プライベートキーの保護

はじめに

FAS証明書は、FASサーバー上の組み込みデータベースに保存されます。FAS証明書に関連付けられたプライベートキーは、FASサーバーのネットワークサービスアカウントの下に保存されます。デフォルトでは、キーはエクスポート不可の2048ビットRSAであり、Microsoft Software Key Storage Providerで作成および保存されます。

FAS PowerShellコマンド（PowerShellコマンドレット）を使用すると、プライベートキーのプロパティと保存場所を変更できます。

注:

FASの構成と証明書は、FASサーバーにローカルに保存されます。データはFASサーバー間で共有されません。

Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、プライベートキーのプロパティは、%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.configにあるXMLファイルを編集することで構成されていました。 これはPowerShellコマンドに置き換えられ、より柔軟性があり、FASサーバーを再起動せずに適用できます。 さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。 したがって、以下の設定に対するXMLファイルを使用した構成はサポートされなくなりました。

• Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyProtection
• Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderLegacyCsp
• Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderName
• Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.ProviderType
• Citrix.TrustFabric.ClientSDK.TrustAreaJoinParameters.KeyLength

「Citrix Virtual Apps and Desktops™ 2411より前のFASバージョンからのアップグレード」のセクションを参照してください。

FAS証明書とテンプレートに関する情報

FASが保持する証明書には、通常1つのインスタンスである承認証明書と、ユーザー証明書の2種類があります。

• 注:

• FAS承認証明書は、登録機関または要求エージェント（RA）証明書とも呼ばれることがあります。

• FASは、次のセクションで説明するように、証明書を要求する際に証明書テンプレートを使用します。FASは証明書要求でテンプレート名を指定しますが、テンプレートの内容は読み取りません。したがって、テンプレートの設定を変更しても、FASが行う証明書要求には影響しません。テンプレートの特定のプロパティを変更すると、CAによって生成される証明書に影響します。たとえば、テンプレートを使用して有効期間を変更できます。

FAS承認証明書

この証明書は、FASを構成するときに作成されます。FAS管理コンソールの承認または再承認ボタンを使用して、新しい承認証明書を要求できます。

より柔軟性を提供するPowerShellコマンドを使用することも可能です。

• New-FasAuthorizationCertificate: このコマンドはFAS管理コンソールと同様に動作しますが、承認プロセスで使用する証明書テンプレートを指定できる点が異なります。
• New-FasAuthorizationCertificateRequest: このコマンドは、承認証明書のオフライン要求を作成します。オフライン承認。

承認証明書は、FASが登録機関として、つまりユーザーに代わって証明書を要求するため、RA証明書とも呼ばれます。この証明書には、FASユーザー証明書を要求する際の承認資格情報として使用できる拡張キー使用法証明書要求エージェントがあります。

• デフォルトでは、承認プロセスは以下のテンプレートを使用します。

• Citrix_RegistrationAuthority_ManualAuthorization: このテンプレートを使用して作成された証明書は一時的で短命であり、承認プロセスをブートストラップするために使用されます。
• Citrix_RegistrationAuthority: このテンプレートを使用して作成された証明書は有効期間が長く、FASサーバーによって保存されます。

FASを承認すると、以下の手順が実行されます。

1. FASはキーペアを作成し、キーペアの公開キーとテンプレートCitrix_RegistrationAuthority_ManualAuthorizationを指定して、証明書署名要求（CSR）をCAに送信します。

2. テンプレートの発行要件では、CSRがCA管理者によって手動で承認される必要があると指定されています。

• 1. CA管理者がCSRを承認すると、CAはFASが取得する証明書を作成します。この証明書は有効期間が1日と短く、次のステップでのみ使用されます。使用後、FASはその証明書とキーペアを破棄します。

1. FASは別のキーペアを作成し、このキーペアの公開キーとテンプレートCitrix_RegistrationAuthorityを指定して、2番目のCSRをCAに送信します。この要求は、前のステップの証明書によって承認および署名されます。

2. CAは自動的に証明書を発行し、FASは証明書を取得し、FASは承認済みになります。デフォルトでは、この承認証明書の有効期間は2年間です。

前述のキーペアを作成するために使用される設定は、このPowerShellコマンドを使用して表示できます。

Get-FasKeyConfig -Address localhost -CertificateType ra

FASユーザー証明書

FASは、ユーザーをVDAにサインインさせるためにユーザー証明書を作成します。

FASがユーザー証明書を作成すると、以下の手順が実行されます。

• FASはキーペアを作成し、キーペアの公開キー、ユーザーのID、およびデフォルトでテンプレートCitrix_SmartcardLogon（使用されるテンプレートは構成可能）を指定して、CSRをCAに送信します。
• CSRはFAS承認証明書を使用して署名されます。
• Citrix_SmartcardLogonテンプレートには、発行要件Application Policy: Certificate Request Agentがあります。この属性がFAS承認証明書に存在するため、CAはユーザー証明書を自動的に発行します。
• FASは証明書を取得し、FASサーバー上の組み込みデータベースに保存します。

• デフォルトでは、証明書の有効期間は1週間です。

• その後、ユーザー証明書はユーザーをサインインさせるためにVDAで利用可能になります。

• 前述のキーペアを作成するために使用される設定は、以下のPowerShellコマンドを使用して表示できます。

Get-FasKeyConfig -Address localhost -CertificateType user

秘密キーの保存オプション

FASは、キーペアを作成および保存するために、次の3つのストレージカテゴリに構成できます。

• ソフトウェア: 通常、Microsoft Software Key Storage Providerを使用します。これはソフトウェアのみで保護され、データはディスクに保存されます。
• Trusted Platform Module (TPM): TPMは、コンピューター上の物理ハードウェアであるか、ハイパーバイザーによって提供される仮想TPMである場合があります。
• Hardware Security Module (HSM): これは、暗号化キーを安全に保存するように設計されたハードウェア周辺機器またはネットワークデバイスです。

注:

考慮すべきトレードオフがあります。ハードウェアストレージはより安全である可能性がありますが、特に多数のユーザー証明書キーペアを作成および保存する場合、パフォーマンスが低下することがよくあります。

FAS承認証明書に関連付けられた秘密キーは特に機密性が高く、証明書のポリシーにより、秘密キーを所有する者は誰でも、任意のユーザーの証明書要求を承認できます。結果として、このキーを制御する者は誰でも、任意のユーザーとして環境に接続できます。

注:

Microsoft CAは、証明書を発行できるユーザーのセットを含め、FAS承認証明書の権限を制限するように構成できます。委任された登録エージェントを参照してください。

このため、FASでは、承認証明書とユーザー証明書の秘密キープロパティを個別に構成できます。

一般的な構成を次に示します。

注:

ハードウェアTPMはユーザーキーには推奨されません。承認証明書キーにのみTPMを使用してください。FASサーバーを仮想化環境で実行する予定がある場合は、ハイパーバイザーベンダーにTPM仮想化がサポートされているか確認してください。

キー構成のPowerShellコマンド

秘密キーの構成に関連するコマンドは次のとおりです。

• Get-FasKeyConfig
• Set-FasKeyConfig
• Reset-FasKeyConfig
• Test-FasKeyConfig

詳細については、PowerShellコマンドレットを参照してください。

承認証明書とユーザー証明書のキー構成は独立しており、CertificateType引数によって指定されます。たとえば、承認証明書（RA証明書）を要求するときに使用される秘密キー構成を取得するには、次のようにします。

Get-FasKeyConfig -Address localhost -CertificateType ra

ユーザー証明書を要求するときに使用される秘密キー構成を取得するには、次のようにします。

Get-FasKeyConfig -Address localhost -CertificateType user

Set-FasKeyConfigとGet-FasKeyConfigを使用して、次の秘密キープロパティを設定および検査できます。

さらに、Set-FasKeyConfigは、便宜のために次のスイッチとともに使用できます。

Microsoft Software Key Storage Providerは、通常、ディスク上にキーを作成および保存するために使用されるプロバイダーです。

Microsoft Platform Crypto Providerは、通常、TPMにキーを作成および保存するために使用されるプロバイダーです。

• Get-FasKeyConfigは、使用されているプロバイダーとアルゴリズムを確認するのに役立つフィールドも提供します。

Reset-FasKeyConfigを使用して設定をデフォルトに戻すことができます。

Reset-FasKeyConfig -Address localhost -CertificateType ra
Reset-FasKeyConfig -Address localhost -CertificateType user
<!--NeedCopy-->

注:

秘密キー構成（Set-FasKeyConfigまたはReset-FasKeyConfigを使用）への変更は、新しく作成された証明書にすぐに適用されます。ただし、異なる構成を持つ既存の承認証明書およびユーザー証明書には影響しません。

既存の証明書は、管理コンソールからFASサービスを非承認にするか、FASの非承認とFAS証明書の削除のPowerShellコマンドを使用して削除できます。

現在のユーザーキー構成に準拠しないキープール内の事前生成されたキーはすべて破棄されます。

構成シナリオの例

各例では、既存の証明書は構成変更の影響を受けないため、FASサービスを承認する前に提供されたPowerShellを使用してキー構成を設定してください。

誤ったキー構成の承認証明書またはユーザー証明書が既にある場合は、FAS証明書の検査 および FASの承認解除とFAS証明書の削除 を行うことで、それらを削除できます。

FASサーバーがライブ展開環境にある場合は、構成変更を行う間、メンテナンスモード にすることを検討してください。

例1 - すべてのキーをMicrosoftソフトウェアキー記憶プロバイダーに保存

これはデフォルトであるため、追加の構成は必要ありません。

以前にキー構成を変更したことがある場合は、次のコマンドを使用して、Microsoft Software Key Storage Provider の使用に戻すことができます。

Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultSoftwareProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider
<!--NeedCopy-->

Reset-FasKeyConfig を使用して、Microsoft Software Key Storage Provider に戻し、さらに他のすべてのキー構成設定をデフォルトに復元できます。

例2 - 承認証明書キーをTPMに保存

この例では、FAS承認証明書キーをTPM（物理または仮想）に保存し、ユーザー証明書キーはMicrosoft Software Key Storage Providerに保存する方法を示します。

FASはTPMで保護されたキーを持つユーザー証明書を生成できますが、大規模な展開では、TPMハードウェアが遅すぎたり、サイズが制約されたりする可能性があります。

次のPowerShellコマンドを使用します。

Set-FasKeyConfig -Address localhost -CertificateType ra -UseDefaultTpmProvider
Set-FasKeyConfig -Address localhost -CertificateType user -UseDefaultSoftwareProvider
<!--NeedCopy-->

例3 - すべてのキーをHSMに保存

この例では、HSMを使用して承認証明書とユーザー証明書の両方の秘密キーを保存する方法を示します。この例は、構成済みのHSMを前提としています。HSMにはプロバイダー名があります。たとえば、HSM Vendor Key Storage Providerなどです。

次のPowerShellコマンドを使用します（例のテキストをHSMのプロバイダーの実際の名前で置き換えてください）。

-  Set-FasKeyConfig -Address localhost -CertificateType ra -Provider "HSM Vendor Key Storage Provider"
-  Set-FasKeyConfig -Address localhost -CertificateType user -Provider "HSM Vendor Key Storage Provider"
<!--NeedCopy-->

• 例4 - 楕円曲線キーの使用

デフォルトでは、FASはRSAキーを生成します。この例では、承認証明書とユーザー証明書の両方に楕円曲線（ECC）キーが構成されています。

この例では、異なるキー長を使用しています。承認証明書は384ビットキーで構成されており、ユーザー証明書は256ビットキーで構成されています。

-  Set-FasKeyConfig -Address localhost -CertificateType ra -EllipticCurve $true -Length 384
Set-FasKeyConfig -Address localhost -CertificateType user -EllipticCurve $true -Length 256
<!--NeedCopy-->

この時点では、FAS証明書テンプレートの最小キーサイズがデフォルトで1024ビットに設定されているため、承認およびユーザー証明書要求はCAによって拒否される可能性があります。

• したがって、この例では、テンプレートの最小キーサイズを次のように変更する必要があります。

• Citrix_RegistrationAuthority_ManualAuthorization および Citrix_RegistrationAuthority: 最小キーサイズを384（またはそれ以下）に変更
• Citrix_SmartcardLogon: 最小キーサイズを256（またはそれ以下）に変更

テンプレートを編集するには、mmc.exe を実行し、証明書テンプレートスナップインを追加します。テンプレートを見つけて、そのプロパティを開きます。最小キーサイズの設定は、テンプレートのプロパティの暗号化タブにあります。

注：

• ECCキーを持つユーザー証明書は、Citrix Virtual Apps and Desktops 2411以降を実行しているWindows VDAでのみサポートされます。

• ECCキーはLinux VDAではサポートされていません。

秘密キー構成のテスト

Set-FasKeyConfig コマンドはいくつかの検証を行いますが、無効なキー構成を設定することは依然として可能です。たとえば、HSMのプロバイダー名に誤りがある場合や、指定したキー長がハードウェアでサポートされていない場合があります。

Test-FasKeyConfig コマンドが役立ちます。これは、現在のキー構成を使用してキーペアを作成しようとし、成功または失敗を報告します。失敗が発生した場合は、失敗理由の表示が提供されます。成功した場合は、キーペアはすぐに破棄されます。

次のPowerShellコマンドは、承認およびユーザーキー構成をそれぞれテストします。

-  Test-FasKeyConfig -Address localhost -CertificateType ra
-  Test-FasKeyConfig -Address localhost -CertificateType user
<!--NeedCopy-->

FASサーバーを承認し、ルールを作成したら、さらに、ユーザー証明書のテストCSRを次のように作成できます。

Test-FasCertificateSigningRequest -Address localhost -UserPrincipalName user@example.com -Rule default

<<user@example.com>/> を、Active Directory展開環境の実際のUPNに置き換えます。FASルールは通常 default という名前ですが、設定済みの別のルールをテストしたい場合は、その名前を指定してください。

CSRが成功した場合、FASは結果の証明書を破棄します。

FAS証明書の検査

PowerShellを使用して、証明書のプロパティを検査し、関連する秘密キーがどこに保存されているかを判断できます。

認証証明書の検査

FAS管理コンソールの authorization certificate リンクをクリックすると、認証証明書を確認できます。

ただし、より詳細な情報についてはPowerShellを使用してください。

Get-FasAuthorizationCertificate -Address localhost -FullCertInfo

PrivateKeyProvider を含むいくつかのフィールドが返されます。これには、証明書が作成され保存されたプロバイダーの表示が含まれます。

ユーザー証明書の検査

FASサーバーにキャッシュされているすべてのユーザー証明書のリストを次のように取得できます。

Get-FasUserCertificate -Address localhost -KeyInfo $true

KeyInfo パラメーターを指定すると、出力に証明書に関連付けられた秘密キーに関する詳細情報が含まれます。特に、PrivateKeyProvider フィールドは、証明書に関連付けられたキーペアがどこに保存されているかを示します（この値の解釈については、前のセクションを参照してください）。

-UserPrincipalName などのさまざまなオプションパラメーターを使用して、返される証明書のセットをフィルター処理できます。

コマンド出力の証明書フィールドは、PEMエンコードされたユーザー証明書です。テキストを .crt ファイルにコピーして、Windows証明書GUIを使用して次のように証明書を表示します。

Citrix Virtual Apps and Desktops 2411より前のFASバージョンからのアップグレード

Citrix Virtual Apps and Desktops 2411より前のFASリリースでは、秘密キーのプロパティは次のXMLファイルを編集して構成されていました。

%programfiles%\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe.config
<!--NeedCopy-->

これは、このドキュメントで説明されているPowerShellコマンドに置き換えられました。これらのコマンドは、より高い柔軟性を提供し、FASサーバーを再起動せずに適用できます。

さらに、XMLファイルの設定とは異なり、PowerShellを使用して行われた構成は、FASサーバーがアップグレードされても保持されます。

秘密キー構成に関連するXMLファイルの設定は、対応するPowerShellパラメーター（Get-FasKeyConfig および Set-FasKeyConfig で使用）とともに次のようにリストされています。

XML構成のデフォルトとPowerShellのデフォルトは機能的に同等です。つまり、デフォルトでは、このバージョンおよびCitrix Virtual Apps and Desktops 2411より前のバージョンでFASによって生成されるキーペアのプロパティは同じです。

したがって、XML構成ファイルで上記のいずれの設定も変更していない場合は、FASのアップグレード時に何もアクションを実行する必要はありません。

ただし、上記のいずれかの設定を変更した場合は、次のようにFASをアップグレードしてください。

• FASをメンテナンスモードにします。メンテナンスモード
• FASインストーラーを実行するだけで、FASを インプレース でアップグレードします。アップグレード後、以前の設定はXMLファイルには存在せず、XMLファイルで構成することはできません。
• キー構成PowerShellコマンド で説明されているように、PowerShellコマンド Set-FasKeyConfig を使用して、FAS秘密キー構成を必要に応じて設定します。認証証明書とユーザー証明書に必要な設定を考慮してください。
• 秘密キー構成のテスト で説明されているように、構成をテストします。
• FASサーバーをメンテナンスモードから解除します。

次回アップグレードするときは、FAS秘密キー構成設定が保持されるため、特別なアクションを実行する必要はありません。

暗号リモート処理

FASユーザー証明書に関連付けられた秘密キーがVDAに転送されることはありません。代わりに、VDAがユーザーのFAS証明書を、VDAへのサインインまたはセッション内での使用のために必要とする場合、暗号化要求はFASサーバーにリモート処理されます。これにより、秘密キーがFASキー格納場所（ソフトウェアストレージ、TPM、またはHSMのいずれであっても）から離れることがないため、セキュリティが向上します。

Windows VDAでは、これはVDA上のプロバイダーのペアを使用することで実現されます。暗号化要求を行うアプリケーションまたはオペレーティングシステムコードは、その操作がFASサーバーにリモート処理されていることを認識しません。

Citrix Virtual Apps and Desktops 2411より前は、プロバイダーは暗号化サービスプロバイダー（CSP）であり、アプリケーションおよびオペレーティングシステムコードのアクセスは、古いWindows CAPI APIを介して行われていました。プロバイダーは次のとおりでした。

• CitrixLogonCsp.dll: VDAへのシングルサインオン用
• CitrixVirtualSmartcardCsp.dll: セッション内証明書用

Citrix Virtual Apps and Desktops 2411以降、追加のキー格納プロバイダー（KSP）がVDAに提供されます。アプリケーションおよびオペレーションシステムコードは、新しいWindows CNG APIを使用してこれらにアクセスします。新しいプロバイダーは次のとおりです。

• CitrixLogonKsp.dll: VDAへのシングルサインオン用
• CitrixVirtualSmartcardKsp.dll: セッション内証明書用

KSPは、Windowsアプリケーションに暗号化操作を公開するより最新の方法であり、より多くの機能を提供します。例：

• ECCキーを持つ証明書がサポートされます
• 確率的署名スキーム（PSS）パディングがサポートされます

FASとVDAの両方がCitrix Virtual Apps and Desktops 2411以降を実行している場合、KSPリモート処理（つまり、新しいKSPを介したリモート処理）が使用されます。それ以外の場合、システムはリモート処理に古いCSPを使用するようにフォールバックします。

KSPリモート処理の無効化

互換性の問題が発生した場合、古いCSPリモート処理を常に使用できるように、KSPリモート処理を無効にすることができます。

次のPowerShellを使用します。

Set-FasServer -Address localhost -KspRemoting $false

メンテナンスモード

稼働中の FASサーバーの構成に変更を加える際は、メンテナンスモードにすることを検討してください。

FASがメンテナンスモードの場合、次のことが当てはまります。

• WorkspaceまたはStoreFront™が公開アプリケーションまたはデスクトップの起動シーケンスの一部としてFASを呼び出すと、FASはメンテナンスモードであることを示します。呼び出し元は、別のFASサーバーを選択することでこれに対応する必要があります。
• 追加の予防措置として、FASはメンテナンスモード中にユーザー証明書の自動作成を許可しません。これにより、意図しない設定でユーザー証明書が誤って作成されることを防ぎます。
• ただし、VDAサインインやセッション内での使用など、既存のユーザー証明書に関するアクティビティは引き続き許可されます。

ユーザー証明書の自動作成は許可されていませんが、管理者はNew-FasUserCertificateやTest-FasCertificateSigningRequestなどのPowerShellコマンドを使用してユーザー証明書を作成できます。

管理コンソールの使用

PowerShellの使用

FASサーバーをメンテナンスモードにするには、次のようにします。

Set-FasServer -Address localhost -MaintenanceMode $true

FASサーバーをメンテナンスモードから解除し（通常の操作に戻す）、次のようにします。

Set-FasServer -Address localhost -MaintenanceMode $false

関連情報

• インストールと構成は、FASのインストールと構成に関する主要なリファレンスです。
• 一般的なFAS展開は、Federated Authentication Servicesアーキテクチャの概要の記事にまとめられています。
• その他のハウツー記事は、高度な構成の記事で紹介されています。