Windowsログオンの問題のトラブルシューティング

この資料では、ユーザーが証明書またはスマートカード、あるいはその両方を使用してログオンする際にWindowsが提供するログとエラーメッセージについて説明します。これらのログは、認証失敗のトラブルシューティングに使用できる情報を提供します。

• 証明書と公開鍵インフラストラクチャ

• Windows Active Directoryは、ログオンするユーザーの証明書を管理する複数の証明書ストアを管理しています。

• NTAuth 証明書ストア: Windowsに認証するには、ユーザー証明書を直接発行する証明機関 (つまり、チェーンはサポートされていません) をNTAuthストアに配置する必要があります。これらの証明書を表示するには、certutilプログラムから次を入力します。certutil –viewstore –enterprise NTAuth
• ルートおよび中間証明書ストア: 通常、証明書ログオンシステムは単一の証明書のみを提供できるため、チェーンが使用されている場合、すべての中間証明書ストアにこれらの証明書を含める必要があります。ルート証明書は信頼されたルートストアにある必要があり、最後から2番目の証明書はNTAuthストアにある必要があります。
• ログオン証明書拡張とグループポリシー: Windowsは、EKUおよびその他の証明書ポリシーの検証を強制するように構成できます。Microsoftのドキュメントを参照してください。https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)。

• AllowSignatureOnlyKeys	デフォルトでは、WindowsはRSA復号化を許可しない証明書の秘密鍵を除外します。このオプションはそのフィルターを上書きします。
  AllowTimeInvalidCertificates	デフォルトでは、Windowsは期限切れの証明書を除外します。このオプションはそのフィルターを上書きします。
  EnumerateECCCerts	楕円曲線認証を有効にします。
  X509HintsNeeded	証明書に一意のユーザープリンシパル名 (UPN) が含まれていない場合、または曖昧な場合、このオプションを使用すると、ユーザーはWindowsログオンアカウントを手動で指定できます。
  UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors	失効チェックを無効にします (ドメインコントローラーで設定)。

  • ドメインコントローラー証明書: Kerberos接続を認証するには、すべてのサーバーは適切な「ドメインコントローラー」証明書を持っている必要があります。これらは、「ローカルコンピューター証明書個人ストア」MMCスナップインメニューを使用して要求できます。

UPN名と証明書マッピング

ユーザー証明書には、サブジェクト代替名拡張に一意のユーザープリンシパル名 (UPN) を含めることを推奨します。

Active DirectoryのUPN名

デフォルトでは、Active Directoryのすべてのユーザーは、パターン\<samUsername>@\<domainNetBios>および\<samUsername>@\<domainFQDN>に基づいた暗黙のUPNを持っています。利用可能なドメインとFQDNは、フォレストのRootDSEエントリに含まれています。単一のドメインは、RootDSEに複数のFQDNアドレスを登録できます。

また、Active Directoryのすべてのユーザーは、明示的なUPNとaltUserPrincipalNamesを持っています。これらは、ユーザーのUPNを指定するLDAPエントリです。

UPNでユーザーを検索する場合、Windowsは最初に現在のドメイン (UPNを検索するプロセスのIDに基づいて) で明示的なUPNを検索し、次に代替UPNを検索します。一致がない場合、暗黙のUPNを検索します。これはフォレスト内の異なるドメインに解決される可能性があります。

証明書マッピングサービス

証明書に明示的なUPNが含まれていない場合、Active Directoryには、各使用に対して正確な公開証明書を「x509certificate」属性に保存するオプションがあります。そのような証明書をユーザーに解決するには、コンピューターはこの属性を直接クエリできます (デフォルトでは、単一ドメインで)。

この検索を高速化し、この機能をクロスドメイン環境で使用することも可能にするために、ユーザーがユーザーアカウントを指定するオプションが提供されています。

フォレスト内に複数のドメインがあり、ユーザーがドメインを明示的に指定しない場合、Active DirectoryのrootDSEは証明書マッピングサービスの場所を指定します。これはグローバルカタログマシンにあり、フォレスト内のすべてのx509certificate属性のキャッシュされたビューを持っています。このコンピューターは、証明書のみに基づいて、任意のドメインでユーザーアカウントを効率的に見つけることができます。

ログオンドメインコントローラーの選択の制御

環境に複数のドメインコントローラーが含まれている場合、ログを有効にして取得できるように、認証に使用されるドメインコントローラーを確認および制限することは有用です。

ドメインコントローラーの選択制御

Windowsが特定のWindowsドメインコントローラーをログオンに使用するように強制するには、lmhostsファイルを構成することで、Windowsマシンが使用するドメインコントローラーのリストを明示的に設定できます。ファイルパスは\Windows\System32\drivers\etc\lmhostsです。

通常、その場所には”lmhosts.sam”という名前のサンプルファイルがあります。以下の行を含めるだけです。

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

ここで、”1.2.3.4”はmydomainドメイン内のdcnetbiosnameという名前のドメインコントローラーのIPアドレスです。

再起動後、Windowsマシンはその情報を使用してmydomainにログオンします。デバッグが完了したら、この構成を元に戻す必要があります。

使用中のドメインコントローラーの特定

ログオン時、Windowsはユーザーをログオンさせたドメインコントローラーを含むMSDOS環境変数を設定します。これを確認するには、コマンドプロンプトを起動し、コマンド**echo %LOGONSERVER%**を実行します。

認証に関連するログは、このコマンドによって返されるコンピューターに保存されます。

アカウント監査イベントの有効化

既定では、Windowsドメインコントローラーは完全なアカウント監査ログを有効にしていません。これは、グループポリシーエディターのセキュリティ設定にある監査ポリシーを通じて制御できます。グループポリシーエディターを開くには、ドメインコントローラーでgpedit.mscを実行します。監査ポリシーが有効になると、ドメインコントローラーはセキュリティログに追加のイベントログ情報を生成します。

証明書検証ログ

証明書の有効性の確認

-  スマートカード証明書がDER証明書としてエクスポートされている場合（秘密キーは不要）、`certutil –verify user.cer`コマンドで検証できます。

-  ### CAPIログの有効化

ドメインコントローラーとユーザーのマシンで、イベントビューアーを開き、Microsoft/Windows/CAPI2/Operational Logsのログを有効にします。

• ドメインコントローラーとVDAマシンで、イベントビューアーを開き、アプリケーションとサービスログ > Microsoft > Windows > CAPI2 > Operationalに移動します。Operationalを右クリックし、ログの有効化を選択します。

• さらに、レジストリ値*HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32*でCAPIログを微調整します。以下の値は既定では存在しません。これらを作成する必要があります。既定のCAPI2ログ設定に戻したい場合は、これらの値を削除してください。

CAPIログ

エラーメッセージ

Kerberosログ

Kerberosログを有効にするには、ドメインコントローラーとエンドユーザーマシンで、次のレジストリ値を作成します。

Kerberosログはシステムイベントログに出力されます。

• 信頼されていない証明書などのメッセージは、診断が容易である必要があります。
• 2つのエラーコードは情報提供であり、安全に無視できます。
  • KDC_ERR_PREAUTH_REQUIRED (古いドメインコントローラーとの下位互換性のために使用されます)
  • 不明なエラー 0x4b

ドメインコントローラーとワークステーションのログ

このセクションでは、ユーザーが証明書でログオンしたときにドメインコントローラーとワークステーションで予想されるログエントリについて説明します。

• ドメインコントローラーCAPI2ログ
• ドメインコントローラーセキュリティログ
• 仮想デリバリーエージェント (VDA) セキュリティログ
• VDA CAPIログ
• VDAシステムログ

ドメインコントローラーCAPI2ログ

ログオン中、ドメインコントローラーは呼び出し元の証明書を検証し、次の形式で一連のログエントリを生成します。

最終的なイベントログメッセージは、ドメインコントローラー上のlsass.exeがVDAによって提供された証明書に基づいてチェーンを構築し、その有効性 (失効を含む) を検証していることを示しています。結果は「ERROR_SUCCESS」として返されます。

ドメインコントローラーセキュリティログ

ドメインコントローラーには一連のログオンイベントが表示され、主要なイベントは4768です。このイベントでは、証明書がKerberosチケット保証チケット (krbtgt) の発行に使用されます。

これより前のメッセージは、サーバーのコンピューターアカウントがドメインコントローラーに対して認証を行っていることを示します。これに続くメッセージは、新しいkrbtgtに属するユーザーアカウントがドメインコントローラーに対して認証を行うために使用されていることを示します。

VDAセキュリティログ

ログオンイベントに対応するVDAセキュリティ監査ログは、winlogon.exeを起点とするイベントID 4648のエントリです。

VDA CAPIログ

このVDA CAPIログの例は、lsass.exeからの単一のチェーン構築および検証シーケンスを示しており、ドメインコントローラー証明書 (dc.citrixtest.net) を検証しています。

VDAシステムログ

Kerberosログ記録が有効になっている場合、システムログにはエラーKDC_ERR_PREAUTH_REQUIRED (これは無視できます) と、Kerberosログオンが成功したことを示すWindowsログオンからのエントリが表示されます。

Windowsイベントログを使用したFASの監視

すべてのFASイベントは、Windowsのアプリケーションイベントログに書き込まれます。System Center Operations Manager (SCOM) などの製品を使用して、ここで説明されているプロセスとイベントを使用してFASサービスの正常性を監視できます。

FASサービスの実行状況

FASサービスが実行中であるかどうかを判断するには、Citrix.Authentication.FederatedAuthenticationService.exeプロセスを監視します。

FASサービスの監視にとって最も重要なイベントのみがこのセクションで説明されています。FASイベントコードの完全なリストについては、「FASイベントログ」を参照してください。

FASの正常性イベント

以下のイベントは、FASサービスの健全性を示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

クラウド接続FASイベント

Citrix Cloud™でFASを使用している場合、以下のイベントはFASサービスの健全性を示します。

イベントソースは Citrix.Fas.Cloud です。

セキュリティイベント

以下のイベントは、未承認のエンティティがFASを使用しようとしたことを示します。

イベントソースは Citrix.Authentication.FederatedAuthenticationService です。

FASイベントログ

以下の表は、FASによって生成されるイベントログエントリの一覧です。

管理イベント [Federated Authentication Service]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントは、FASサーバーでの構成変更に応じてログに記録されます。

ID アサーションの作成 [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

信頼されたサーバーがユーザーログオンをアサートすると、これらのイベントはFASサーバー上で実行時にログに記録されます。

依拠パーティとしての動作 [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

VDAがユーザーをログオンすると、これらのイベントはFASサーバー上で実行時にログに記録されます。

セッション内証明書サーバー [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

• ユーザーがセッション内証明書を使用すると、これらのイベントはFASサーバー上でログに記録されます。

• ログコード
  [S301] アクセス拒否: ユーザー [{0}] は仮想スマートカードにアクセスできません
  [S302] ユーザー [{0}] が不明な仮想スマートカードを要求しました [サムプリント: {1}]
  [S303] アクセス拒否: ユーザー [{0}] は仮想スマートカード [upn: {1}] と一致しません
  [S304] ユーザー [{0}] は、コンピューター [{2}] でプログラム [{1}] を実行し、秘密鍵操作 [{6}] のために仮想スマートカード [upn: {3} ロール: {4} サムプリント: {5}] を使用しています
  [S305] 秘密鍵操作に失敗しました [操作: {0}] [upn: {1} ロール: {2} containerName {3} エラー {4} {5}]

FASアサーションプラグイン [フェデレーション認証サービス]

[イベントソース: Citrix.Authentication.FederatedAuthenticationService]

これらのイベントはFASアサーションプラグインによってログに記録されます。

• [S502] FASアサーションプラグインがロードされました [pluginId={0}] [assembly={1}] [location={2}]

• [S503] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (ログオン証拠が提供されましたが、プラグイン [{2}] はそれをサポートしていません)

• [S504] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (ログオン証拠が提供されましたが、構成されたFASプラグインがありません)

• [S505] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] は、ステータス [{3}] とメッセージ [{4}] でログオン証拠を拒否しました)

• [S506] プラグイン [{0}] は、サーバー [{1}] からのUPN [{2}] のログオン証拠をメッセージ [{3}] で受け入れました

  [S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] はメソッド [{4}] の実行中に例外 [{3}] をスローしました)

  [S507] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (プラグイン [{2}] は例外 [{3}] をスローしました)

  [S508] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処分が提供されましたが、プラグイン [{2}] はそれをサポートしていません)

  [S509] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処分が提供されましたが、構成されたFASプラグインがありません)

  [S510] サーバー [{0}] はUPN [{1}] のアサートに失敗しました (アクセス処分はプラグイン [{2}] によって無効と見なされました)

Workspace対応FAS [フェデレーション認証サービス]

[イベントソース: Citrix.Fas.Cloud]

FASがWorkspaceで使用されると、これらのイベントがログに記録されます。

VDAへのログオン

[イベントソース: Citrix.Authentication.IdentityAssertion]

これらのイベントは、ログオン段階でVDAに記録されます。

フェデレーション認証サービス: {0}

セッション内証明書 [VDA]

[イベントソース: Citrix.Authentication.IdentityAssertion]

これらのイベントは、ユーザーがセッション内証明書を使用しようとしたときにVDAに記録されます。

証明書要求とキーペア生成 [フェデレーション認証サービス]

[イベントソース: Citrix.Fas.PkiCore]

これらのイベントは、FASサーバーが低レベルの暗号化操作を実行したときに記録されます。

エンドユーザーのエラーメッセージ

このセクションでは、Windowsログオンページに表示される一般的なエラーメッセージを一覧表示します。

FAS常時オンのトレース

常時オンのトレースにより、FASはそのアクティビティをファイルシステムに記録します。これはトラブルシューティングに役立ち、発生したインシデントを再現する必要性を排除できる可能性があります。

常時オンのトレースは、以下のいずれかの方法でFASをインストールまたはアップグレードするときに有効になります。

• Citrix Virtual Apps and Desktops™ インストーラー: ISO の挿入時に自動実行スプラッシュスクリーンに表示される Federated Authentication Service ボタンから
• XenDesktopFasSetup.exe: Citrix Virtual Apps and Desktops ISO の x64\XenDesktop Setup\XenDesktopFasSetup.exe にあります
• FasSetup_xxxx.exe: スタンドアロン FAS インストーラーファイル。Citrix Downloads から入手できます。

注:

FAS インストーラー MSI ファイル FederatedAuthenticationService_x64.msi を使用してインストールまたはアップグレードする場合、常時オンのトレースは利用できません。

常時オンのトレースの収集

FAS サーバーから常時オンのトレースおよびその他の診断データを収集するには、Citrix Scout を使用します。Citrix Scout は、上記のいずれかの方法で FAS をインストールするとインストールされます。

常時オンのトレースの無効化

何らかの理由で常時オンのトレースを無効にしたい場合は、FAS サーバーで Citrix Telemetry Service を停止して無効にします。

常時オンのトレースを中央ログサーバーに送信

FAS が常時オンのトレースを中央ログサーバーに送信するように構成するには、FAS サーバーで次の PowerShell コマンドを実行します。

Enable-CitrixAOTUpload -AotDataStoreEndpoint <server address>:<server port> -Role FAS
<!--NeedCopy-->

中央ログサーバーの使用を無効にするには、FAS サーバーで次の PowerShell コマンドを実行します。

Disable-CitrixAOTUpload
<!--NeedCopy-->

関連情報

• スマートカードログオンのドメイン構成
• スマートカードログオンポリシー
• CAPI ログの有効化
• Kerberos ログの有効化
• サードパーティ認証局によるスマートカードログオン有効化のガイドライン