Windows ログオンの問題のトラブルシューティング

この記事では、ユーザーが証明書またはスマートカード、あるいはその両方を使用してログオンする際に Windows が提供するログとエラーメッセージについて説明します。これらのログは、認証の失敗をトラブルシューティングするために使用できる情報を提供します。

• 証明書と公開鍵インフラストラクチャ

• Windows Active Directory は、ログオンするユーザーの証明書を管理する複数の証明書ストアを保持しています。

• NTAuth 証明書ストア: Windows に認証するには、ユーザー証明書を直接発行する証明機関（つまり、チェーンはサポートされていません）が NTAuth ストアに配置されている必要があります。これらの証明書を表示するには、certutil プログラムから次のように入力します: certutil –viewstore –enterprise NTAuth
• ルートおよび中間証明書ストア: 通常、証明書ログオンシステムは単一の証明書しか提供できないため、チェーンが使用されている場合、すべての中間証明書ストアにはこれらの証明書が含まれている必要があります。ルート証明書は信頼されたルートストアに、そして最後から2番目の証明書はNTAuthストアにある必要があります。
• ログオン証明書拡張機能とグループポリシー: Windows は、EKU およびその他の証明書ポリシーの検証を強制するように構成できます。詳細については、Microsoft ドキュメントを参照してください: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)。

• AllowSignatureOnlyKeys	デフォルトでは、Windows は RSA 復号化を許可しない証明書の秘密鍵を除外します。このオプションはそのフィルターを上書きします。
  AllowTimeInvalidCertificates	デフォルトでは、Windows は期限切れの証明書を除外します。このオプションはそのフィルターを上書きします。
  EnumerateECCCerts	楕円曲線認証を有効にします。
  X509HintsNeeded	証明書に一意のユーザープリンシパル名 (UPN) が含まれていない場合、または曖昧な場合、このオプションを使用すると、ユーザーは Windows ログオンアカウントを手動で指定できます。
  UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors	失効チェックを無効にします (ドメインコントローラーで設定)。

  • ドメインコントローラー証明書: Kerberos 接続を認証するには、すべてのサーバーに適切な「ドメインコントローラー」証明書が必要です。これらは、「ローカルコンピューター証明書個人ストア」MMC スナップインメニューを使用して要求できます。

UPN 名と証明書マッピング

ユーザー証明書には、サブジェクト代替名拡張機能に一意のユーザープリンシパル名 (UPN) を含めることを推奨します。

Active Directory の UPN 名

デフォルトでは、Active Directory のすべてのユーザーは、パターン <samUsername>@<domainNetBios> および <samUsername>@<domainFQDN> に基づく暗黙的な UPN を持っています。利用可能なドメインと FQDN は、フォレストの RootDSE エントリに含まれています。単一のドメインは、RootDSE に複数の FQDN アドレスを登録できます。

また、Active Directory のすべてのユーザーは、明示的な UPN と altUserPrincipalNames を持っています。これらは、ユーザーの UPN を指定する LDAP エントリです。

UPN でユーザーを検索する場合、Windows はまず現在のドメイン（UPN を検索するプロセスの ID に基づく）で明示的な UPN を探し、次に代替 UPN を探します。一致するものがない場合、暗黙的な UPN を検索し、これはフォレスト内の異なるドメインに解決される可能性があります。

証明書マッピングサービス

証明書に明示的な UPN が含まれていない場合、Active Directory には、各用途の正確な公開証明書を「x509certificate」属性に保存するオプションがあります。このような証明書をユーザーに解決するために、コンピューターはこの属性を直接クエリできます（デフォルトでは単一ドメイン内）。

ユーザーがユーザーアカウントを指定してこの検索を高速化し、この機能をクロスドメイン環境で使用できるようにするオプションが提供されています。

フォレスト内に複数のドメインがあり、ユーザーが明示的にドメインを指定しない場合、Active Directory の rootDSE は証明書マッピングサービスの場所を指定します。これはグローバルカタログマシン上にあり、フォレスト内のすべての x509certificate 属性のキャッシュされたビューを持っています。このコンピューターは、証明書のみに基づいて、任意のドメイン内のユーザーアカウントを効率的に見つけるために使用できます。

ログオンドメインコントローラーの選択制御

複数のドメインコントローラーを含む環境では、認証に使用されるドメインコントローラーを確認し、制限することが有用です。これにより、ログを有効にして取得できます。

ドメインコントローラーの選択を制御

Windowsが特定のWindowsドメインコントローラーをログオンに使用するように強制するには、lmhostsファイル（\Windows\System32\drivers\etc\lmhosts）を構成することによって、Windowsマシンが使用するドメインコントローラーのリストを明示的に設定できます。

通常、その場所に「lmhosts.sam」という名前のサンプルファイルがあります。次の行を含めるだけです。

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

「1.2.3.4」は、mydomainドメイン内のdcnetbiosnameという名前のドメインコントローラーのIPアドレスです。

再起動後、Windowsマシンはその情報を使用してmydomainにログオンします。この構成は、デバッグが完了したら元に戻す必要があります。

使用中のドメインコントローラーの特定

ログオン時に、Windowsはユーザーをログオンさせたドメインコントローラーを含むMSDOS環境変数を設定します。これを確認するには、コマンドプロンプトをコマンド **echo %LOGONSERVER%** で起動します。

認証に関連するログは、このコマンドによって返されるコンピューターに保存されます。

アカウント監査イベントの有効化

デフォルトでは、Windowsドメインコントローラーは完全なアカウント監査ログを有効にしません。これは、グループポリシーエディターのセキュリティ設定にある監査ポリシーを通じて制御できます。グループポリシーエディターを開くには、ドメインコントローラーで gpedit.msc を実行します。監査ポリシーが有効になると、ドメインコントローラーはセキュリティログに追加のイベントログ情報を生成します。

証明書検証ログ

証明書の有効性の確認

-  スマートカード証明書がDER証明書としてエクスポートされた場合（秘密鍵は不要）、コマンド `certutil –verify user.cer` で検証できます。

-  ### CAPIログの有効化

ドメインコントローラーとユーザーのマシンで、イベントビューアーを開き、Microsoft/Windows/CAPI2/Operational Logsのログを有効にします。

• ドメインコントローラーとVDAマシンで、イベントビューアーを開き、[アプリケーションとサービスログ] > [Microsoft] > [Windows] > [CAPI2] > [Operational] の順に移動します。[Operational] を右クリックし、[ログの有効化] を選択します。

• さらに、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32 のレジストリ値を使用してCAPIログを微調整します。以下の値はデフォルトでは存在しません。これらを作成する必要があります。デフォルトのCAPI2ログ設定に戻す場合は、これらの値を削除してください。

CAPIログ

エラーメッセージ

Kerberosログ

Kerberosログを有効にするには、ドメインコントローラーとエンドユーザーマシンで、次のレジストリ値を作成します。

Kerberosログはシステムイベントログに出力されます。

• 信頼されていない証明書などのメッセージは、診断しやすい必要があります。
• 2つのエラーコードは情報提供であり、安全に無視できます。
  • KDC_ERR_PREAUTH_REQUIRED (古いドメインコントローラーとの下位互換性のために使用されます)
  • 不明なエラー 0x4b

ドメインコントローラーとワークステーションのログ

このセクションでは、ユーザーが証明書でログオンしたときに、ドメインコントローラーとワークステーションで予想されるログエントリについて説明します。

• ドメインコントローラーCAPI2ログ
• ドメインコントローラーセキュリティログ
• 仮想デリバリーエージェント (VDA) セキュリティログ
• VDA CAPIログ
• VDAシステムログ

ドメインコントローラーCAPI2ログ

ログオン中に、ドメインコントローラーは呼び出し元の証明書を検証し、次の形式で一連のログエントリを生成します。

最終的なイベントログメッセージは、ドメインコントローラー上のlsass.exeがVDAによって提供された証明書に基づいてチェーンを構築し、その有効性（失効を含む）を検証していることを示しています。結果は「ERROR_SUCCESS」として返されます。

ドメインコントローラーセキュリティログ

ドメインコントローラーは一連のログオンイベントを示しており、主要なイベントは4768です。このイベントでは、証明書がKerberosチケット保証チケット (krbtgt) の発行に使用されます。

これより前のメッセージは、サーバーのマシンアカウントがドメインコントローラーに対して認証を行っていることを示しています。これに続くメッセージは、新しいkrbtgtに属するユーザーアカウントがドメインコントローラーに対して認証するために使用されていることを示しています。

VDAセキュリティログ

ログオンイベントに対応するVDAセキュリティ監査ログは、winlogon.exeを起点とするイベントID 4648のエントリです。

VDA CAPIログ

このVDA CAPIログの例は、lsass.exeからの単一のチェーン構築および検証シーケンスを示しており、ドメインコントローラー証明書 (dc.citrixtest.net) を検証しています。

VDAシステムログ

Kerberosロギングが有効になっている場合、システムログにはエラー KDC_ERR_PREAUTH_REQUIRED (無視可能) と、Kerberosログオンが成功したことを示すWindowsログオンからのエントリが表示されます。

Windowsイベントログを使用したFASの監視

すべてのFASイベントは、Windowsのアプリケーションイベントログに書き込まれます。System Center Operations Manager (SCOM) などの製品を使用して、ここで説明されているプロセスとイベントを利用してFASサービスの健全性を監視できます。

FASサービスは実行中か

FASサービスが実行中であるかどうかを確認するには、Citrix.Authentication.FederatedAuthenticationService.exeプロセスを監視します。

このセクションでは、FASサービスを監視するための最も重要なイベントのみを説明します。FASイベントコードの完全なリストについては、「FASイベントログ」を参照してください。

FASヘルスイベント

次のイベントは、FASサービスが正常であるかどうかを示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

クラウド接続FASイベント

Citrix Cloud™でFASを使用している場合、次のイベントはFASサービスが正常であるかどうかを示します。

イベントソースは Citrix.Fas.Cloud です。

セキュリティイベント

次のイベントは、不正なエンティティがFASを使用しようとしたことを示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

FASイベントログ

次の表は、FASによって生成されるイベントログエントリを一覧表示します。

管理イベント [Federated Authentication Service]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、FAS サーバーの構成変更に応じてログに記録されます。

ID アサーションの作成 [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、信頼されたサーバーがユーザーログオンをアサートしたときに、FAS サーバーで実行時にログに記録されます。

証明書利用者としての動作 [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、VDA がユーザーをログオンしたときに、FAS サーバーで実行時にログに記録されます。

インセッション証明書サーバー [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、ユーザーがインセッション証明書を使用する際にFASサーバーにログ記録されます。

• ログコード

• [S301] アクセス拒否: ユーザー [{0}] は仮想スマートカードへのアクセス権がありません。

  [S302] ユーザー [{0}] が不明な仮想スマートカードを要求しました [サムプリント: {1}]。

  [S303] アクセス拒否: ユーザー [{0}] は仮想スマートカード [upn: {1}] と一致しません。

  [S304] ユーザー [{0}] がコンピューター [{2}] でプログラム [{1}] を実行し、秘密鍵操作 [{6}] のために仮想スマートカード [upn: {3} 役割: {4} サムプリント: {5}] を使用しています。

  [S305] 秘密鍵操作が失敗しました [操作: {0}] [upn: {1} 役割: {2} containerName {3} エラー {4} {5}]。

FASアサーションプラグイン [フェデレーション認証サービス]

• [イベントソース: Citrix.Authentication.FederatedAuthenticationService]

• これらのイベントは、FASアサーションプラグインによってログに記録されます。

• ログコード
  [S500] FASアサーションプラグインが構成されていません
  [S501] 構成されたFASアサーションプラグインをロードできませんでした [exception:{0}]
  [S502] FASアサーションプラグインがロードされました [pluginId={0}] [assembly={1}] [location={2}]
  [S503] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (ログオン証拠が提供されましたが、プラグイン [{2}] はそれをサポートしていません)
  [S504] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (ログオン証拠が提供されましたが、構成されたFASプラグインがありません)
  [S505] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] はログオン証拠をステータス [{3}] とメッセージ [{4}] で拒否しました)
  [S506] プラグイン [{0}] は、サーバー [{1}] からのUPN [{2}] のログオン証拠をメッセージ [{3}] で受け入れました
  [S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] はメソッド [{4}] の実行中に例外 [{3}] をスローしました)
  [S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] は例外 [{3}] をスローしました)
  [S508] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処理が提供されましたが、プラグイン [{2}] はそれをサポートしていません)
  [S509] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処理が提供されましたが、構成されたFASプラグインがありません)
  [S510] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処理はプラグイン [{2}] によって無効と見なされました)

Workspace対応FAS [フェデレーション認証サービス]

[イベントソース: Citrix.Fas.Cloud]

これらのイベントは、FASがWorkspaceで使用されるときにログに記録されます。

ログオン [VDA]

[イベントソース: Citrix.Authentication.IdentityAssertion]

これらのイベントは、ログオン段階でVDAにログ記録されます。

インセッション証明書 [VDA]

[イベントソース: Citrix.Authentication.IdentityAssertion]

これらのイベントは、ユーザーがインセッション証明書の使用を試行したときにVDAにログ記録されます。

証明書要求とキーペア生成 [フェデレーション認証サービス]

[イベントソース: Citrix.Fas.PkiCore]

これらのイベントは、FASサーバーが低レベルの暗号化操作を実行するときにログ記録されます。

エンドユーザーのエラーメッセージ

このセクションでは、Windowsログオンページにユーザーに表示される一般的なエラーメッセージを一覧表示します。

FASの常時トレース

常時トレースを使用すると、FASはそのアクティビティをファイルシステムにログ記録します。これにより、トラブルシューティングに役立ち、発生したインシデントを再現する必要がなくなる可能性があります。

以下のいずれかの方法でFASをインストールまたはアップグレードすると、常時トレースが有効になります。

• Citrix Virtual Apps and Desktops™インストーラー：ISOが挿入されたときの自動実行スプラッシュ画面にあるFederated Authentication Serviceボタンから
• XenDesktopFasSetup.exe：Citrix Virtual Apps and Desktops ISOのx64\XenDesktop Setup\XenDesktopFasSetup.exeにあります
• FasSetup_xxxx.exe：Citrix Downloadsから入手できるスタンドアロンのFASインストーラーファイルです。

注：

FASインストーラーMSIファイルFederatedAuthenticationService_x64.msiを使用してインストールまたはアップグレードする場合、常時トレースは利用できません。

常時トレースの収集

Citrix Scoutを使用して、FASサーバーから常時トレースおよびその他の診断データを収集します。Citrix Scoutは、前述のいずれかの方法でFASをインストールするとインストールされます。

常時トレースの無効化

何らかの理由で常時トレースを無効にしたい場合は、FASサーバーでCitrix Telemetry Serviceを停止して無効にしてください。

関連情報

• スマートカードログオンのためのドメインの構成
• スマートカードログオンポリシー
• CAPIログの有効化
• Kerberosログの有効化
• サードパーティの認証局を使用したスマートカードログオンを有効にするためのガイドライン