インストールと構成

インストールとセットアップの順序

1. フェデレーション認証サービス (FAS) のインストール
2. StoreFrontストアでのFASプラグインの有効化
3. グループポリシーの構成
4. FAS管理コンソールを使用して、(a) 提供されたテンプレートの展開、(b) 証明機関のセットアップ、および (c) FASによる証明機関の使用承認
5. ユーザー規則の構成

• フェデレーション認証サービスのインストール

• セキュリティのため、Citrix®は、フェデレーション認証サービス (FAS) を、ドメインコントローラーまたは証明機関と同様の方法で保護された専用サーバーにインストールすることを推奨します。FASは、ISOが挿入されたときの自動実行スプラッシュスクリーンにあるFederated Authentication Serviceボタンからインストールできます。

• これにより、次のコンポーネントがインストールされます。

• フェデレーション認証サービス
• FASをリモートで構成するためのPowerShellスナップインコマンドレット
• FAS管理コンソール
• FASグループポリシーテンプレート (CitrixFederatedAuthenticationService.admx/adml)
• シンプルな証明機関構成用の証明書テンプレートファイル
• パフォーマンスカウンターとイベントログ

StoreFront™ストアでのFASプラグインの有効化

StoreFrontストアでFAS統合を有効にするには、管理者アカウントとして次のPowerShellコマンドレットを実行します。ストアが複数ある場合、またはストア名が異なる場合、下記のパステキストは異なる場合があります。

    Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
    $StoreVirtualPath = "/Citrix/Store"
    $store = Get-STFStoreService -VirtualPath $StoreVirtualPath
    $auth = Get-STFAuthenticationService -StoreService $store
    Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
    Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
<!--NeedCopy-->

FASの使用を停止するには、次のPowerShellスクリプトを使用します。

    Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
    $StoreVirtualPath = "/Citrix/Store"
    $store = Get-STFStoreService -VirtualPath $StoreVirtualPath
    $auth = Get-STFAuthenticationService -StoreService $store
    Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"
    Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
<!--NeedCopy-->

Delivery Controller™の構成

FASを使用するには、Citrix Virtual AppsまたはCitrix Virtual Desktops™ Delivery Controllerが、それに接続できるStoreFrontサーバーを信頼するように構成します。これには、Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true PowerShellコマンドレットを実行します。

グループポリシーの構成

FASをインストールした後、インストールで提供されるグループポリシーテンプレートを使用して、FASサーバーの完全なDNSアドレスをグループポリシーで指定する必要があります。

重要:

チケットを要求するStoreFrontサーバーと、チケットを引き換えるVirtual Delivery Agent (VDA) が、グループポリシーオブジェクトによって適用される自動サーバー番号付けを含め、DNSアドレスの同一構成になっていることを確認してください。

簡素化のため、以下の例では、すべてのマシンに適用される単一のポリシーをドメインレベルで構成していますが、これは必須ではありません。FASは、StoreFrontサーバー、VDA、およびFAS管理コンソールを実行しているマシンが同じDNSアドレスのリストを参照している限り機能します。グループポリシーオブジェクトは各エントリにインデックス番号を追加することに注意してください。複数のオブジェクトが使用される場合、このインデックス番号も一致する必要があります。

ステップ 1. FASをインストールしたサーバーで、C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admxおよびCitrixBase.admxファイルと、en-USフォルダーを見つけます。

ステップ 2. これらをドメインコントローラーにコピーし、C:\Windows\PolicyDefinitionsおよびen-USサブフォルダーに配置します。

ステップ 3. Microsoft管理コンソール (コマンドラインからのmmc.exe) を実行します。メニューバーから、ファイル > スナップインの追加と削除を選択します。グループポリシー管理エディターを追加します。

グループポリシーオブジェクトのプロンプトが表示されたら、参照を選択し、既定のドメインポリシーを選択します。または、選択したツールを使用して、環境に適したポリシーオブジェクトを作成および選択することもできます。このポリシーは、影響を受けるCitrixソフトウェア (VDA、StoreFrontサーバー、管理ツール) を実行しているすべてのマシンに適用する必要があります。

ステップ 4. コンピューターの構成/ポリシー/管理用テンプレート/Citrixコンポーネント/認証にあるフェデレーション認証サービスポリシーに移動します。

注記:

フェデレーション認証サービスポリシー設定は、CitrixBase.admx/CitrixBase.admlテンプレートファイルをPolicyDefinitionsフォルダーに追加した場合にのみ、ドメインGPOで利用できます。フェデレーション認証サービスポリシー設定は、[管理用テンプレート] > [Citrixコンポーネント] > [認証] フォルダーに表示されます。

手順 5. フェデレーション認証サービスポリシーを開き、有効を選択します。これにより、表示ボタンを選択できるようになり、FASサーバーのDNSアドレスを構成します。

手順 6. FASをホストするサーバーの完全修飾ドメイン名（FQDN）を入力します。

注意: 複数のFQDNを入力する場合、リストの順序はStoreFrontサーバーとVDA間で一貫している必要があります。これには、空白または未使用のリストエントリが含まれます。

手順 7. OKをクリックしてグループポリシーウィザードを終了し、グループポリシーの変更を適用します。変更を有効にするには、マシンを再起動するか（またはコマンドラインから**gpupdate /force**を実行する）必要がある場合があります。

セッション内証明書のサポートとロック時の切断

セッション内証明書のサポート

デフォルトでは、VDAはログオン後に証明書へのアクセスを許可しません。必要に応じて、グループポリシーテンプレートを使用して、セッション内証明書用にシステムを構成できます。これにより、ログオン後に証明書がユーザーの個人証明書ストアに配置され、アプリケーションで使用できるようになります。たとえば、VDAセッション内でWebサーバーへのTLS認証が必要な場合、証明書はInternet Explorerで使用できます。

ロック時の切断

このポリシーが有効になっている場合、ユーザーが画面をロックすると、ユーザーのセッションは自動的に切断されます。この機能は、「スマートカード取り外し時の切断」ポリシーと同様の動作を提供し、ユーザーがActive Directoryログオン資格情報を持っていない状況で役立ちます。

注記:

ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。

フェデレーション認証サービス管理コンソールの使用

FAS管理コンソールはFASの一部としてインストールされます。アイコン（Citrix Federated Authentication Service）がスタートメニューに配置されます。

管理コンソールを初めて使用すると、証明書テンプレートの展開、証明機関の設定、およびFASが証明機関を使用するための承認を行うプロセスを案内します。一部の手順は、OS構成ツールを使用して手動で完了することもできます。

証明書テンプレートの展開

他のソフトウェアとの相互運用性の問題を回避するため、FASは、独自の用途のために3つのCitrix証明書テンプレートを提供します。

• Citrix_RegistrationAuthority_ManualAuthorization
• Citrix_RegistrationAuthority
• Citrix_SmartcardLogon

これらのテンプレートはActive Directoryに登録する必要があります。コンソールがそれらを見つけられない場合、証明書テンプレートの展開ツールでインストールできます。このツールは、エンタープライズフォレストを管理する権限を持つアカウントとして実行する必要があります。

• 

• テンプレートの構成は、FASとともに以下の場所にインストールされる拡張子.certificatetemplateのXMLファイルにあります。

• C:\Program Files\Citrix\Federated Authentication Service\CertificateTemplates

これらのテンプレートファイルをインストールする権限がない場合は、Active Directory管理者に渡してください。

テンプレートを手動でインストールするには、以下のPowerShellコマンドを使用できます。

    Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
    $StoreVirtualPath = "/Citrix/Store"
    $store = Get-STFStoreService -VirtualPath $StoreVirtualPath
    $auth = Get-STFAuthenticationService -StoreService $store
    Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
    Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
<!--NeedCopy-->

    $template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
    $CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
    $CertEnrol.InitializeImport($template)
    $comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
    $writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
    $writabletemplate.Initialize($comtemplate)
    $writabletemplate.Commit(1, $NULL)
<!--NeedCopy-->

Active Directory証明書サービスの設定

Citrix証明書テンプレートをインストールした後、1つ以上のMicrosoft証明機関サーバーに公開する必要があります。Active Directory証明書サービスの展開方法については、Microsoftのドキュメントを参照してください。

テンプレートが少なくとも1つのサーバーに公開されていない場合、証明機関のセットアップツールはそれらを公開するように提案します。このツールは、証明機関を管理する権限を持つユーザーとして実行する必要があります。

(証明書テンプレートは、Microsoft証明機関コンソールを使用して公開することもできます。)

Federated Authentication Serviceの承認

この手順により、FASの承認が開始されます。管理コンソールは、Citrix_RegistrationAuthority_ManualAuthorizationテンプレートを使用して証明書要求を生成し、そのテンプレートを公開している証明機関のいずれかに送信します。

要求が送信されると、Microsoft証明機関コンソールの保留中の要求リストに表示されます。FASの構成を続行する前に、証明機関管理者は要求を発行するか拒否するかを選択する必要があります。承認要求は、FASマシンアカウントからの保留中の要求として表示されることに注意してください。

すべてのタスクを右クリックし、証明書要求に対して発行または拒否を選択します。FAS管理コンソールは、このプロセスが完了したことを自動的に検出します。これには数分かかる場合があります。

ユーザー規則の構成

ユーザー規則は、StoreFrontの指示に従って、VDAログオンおよびセッション内使用のための証明書の発行を承認します。各規則は、証明書を要求することが信頼されているStoreFrontサーバー、要求できるユーザーのセット、およびそれらを使用することが許可されているVDAマシンのセットを指定します。

FASのセットアップを完了するには、デフォルトの規則を定義する必要があります。規則を作成するには作成をクリックするか、「規則」タブに切り替えて規則の作成をクリックします。ウィザードは、規則を定義するために必要な情報を収集します。

ウィザードによって収集される情報は次のとおりです。

テンプレート: ユーザー証明書の発行に使用される証明書テンプレートです。これは、Citrix_SmartcardLogonテンプレート、またはその変更されたコピーである必要があります。

証明機関: ユーザー証明書を発行する証明機関です。テンプレートは証明機関によって公開されている必要があります。FASは、フェールオーバーと負荷分散のために複数の証明機関の追加をサポートしています。

セッション内使用: セッション内使用を許可オプションは、VDAへのログオン後に証明書を使用できるかどうかを制御します。認証後にユーザーが証明書にアクセスできるようにする場合にのみ、このオプションを選択してください。このオプションが選択されていない場合、証明書はログオンまたは再接続にのみ使用され、認証後にユーザーは証明書にアクセスできません。

アクセスコントロール: ユーザーのログオンまたは再接続のために証明書を要求することを承認されている、信頼されたStoreFrontサーバーマシンのリストです。

重要:

アクセスコントロール設定はセキュリティ上重要であり、慎重に管理する必要があります。

制限: FASを使用してユーザーをログオンできるVDAマシンのリストと、FASを介して証明書を発行できるユーザーのリストです。VDAのリストはデフォルトでDomain Computersに、ユーザーのリストはデフォルトでDomain Usersになります。これらのデフォルトが不適切な場合は変更できます。

クラウド規則: 現在サポートされていません。

高度な使用法

異なる証明書テンプレートや認証局を参照する追加の規則を作成できます。これらは異なるプロパティや権限を持つように構成できます。これらの規則は、異なるStoreFrontサーバーで使用するように構成でき、そのサーバーは新しい規則を名前で要求するように構成する必要があります。デフォルトでは、StoreFrontはFASに接続する際にdefaultを要求します。これはグループポリシー構成オプションを使用して変更できます。

新しい証明書テンプレートを作成するには、Microsoft Certification AuthorityコンソールでCitrix_SmartcardLogonテンプレートを複製し、名前を変更（例：Citrix_SmartcardLogon2）して、必要に応じて変更します。追加をクリックして新しいユーザー規則を作成し、新しい証明書テンプレートを参照します。

アップグレードに関する考慮事項

• インプレースアップグレードを実行すると、すべてのFASサーバー設定が保持されます。
• FASをアップグレードするには、フル製品のVirtual Apps and Desktopsインストーラーを実行します。
• FASをアップグレードする前に、ControllerとVDA（およびその他のコアコンポーネント）を必要なバージョンにアップグレードしてください。
• FASをアップグレードする前に、FAS管理コンソールが閉じていることを確認してください。
• 常に少なくとも1つのFASサーバーが利用可能であることを確認してください。Federation Authentication Serviceが有効なStoreFrontサーバーからサーバーに到達できない場合、ユーザーはログオンしたりアプリケーションを起動したりできません。

セキュリティに関する考慮事項

FASには、ドメインユーザーに代わって自律的に証明書を発行できる登録機関証明書があります。そのため、FASサーバーを保護し、その権限を制限するためのセキュリティポリシーを策定し、実装することが重要です。

委任された登録エージェント

FASは、登録エージェントとして機能することでユーザー証明書を発行します。Microsoft Certification Authorityでは、FASサーバーが使用できるテンプレートを制御したり、FASサーバーが証明書を発行できるユーザーを制限したりできます。

Citrixは、FASが意図したユーザーにのみ証明書を発行できるように、これらのオプションを構成することを強く推奨します。たとえば、FASが管理者グループまたは保護されたユーザーグループのユーザーに証明書を発行することを防ぐのは良い習慣です。

アクセス制御リストの構成

ユーザー規則の構成セクションで説明されているように、証明書が発行される際にユーザーIDをFASにアサートすることを信頼するStoreFrontサーバーのリストを構成する必要があります。同様に、証明書が発行されるユーザーや、認証できるVDAマシンを制限することもできます。これは、構成する標準のActive Directoryまたは証明書機関のセキュリティ機能に追加されるものです。

ファイアウォール設定

FASサーバーへのすべての通信は、ポート80を介した相互認証されたWindows Communication Foundation (WCF) Kerberosネットワーク接続を使用します。

イベントログの監視

FASとVDAはWindowsイベントログに情報を書き込みます。これは監視および監査情報に使用できます。イベントログセクションには、生成される可能性のあるイベントログエントリがリストされています。

ハードウェアセキュリティモジュール

ユーザー証明書を含むすべての秘密鍵は、Network Serviceアカウントによってエクスポート不可能な秘密鍵として保存されます。FASは、セキュリティポリシーで必要とされる場合、暗号化ハードウェアセキュリティモジュール（HSM）の使用をサポートします。

低レベルの暗号化構成は、FederatedAuthenticationService.exe.configファイルで利用できます。これらの設定は、秘密鍵が最初に作成されるときに適用されます。したがって、登録機関の秘密鍵（例：4096ビット、TPM保護）とランタイムユーザー証明書には異なる設定を使用できます。

PowerShell SDK

FAS管理コンソールはシンプルな展開に適していますが、PowerShellインターフェースはより高度なオプションを提供します。コンソールで利用できないオプションを使用する場合は、構成にPowerShellのみを使用することをCitrixは推奨します。

次のコマンドはPowerShellコマンドレットを追加します。

Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1

Get-Help <cmdlet 名> を使用して、コマンドレットのヘルプを表示します。次の表に、*が標準のPowerShell動詞（New、Get、Set、Removeなど）を表すいくつかのコマンドを示します。

FASサーバーのアドレスを指定することで、PowerShellコマンドレットをリモートで使用できます。

FAS PowerShellコマンドレットの詳細については、PowerShellコマンドレットを参照してください。

パフォーマンスカウンター

FASには、負荷追跡を目的とした一連のパフォーマンスカウンターが含まれています。

次の表に、利用可能なカウンターを示します。ほとんどのカウンターは、5分間の移動平均です。

イベントログ

• 次の表に、FASによって生成されるイベントログエントリを示します。

管理イベント [Federated Authentication Service]

[Event Source: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、FASサーバーの構成変更に応じてログに記録されます。

IDアサーションの作成 [Federated Authentication Service]

[Event Source: Event Source: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、信頼されたサーバーがユーザーログオンをアサートするときに、FASサーバーで実行時にログに記録されます。

証明書利用者としての動作 [Federated Authentication Service]

[Event Source: Event Source: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、VDAがユーザーをログオンさせるときに、FASサーバーで実行時にログに記録されます。

セッション内証明書サーバー (フェデレーション認証サービス)

イベントソース: Citrix.Authentication.FederatedAuthenticationService

これらのイベントは、ユーザーがセッション内証明書を使用する際にFASサーバーに記録されます。

FASアサーションプラグイン [Federated Authentication Service]

イベントソース: Citrix.Authentication.FederatedAuthenticationService

これらのイベントは、FASアサーションプラグインによって記録されます。

ログオン [VDA]

イベントソース: Citrix.Authentication.IdentityAssertion

これらのイベントは、ログオン段階でVDAに記録されます。

セッション内証明書 [VDA]

イベントソース: Citrix.Authentication.IdentityAssertion

これらのイベントは、ユーザーがセッション内証明書の使用を試みる際にVDAに記録されます。

証明書要求とキーペア生成 [Federated Authentication Service]

イベントソース: Citrix.Fas.PkiCore

これらのイベントは、FASサーバーが低レベルの暗号化操作を実行する際に記録されます。

関連情報

• 一般的なFAS展開は、「展開アーキテクチャ」にまとめられています。
• 「ハウツー」記事は、「高度な構成」で紹介されています。