製品ドキュメント
Federated Authentication Service
Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912
PDFを表示

Windowsログオンの問題のトラブルシューティング

April 28, 2026
寄稿者: 
C C

この記事では、ユーザーが証明書またはスマートカード、あるいはその両方を使用してログオンする際にWindowsが提供するログとエラーメッセージについて説明します。これらのログは、認証の失敗をトラブルシューティングするために使用できる情報を提供します。

  • 証明書と公開鍵インフラストラクチャ

  • Windows Active Directoryは、ログオンするユーザーの証明書を管理するいくつかの証明書ストアを保持しています。

  • NTAuth 証明書ストア: Windowsに認証するには、ユーザー証明書を直接発行する認証局（つまり、チェーンはサポートされていません）をNTAuthストアに配置する必要があります。これらの証明書を表示するには、certutilプログラムから次を入力します: certutil –viewstore –enterprise NTAuth
  • ルートおよび中間証明書ストア: 通常、証明書ログオンシステムは単一の証明書のみを提供できるため、チェーンが使用されている場合、すべての中間証明書ストアにはこれらの証明書が含まれている必要があります。ルート証明書は信頼されたルートストアに、最終的な証明書はNTAuthストアに存在する必要があります。
  • ログオン証明書拡張機能とグループポリシー: Windowsは、EKUおよびその他の証明書ポリシーの検証を強制するように構成できます。Microsoftのドキュメントを参照してください: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)。
Registry policy Description
AllowCertificatesWithNoEKU 無効にすると、証明書にはスマートカードログオン拡張キー使用法 (EKU) を含める必要があります。
  • AllowSignatureOnlyKeys デフォルトでは、WindowsはRSA復号化を許可しない証明書の秘密鍵を除外します。このオプションはそのフィルターを上書きします。
    AllowTimeInvalidCertificates デフォルトでは、Windowsは期限切れの証明書を除外します。このオプションはそのフィルターを上書きします。
    EnumerateECCCerts 楕円曲線認証を有効にします。
    X509HintsNeeded 証明書に一意のユーザープリンシパル名 (UPN) が含まれていない場合、または曖昧な場合、このオプションによりユーザーはWindowsログオンアカウントを手動で指定できます。
    UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors 失効チェックを無効にします（ドメインコントローラーで設定）。
    • ドメインコントローラー証明書: Kerberos接続を認証するには、すべてのサーバーに適切な「ドメインコントローラー」証明書が必要です。これらは、「ローカルコンピューター証明書個人ストア」MMCスナップインメニューを使用して要求できます。

UPN名と証明書マッピング

ユーザー証明書には、サブジェクト代替名拡張機能に一意のユーザープリンシパル名 (UPN) を含めることをお勧めします。

Active DirectoryにおけるUPN名

デフォルトでは、Active Directoryのすべてのユーザーは、\<samUsername>@\<domainNetBios> および \<samUsername>@\<domainFQDN> のパターンに基づいた暗黙的なUPNを持っています。利用可能なドメインとFQDNは、フォレストのRootDSEエントリに含まれています。単一のドメインには、RootDSEに複数のFQDNアドレスが登録されている場合があります。

また、Active Directoryのすべてのユーザーは、明示的なUPNとaltUserPrincipalNamesを持っています。これらは、ユーザーのUPNを指定するLDAPエントリです。

UPNでユーザーを検索する場合、Windowsはまず現在のドメイン（UPNを検索するプロセスのIDに基づく）で明示的なUPNを検索し、次に代替UPNを検索します。一致するものがない場合、暗黙的なUPNを検索します。これはフォレスト内の異なるドメインに解決される可能性があります。

証明書マッピングサービス

証明書に明示的なUPNが含まれていない場合、Active Directoryには、各使用のために正確な公開証明書を「x509certificate」属性に保存するオプションがあります。このような証明書をユーザーに解決するために、コンピューターはこの属性を直接クエリできます（デフォルトでは単一ドメイン内）。

ユーザーがユーザーアカウントを指定するオプションが提供されており、これによりこの検索が高速化され、この機能がクロスドメイン環境でも使用できるようになります。

フォレストに複数のドメインがあり、ユーザーが明示的にドメインを指定しない場合、Active DirectoryのrootDSEは証明書マッピングサービスの場所を指定します。これはグローバルカタログマシンにあり、フォレスト内のすべてのx509certificate属性のキャッシュされたビューを持っています。このコンピューターは、証明書のみに基づいて、任意のドメイン内のユーザーアカウントを効率的に見つけるために使用できます。

ログオンドメインコントローラー選択の制御

環境に複数のドメインコントローラーが含まれる場合、認証に使用されるドメインコントローラーを確認および制限し、ログを有効にして取得できるようにすることが役立ちます。

ドメインコントローラーの選択制御

Windowsが特定のWindowsドメインコントローラーをログオンに使用するように強制するには、lmhostsファイル（\Windows\System32\drivers\etc\lmhosts）を構成することで、Windowsマシンが使用するドメインコントローラーのリストを明示的に設定できます。

通常、その場所には”lmhosts.sam”という名前のサンプルファイルがあります。以下の行を含めるだけです。

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

ここで、”1.2.3.4”はmydomainドメイン内のdcnetbiosnameという名前のドメインコントローラーのIPアドレスです。

再起動後、Windowsマシンはその情報を使用してmydomainにログオンします。この構成は、デバッグが完了したら元に戻す必要があります。

使用中のドメインコントローラーの特定

ログオン時、Windowsはユーザーをログオンさせたドメインコントローラーを含むMSDOS環境変数を設定します。これを確認するには、コマンドプロンプトを起動し、コマンド：echo %LOGONSERVER%を実行します。

認証に関連するログは、このコマンドによって返されるコンピューターに保存されます。

アカウント監査イベントの有効化

デフォルトでは、Windowsドメインコントローラーは完全なアカウント監査ログを有効にしていません。これは、グループポリシーエディターのセキュリティ設定にある監査ポリシーを通じて制御できます。グループポリシーエディターを開くには、ドメインコントローラーでgpedit.mscを実行します。監査ポリシーが有効になると、ドメインコントローラーはセキュリティログに追加のイベントログ情報を生成します。

Enable account audit events

証明書検証ログ

証明書の有効性確認 

-  スマートカード証明書がDER証明書としてエクスポートされている場合（秘密鍵は不要）、コマンド：certutil –verify user.cerを使用して検証できます。

-  ### CAPIログの有効化

ドメインコントローラーとユーザーマシンで、イベントビューアーを開き、Microsoft/Windows/CAPI2/Operational Logsのログを有効にします。

  • ドメインコントローラーとVDAマシンで、イベントビューアーを開き、アプリケーションとサービスログ > Microsoft > Windows > CAPI2 > Operationalに移動します。Operationalを右クリックし、ログの有効化を選択します。

  • さらに、レジストリ値：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32でCAPIログを微調整します。以下の値はデフォルトでは存在しません。これらを作成する必要があります。デフォルトのCAPI2ログ設定に戻したい場合は、これらの値を削除してください。

値 説明
DiagLevel (DWORD) 詳細レベル (0～5)
DiagMatchAnyMask (QUADWORD) イベントフィルター (すべてに 0xffffff を使用)
DiagProcessName (MULTI_SZ) プロセス名でフィルター (例: LSASS.exe)

CAPI ログ

メッセージ 説明
チェーンの構築 LSA が CertGetCertificateChain を呼び出しました (結果を含む)
失効の検証 LSA が CertVerifyRevocation を呼び出しました (結果を含む)
X509 オブジェクト 詳細モードでは、証明書と証明書失効リスト (CRL) が AppData\LocalLow\Microsoft\X509Objects にダンプされます
チェーンポリシーの検証 LSA が CertVerifyChainPolicy を呼び出しました (パラメーターを含む)

エラーメッセージ

エラーコード 説明
証明書が信頼されていません コンピューターの中間証明書ストアおよび信頼されたルート証明書ストアにある証明書を使用して、スマートカード証明書を構築できませんでした。
証明書失効チェックエラー 証明書の CRL 配布ポイントで指定されたアドレスから、スマートカードの CRL をダウンロードできませんでした。失効チェックが必須の場合、これによりログオンが失敗します。証明書と公開キーインフラストラクチャセクションを参照してください。
証明書の使用エラー この証明書はログオンに適していません。たとえば、サーバー証明書または署名証明書である可能性があります。

Kerberos ログ

Kerberos ログを有効にするには、ドメインコントローラーとエンドユーザーマシンで、次のレジストリ値を作成します。

ハイブ 値の名前 値 [DWORD]
CurrentControlSet\Control\Lsa\Kerberos\Parameters LogLevel 0x1
CurrentControlSet\Control\Lsa\Kerberos\Parameters KerbDebuglevel 0xffffffff
CurrentControlSet\Services\Kdc KdcDebugLevel 0x1
CurrentControlSet\Services\Kdc KdcExtraLogLevel 0x1f

Kerberos ログはシステムイベントログに出力されます。

  • 信頼されていない証明書などのメッセージは、診断が容易である必要があります。
  • 2つのエラーコードは情報提供であり、安全に無視できます。
    • KDC_ERR_PREAUTH_REQUIRED (古いドメインコントローラーとの下位互換性のために使用)
    • 不明なエラー 0x4b

ドメインコントローラーとワークステーションのログ

このセクションでは、ユーザーが証明書でログオンしたときにドメインコントローラーとワークステーションで予想されるログエントリについて説明します。

  • ドメインコントローラー CAPI2 ログ
  • ドメインコントローラーセキュリティログ
  • Virtual Delivery Agent (VDA) セキュリティログ
  • VDA CAPI ログ
  • VDA システムログ

ドメインコントローラー CAPI2 ログ

ログオン中に、ドメインコントローラーは呼び出し元の証明書を検証し、次の形式で一連のログエントリを生成します。

ドメインコントローラー CAPI2 ログ

最終的なイベントログメッセージは、ドメインコントローラー上の lsass.exe が VDA によって提供された証明書に基づいてチェーンを構築し、その有効性 (失効を含む) を検証していることを示しています。結果は「ERROR_SUCCESS」として返されます。

ドメインコントローラー CAPI2 ログ 2

ドメインコントローラーセキュリティログ

ドメインコントローラーには一連のログオンイベントが表示され、主要なイベントは4768です。このイベントでは、証明書がKerberosチケット保証チケット (krbtgt) の発行に使用されます。

これより前のメッセージは、サーバーのマシンアカウントがドメインコントローラーに対して認証を行っていることを示します。これに続くメッセージは、新しいkrbtgtに属するユーザーアカウントがドメインコントローラーへの認証に使用されていることを示します。

ドメインコントローラーのセキュリティログ

VDAセキュリティログ

ログオンイベントに対応するVDAセキュリティ監査ログは、winlogon.exeを発生元とするイベントID 4648のエントリです。

VDAセキュリティログ

VDA CAPIログ

このVDA CAPIログの例は、lsass.exeからの単一のチェーン構築および検証シーケンスを示しており、ドメインコントローラー証明書 (dc.citrixtest.net) を検証しています。

VDA CAPIログ

VDA CAPIログ 2

VDAシステムログ

Kerberosログ記録が有効になっている場合、システムログにはエラーKDC_ERR_PREAUTH_REQUIRED (これは無視できます) と、Kerberosログオンが成功したことを示すWindowsログオンからのエントリが表示されます。

VDAシステムログ

Windowsイベントログを使用したFASの監視

すべてのFASイベントは、Windowsのアプリケーションイベントログに書き込まれます。System Center Operations Manager (SCOM) などの製品を使用して、ここで説明されているプロセスとイベントを使用してFASサービスの正常性を監視できます。

FASサービスの実行状況

FASサービスが実行されているかどうかを確認するには、Citrix.Authentication.FederatedAuthenticationService.exeプロセスを監視します。

このセクションでは、FASサービスを監視するための最も重要なイベントのみを説明します。FASイベントコードの完全なリストについては、「FASイベントログ」を参照してください。

FASヘルスイベント

FASサービスが正常であるかどうかを、以下のイベントで確認できます。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

イベント イベントテキスト 説明 注記
[S003] 管理者 [{0}] がメンテナンスモードを [{1}] に設定 FASサービスがメンテナンスモードに移行したか、またはメンテナンスモードから解除されました。 メンテナンスモード中は、FASサーバーはシングルサインオンに使用できません。
[S022] 管理者 [{0}] がメンテナンスモードをオフに設定 FASサービスがメンテナンスモードから解除されました。 FAS 10.7 / Citrix Virtual Apps and Desktops 2109 以降で利用可能です。
[S023] 管理者 [{0}] がメンテナンスモードをオンに設定 FASサービスがメンテナンスモードに移行しました。 FAS 10.7 / Citrix Virtual Apps and Desktops 2109 以降で利用可能です。
[S123] いずれかのCAで [upn: {0} role: {1}] の証明書の発行に失敗しました [exception: {2}] FASが構成されているCAのいずれもユーザー証明書の発行に成功しなかった場合、このイベントは [S124] の後に発生します。そのユーザーのシングルサインオンは失敗します。 このイベントは、構成されているすべてのCAが機能していないことを示します。FASがHSMを使用するように構成されている場合、HSMが機能していない可能性も示します。
[S124] [certificate authority: {2}] で [upn: {0} role: {1}] の証明書の発行に失敗しました [exception: {3}] FASが指定されたCAからユーザー証明書を要求しようとしたときに失敗が発生しました。FASが複数のCAで構成されている場合、FASは別のCAで要求を試行します。 このイベントは、CAが機能していないか、または連絡不能であることを示している可能性があります。FASがHSMを使用するように構成されている場合、HSMが機能していない可能性も示します。例外は、問題の原因を特定するのに役立ちます。
[S413] 認証証明書の有効期限が間もなく切れます (残り {0} 日)。証明書の詳細: {1} FAS認証証明書の有効期限が近づくと、このイベントが定期的に生成されます。デフォルトでは、認証証明書の有効期限が30日以内である場合、毎日イベントが生成されます。 デフォルト設定は、コマンドレット Set-FasRaCertificateMonitor を使用して調整できます。詳細については、「PowerShellコマンドレット」を参照してください。
[S414] 認証証明書の有効期限が切れました。証明書の詳細: {0} FAS認証証明書の有効期限が切れると、このイベントが定期的に生成されます。デフォルトでは、毎日イベントが生成されます。 有効期限が切れると、FASは新しいユーザー証明書を生成できなくなり、シングルサインオンが失敗し始めます。

クラウド接続FASイベント

Citrix Cloud™ でFASを使用している場合、FASサービスが正常であるかどうかを、以下のイベントで確認できます。

イベントソースは Citrix.Fas.Cloud です。

イベント イベントテキスト 説明 注記
[S012] FASサービスはCitrix Cloudからのシングルサインオンに利用可能です このイベントは、Workspace (つまりCitrix Cloud) からのシングルサインオンが機能しているはずであることを示します。 このイベントを発行する前に、FASは (1) 構成されていること、(2) メンテナンスモードではないこと、および (3) Citrix Cloudに接続されていることを確認します。
[S013] FASサービスはCitrix Cloudからのシングルサインオンに利用できません。[{0}] 詳細については、管理コンソールで確認できます。 このイベントは、FASがWorkspace (つまりCitrix Cloud) からシングルサインオンを提供できないことを示します。メッセージには、シングルサインオンが機能しない理由が含まれています。 FASはCitrix Cloudへの永続的な接続を維持します。ネットワークの不具合やプロキシサーバーの接続寿命ポリシーなど、さまざまな理由により、この接続が一時的に切断されることがあります。この場合、イベントテキストには「Service is not connected to the cloud」と表示されます。これは正常な動作であり、FASは直ちにCitrix Cloudへの接続を再確立しようとします。

セキュリティイベント

以下のイベントは、不正なエンティティがFASを使用しようとしたことを示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

イベント イベントテキスト 説明
[S001] アクセス拒否: ユーザー [{0}] はAdministratorsグループのメンバーではありません FASの構成を表示または変更しようとしましたが、呼び出し元はFAS管理者ではありませんでした。
[S002] アクセス拒否: ユーザー [{0}] はロール [{1}] の管理者ではありません FASルールの構成を表示または変更しようとしましたが、呼び出し元はFAS管理者ではありませんでした。
[S101] サーバー [{0}] はロール [{1}] でIDをアサートする権限がありません ユーザーIDをアサートしようとしましたが、呼び出し元にはその権限がありません。FASルール構成で許可されているStoreFront™サーバー (および該当する場合はWorkspace) のみが、ユーザーIDをアサートできます。
[S104] サーバー [{0}] がUPN [{1}] のアサートに失敗しました (UPNはロール [{2}] で許可されていません) ユーザーIDをアサートしようとしましたが、FASルール構成に従ってそのユーザーアカウントは許可されていません。
[S205] 証明書利用者アクセス拒否 - 呼び出し元アカウント [{0}] はルール [{1}] の許可された証明書利用者ではありません VDAがFASでシングルサインオンを実行しようとしましたが、FASルール構成に従ってそのVDAは許可されていません。

FASイベントログ

以下の表に、FASによって生成されるイベントログエントリを示します。

管理イベント [Federated Authentication Service]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、FASサーバーの構成変更に応じてログに記録されます。

ログコード
[S001] アクセス拒否: ユーザー [{0}] はAdministratorsグループのメンバーではありません
[S002] アクセス拒否: ユーザー [{0}] はロール [{1}] の管理者ではありません
[S003] 管理者 [{0}] がメンテナンスモードを [{1}] に設定
[S004] 管理者 [{0}] がテンプレート [{2} および {3}] を使用してCA [{1}] から認証証明書を要求
[S005] 管理者 [{0}] がCA [{1}] の認証を解除
[S006] 管理者 [{0}] が証明書定義 [{1}] を作成
[S007] 管理者 [{0}] が証明書定義 [{1}] を更新
[S008] 管理者 [{0}] が証明書定義 [{1}] を削除
[S009] 管理者 [{0}] がルール [{1}] を作成
[S010] 管理者 [{0}] がルール [{1}] を更新
[S011] 管理者 [{0}] がルール [{1}] を削除
[S012] 管理者 [{0}] が証明書を作成 [upn: {1} sid: {2} rule: {3}]証明書定義: {4} セキュリティコンテキスト: {5}]
[S013] 管理者 [{0}] が証明書を削除 [upn: {1} role: {2} 証明書定義: {3} セキュリティコンテキスト: {4}]
[S015] 管理者 [{0}] が証明書要求を作成 [TPM: {1}]
[S016] 管理者 [{0}] が認証証明書をインポート [参照: {1}]
[S022] 管理者 [{0}] がメンテナンスモードをオフに設定
[S023] 管理者 [{0}] がメンテナンスモードをオンに設定
[S024] 管理者 [{0}] がシステムヘルスモニターを設定
[S025] 管理者 [{0}] がシステムヘルスモニターを設定
[S026] 管理者 [{0}] がRA証明書モニターを設定
[S027] 管理者 [{0}] がRA証明書モニターをリセット
[S028] 管理者 [{0}] が [{1}] 証明書のキー構成を [{2}] に設定
[S029] 管理者 [{0}] が [{1}] 証明書のキー構成をデフォルト値 [{2}] にリセット
[S030] 管理者 [{0}] がサービスプロパティを [{1}] に設定
[S050] 管理者 [{0}] がクラウド構成を作成中: [{1}]
[S051] 管理者 [{0}] がクラウド構成を更新中: [{1}]
[S052] 管理者 [{0}] がクラウド構成を削除中
[S060] 管理者 [{0}] がクラウド登録を要求中。インスタンス: {1}
[S060] 管理者 [{0}] がダイレクトトラストクラウド登録を要求中。インスタンス: {1} クラウドサービスURL形式: {2}
[S061] 管理者 [{0}] がクラウド登録を完了中。リソースの場所: {1}、ルール名: {2}
[S062] 管理者 [{0}] がクラウド登録を完了しました。リソースの場所: {1} ({2})、ルール名: {3}、顧客: {4} ({5})
[S063] クラウド登録中にKRSエラーが発生しました。例外は {0} でした
[S064] クラウド登録中に不明なエラーが発生しました。例外は {0} でした
ログコード
[S401] 構成のアップグレードを実行中 - [バージョン {0} からバージョン {1} へ]
[S402] エラー: Citrix Federated Authentication Serviceはネットワークサービスとして実行する必要があります [現在の実行ユーザー: {0}]
[S404] Citrix Federated Authentication Serviceデータベースを強制的に消去中
[S405] レジストリからデータベースへのデータ移行中にエラーが発生しました: [{0}]
[S406] レジストリからデータベースへのデータ移行が完了しました (注: ユーザー証明書は移行されません)
[S407] データベースが既に存在するため、レジストリベースのデータはデータベースに移行されませんでした
[S408] 構成をダウングレードできません – [バージョン {0} からバージョン {1} へ]
[S409] スレッドプール構成が成功しました - MinThreadsが[ワーカー: {0} 完了: {1}] から [ワーカー: {2} 完了: {3}] に調整されました
[S410] スレッドプール構成が失敗しました - MinThreadsを[ワーカー: {0} 完了: {1}] から [ワーカー: {2} 完了: {3}] に調整できませんでした。これによりFASサーバーのスケーラビリティに影響が出る可能性があります
[S411] FASサービスの開始中にエラーが発生しました: [{0}]
[S412] 構成のアップグレードが完了しました – [バージョン {0} からバージョン {1} へ]
[S413] 認証証明書の有効期限が間もなく切れます (残り {0} 日)。証明書の詳細: {1}
[S414] 認証証明書の有効期限が切れました。証明書の詳細: {0}
[S415] 認証証明書のチェックが完了しました。{0} 件の問題がログに記録されました。次のチェックは {1} 後に予定されています

IDアサーションの作成 [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、信頼されたサーバーがユーザーログオンをアサートする際に、FASサーバー上で実行時にログに記録されます。

ログコード
[S101] サーバー [{0}] は、ロール [{1}] でIDをアサートする権限がありません
[S102] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (例外: {2}{3})
[S103] サーバー [{0}] はUPN [{1}] SID {2} を要求しましたが、ルックアップはSID {3} を返しました
[S104] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (UPNはロール [{2}] で許可されていません)
[S105] サーバー [{0}] はIDアサーションを発行しました [upn: {1}, ロール {2}, セキュリティコンテキスト: [{3}]]
[S120] 証明書を発行しています [upn: {0} ロール: {1} セキュリティコンテキスト: [{2}]]
[S121] [upn: {0} ロール: {1}] に、[証明機関: {2}] によって証明書が発行されました
[S122] 警告: サーバーが過負荷状態です [upn: {0} ロール: {1}][1分あたりのリクエスト数 {2}]
[S123] [upn: {0} ロール: {1}] の証明書をいずれのCAでも発行できませんでした [例外: {2}]
[S124] [upn: {0} ロール: {1}] の証明書を [証明機関: {2}] で発行できませんでした [例外: {3}]
[S125] 保留中の証明書要求が完了するのを待機中に、呼び出しが {0} 秒後にタイムアウトしました [upn: {1} ロール: {2} セキュリティコンテキスト: [{3}]]
[S126] サーバー [{0}] は、未定義のルール [{1}] を使用してIDをアサートしようとしました
[S127] サーバーがメンテナンスモードであるため、FASは [upn: {0} ロール: {1} 定義: {2}] の証明書を要求できませんでした。メンテナンスモード中の動作を変更するには、PowerShellコマンドレット Set-FasServer を使用してください

依拠当事者としての動作 [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、VDAがユーザーをログオンする際に、FASサーバー上で実行時にログに記録されます。

ログコード
[S201] 依拠当事者 [{0}] はパスワードへのアクセス権がありません
[S202] 依拠当事者 [{0}] は証明書へのアクセス権がありません
[S203] 依拠当事者 [{0}] はログオンプロバイダーへのアクセス権がありません
[S204] 依拠当事者 [{0}] は、[{4}] によって承認された [upn: {1}] のログオンプロバイダーに、ロール: [{2}] [操作: {3}] でアクセスしています
[S205] 依拠当事者アクセスが拒否されました - 呼び出し元アカウント [{0}] は、ルール [{1}] の許可された依拠当事者ではありません
[S206] 呼び出し元アカウント [{0}] は依拠当事者ではありません
[S208] 秘密鍵操作に失敗しました [操作: {0} upn: {1} ロール: {2} certificateDefinition {3} エラー {4} {5}]

セッション内証明書サーバー [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

  • これらのイベントは、ユーザーがセッション内証明書を使用する際に、FASサーバー上でログに記録されます。

  • ログコード
  • [S301] アクセス拒否: ユーザー [{0}] は仮想スマートカードへのアクセス権がありません
    [S302] ユーザー [{0}] は不明な仮想スマートカードを要求しました [サムプリント: {1}]
    [S303] アクセス拒否: ユーザー [{0}] は仮想スマートカード [upn: {1}] と一致しません
    [S304] ユーザー [{0}] は、コンピューター [{2}] 上でプログラム [{1}] を実行しており、秘密鍵操作 [{6}] のために仮想スマートカード [upn: {3} ロール: {4} サムプリント: {5}] を使用しています
    [S305] 秘密鍵操作に失敗しました [操作: {0}] [upn: {1} ロール: {2} コンテナー名 {3} エラー {4} {5}]

FASアサーションプラグイン [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、FASアサーションプラグインによってログに記録されます。

ログコード
[S500] FASアサーションプラグインが構成されていません
[S501] 構成されたFASアサーションプラグインをロードできませんでした [例外:{0}]
[S502] FASアサーションプラグインがロードされました [pluginId={0}] [assembly={1}] [location={2}]
[S503] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (ログオン証拠が提供されましたが、プラグイン [{2}] はそれをサポートしていません)
[S504] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (ログオン証拠が提供されましたが、構成されたFASプラグインがありません)
[S505] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] は、ステータス [{3}] とメッセージ [{4}] でログオン証拠を拒否しました)
[S506] プラグイン [{0}] は、サーバー [{1}] からのUPN [{2}] のログオン証拠をメッセージ [{3}] とともに受け入れました
[S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] は、メソッド [{4}] の実行中に例外 [{3}] をスローしました)
[S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] は例外 [{3}] をスローしました)
[S508] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処理が提供されましたが、プラグイン [{2}] はそれをサポートしていません)
[S509] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処理が提供されましたが、構成されたFASプラグインがありません)
[S510] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処理はプラグイン [{2}] によって無効と見なされました)

Workspace対応FAS [フェデレーション認証サービス]

[イベントソース: Citrix.Fas.Cloud]

これらのイベントは、FASがWorkspaceで使用される際にログに記録されます。

ログコード
[S001] Citrix Cloud認証キーがローテーションされました [FAS ID: {0}] [古いキーID:{1}] [新しいキーID:{2}]
[S002] クラウドサポートモジュールが起動しています。FasHubクラウドサービスURL: {0}
[S003] FASがクラウドに登録されました [FAS ID: {0}] [トランザクションID: {1}]
[S004] FASはクラウドへの登録に失敗しました [FAS ID: {0}] [トランザクションID: {1}] [例外: {2}]
[S005] FASは現在の構成をクラウドに送信しました [FAS ID: {0}] [トランザクションID: {1}]
[S006] FASは現在の構成をクラウドに送信できませんでした [FAS ID: {0}] [トランザクションID: {1}] [例外: {2}]
[S007] FASはクラウドから登録解除されました [FAS ID: {0}] [トランザクションID: {1}]
[S009] FASはクラウドからの登録解除に失敗しました [FAS ID: {0}] [トランザクションID: {1}] [例外: {2}]
[S010] FASサービスはクラウドメッセージングURL: {0} に接続されています
[S011] FASサービスはクラウドに接続されていません
[S012] FASサービスはCitrix Cloudからのシングルサインオンに利用可能です
[S013] FASサービスはCitrix Cloudからのシングルサインオンに利用できません。[{0}] 詳細については、管理コンソールで確認できます
[S014] クラウドサービス <service name> への呼び出しに失敗しました [FAS ID: {0}] [トランザクションID: {1}] [例外: {2}]
[S015] 呼び出し元が許可されていないため、Citrix Cloudからのメッセージがブロックされました [メッセージID {0}] [トランザクションID {1}] [呼び出し元 {2}]
[S016] クラウドサービス <service name> への呼び出しが成功しました [FAS ID: {0}] [トランザクションID: {1}]
[S019] FASがクラウドから構成をダウンロードしました [FAS ID: {0}] [トランザクション ID: {1}]
[S020] FASがクラウドからの構成のダウンロードに失敗しました [FAS ID: {0}] [トランザクション ID: {1}] [例外: {2}]
[S021] クラウドサポートモジュールの起動に失敗しました。例外: {0}
[S022] クラウドサポートモジュールを停止しています
[S023] Citrix Cloud認証キーのローテーションに失敗しました [FAS ID: {0}] [現在のキー ID:{1}] [新しいキー ID:{2}] [クラウド内のキー:{3}]
[S024] Citrix Cloud認証キーのローテーションを開始しています [FAS ID: {0}] [現在のキー ID:{1}] [新しいキー ID:{2}]
[S025] このサービスの認証キーはCitrix Cloudに存在します [現在のキー: {0}] [クラウド内のキー: {1}]
[S026] このサービスの認証キーはCitrix Cloudに存在しません [現在のキー: {0}] [クラウド内のキー: {1}]
[S027] Citrix Cloud認証キーのストレージ形式をアップグレードしました [FAS ID: {0}]
[S028] FASが現在のテレメトリをクラウドに送信しました [FAS ID: {0}] [トランザクション ID: {1}]
[S029] FASが現在のテレメトリをクラウドに送信できませんでした [FAS ID: {0}] [トランザクション ID: {1}] [例外: {2}]

ログオン [VDA]

[イベントソース: Citrix.Authentication.IdentityAssertion]

これらのイベントは、ログオン段階中にVDA上でログに記録されます。

ログコード
[S101] IDアサーションログオンに失敗しました。認識されないフェデレーション認証サービス [ID: {0}]
[S102] IDアサーションログオンに失敗しました。{0}のSIDルックアップに失敗しました [例外: {1}{2}]
[S103] IDアサーションログオンに失敗しました。ユーザー{0}のSIDは{1}ですが、期待されるSIDは{2}でした
[S104] IDアサーションログオンに失敗しました。{0}への呼び出しが [エラー: {1} {2}] を返しました
[S105] IDアサーションログオン。ログオン中 [ユーザー名: {0} ドメイン: {1}]
[S106] IDアサーションログオン。

フェデレーション認証サービス: {0}

ログオン中 [証明書: {1}]  
  [S107] IDアサーションログオンに失敗しました。 [例外: {0}{1}]
  [S108] IDアサーションサブシステム。アクセス拒否 [呼び出し元: {0}]

セッション内証明書 [VDA]

[イベントソース: Citrix.Authentication.IdentityAssertion]

これらのイベントは、ユーザーがセッション内証明書の使用を試みたときにVDA上でログに記録されます。

ログコード
[S201] 仮想スマートカードアクセスは[{0}]によって承認されました [PID: {1} プログラム名: {2}証明書のサムプリント: {3}]
[S203] 仮想スマートカードサブシステム。アクセス拒否 [呼び出し元: {0}, セッション {1}]
[S204] 仮想スマートカードサブシステム。スマートカードサポートが無効になっています

証明書要求とキーペア生成 [フェデレーション認証サービス]

[イベントソース: Citrix.Fas.PkiCore]

これらのイベントは、FASサーバーが低レベルの暗号化操作を実行したときにログに記録されます。

ログコード
[S001] TrustArea::TrustArea: 証明書をインストールしました [トラストエリア: {0} 証明書 {1}トラストエリア結合パラメーター {2}]
[S014] Pkcs10Request::Create: PKCS10要求を作成しました [識別名: {0}] [理由: {1}]
[S016] PrivateKey::Create [識別子: {0}] [マシン全体: {1}] [プロバイダー: {2}] [プロバイダータイプ: {3}] [楕円曲線: {4}] [キー長: {5}] [エクスポート可能: {6}] [作成理由: {7}]
[S017] PrivateKey::Delete [プロバイダー: {0}] [識別子 {1}]
[S018] PrivateKey::Createに失敗しました [識別子: {0}] [マシン全体: {1}] [プロバイダー: {2}] [プロバイダータイプ: {3}] [楕円曲線: {4}] [キー長: {5}] [エクスポート可能: {6}] [作成理由: {7}] [例外: {8}]
ログコード
[S104] MicrosoftCertificateAuthority::GetCredentials: {0}を使用する権限が付与されました
[S105] MicrosoftCertificateAuthority::SubmitCertificateRequest 応答の送信エラー [{0}]
[S106] MicrosoftCertificateAuthority::SubmitCertificateRequest 証明書を発行しました [{0}]
[S112] MicrosoftCertificateAuthority::SubmitCertificateRequest - 承認待ち [CR_DISP_UNDER_SUBMISSION] [参照: {0}]

エンドユーザーのエラーメッセージ

このセクションでは、Windowsログオンページでユーザーに表示される一般的なエラーメッセージを一覧表示します。

表示されるエラーメッセージ 説明と参照
無効なユーザー名またはパスワード コンピューターは有効な証明書と秘密キーを持っていると認識していますが、Kerberosドメインコントローラーが接続を拒否しました。この記事の「Kerberosログ」セクションを参照してください。
システムはログオンできませんでした。資格情報を検証できませんでした。 / 要求はサポートされていません ドメインコントローラーに接続できません。または、ドメインコントローラーがスマートカード認証をサポートする証明書で構成されていません。ドメインコントローラーに「Kerberos認証」、「ドメインコントローラー認証」、または「ドメインコントローラー」証明書を登録してください。既存の証明書が有効に見える場合でも、これを試す価値はあります。
システムはログオンできない可能性があります。認証に使用されたスマートカード証明書は信頼されていませんでした。 中間証明書とルート証明書がローカルコンピューターにインストールされていません。「証明書と公開キーインフラストラクチャ」を参照してください。
不正な要求 これは通常、証明書の拡張機能が正しく設定されていないか、RSAキーが短すぎる (<2048ビット) ことを示します。

関連情報

Windowsログオンの問題のトラブルシューティング
April 28, 2026
寄稿者: 
C C
April 28, 2026
寄稿者: 
C C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.