
Register-ConfigServiceInstance
<!--NeedCopy-->
デリバリーコントローラーでのTLSの有効化
March 26, 2026
寄稿者: 
C C
March 26, 2026
寄稿者: 
C C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.