インストールインストール构成据/h1>
- フェデレーション认证サービスのインストール据/a>(财务会计准则)据/li>
- 店面ストアでのFASプラグインの有効化据/a>
- 交付控制器の構成据/a>
- グループポリシーの構成据/a>
- FAS管理コンソールを使用して,以下を行います:据ol>
- 証明書テンプレートの展開据/a>
- 証明機関のセットアップ据/a>
- 証明機関を使用するための船边交货の認証据/a>
- ルールルール构成据/a>
- FASのCitrix云への接続据/a>(オプション)据/li>
フェデレーション认证サービスのインストール据/h2>
インストールとセットアップの順序据/h2>
セキュリティ上の理由により,フェデレーション認証サービス(FAS)はドメインコントローラーや証明機関と同様にセキュリティ保護されている専用サーバーにインストールすることをお勧めします。FASは次のいずれかの方法でインストールできます:据/p>
- Citrix虚拟应用程序和桌面インストーラー(ISOの插入时尚自动驾驶されるスプラッシュスクリーンの据strong>[フェデレーション认证サービス]据/strong>ボタンから)をを用,または据/li>
- スタンドスタンドアロンfasインストーラーファイル(据a href="//m.giftsix.com/docs/downloads/federated-authentication-service/" rel="noopener noreferrer" target="_blank">Citrixダウンロード据/a>からmsiファイルでダウンロード)をを用。据/li>
以下のコンポーネントをインストールします:据/p>
- フェデレーション認証サービス据/li>
- 詳細なFAS構成用の据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/config-manage/ps-sdk.html">PowerShellスナップインコマンドレット据/a>
- FAS管理コンソール据/a>
- Fasののグループポリシーテン(CitrixFederatedAuthEnticationservice.admx / Adml)据/li>
- 证明书テンプレートファイル据/li>
- パフォーマンスカウンター据/a>および据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/config-manage/troubleshoot-logon.html">イベントログ据/a>
Fasののアップ据/h3>
インプレースアップグレードで船边交货を新しいバージョンにアップグレードできます。アップグレード前に、以下に注意してください:据/p>
- インプレースアップグレードを行った場合、船边交货サーバーの設定はすべて保持されます。据/li>
- Fasをアップグレードするに,Fas管理コンソールが闭じていることをししててくださいください。据/li>
- 1台以上のFASサーバーを常に利用可能な状態に維持してください。フェデレーション認証サービスに対応したStoreFrontサーバーから到達可能なサーバーがない場合、ユーザーはログオンやアプリケーションの起動を行えなくなります。据/li>
アップグレードを开始するに,Citrix虚拟应用程序和桌面インストーラーまたはスタンドののfasインストーラーインストーラーをを使てててをてます。据/p>
注:据/strong>
Fasをcitrix cloudでで使使するは,この手顺は必要ません。据/p>
店面ストアでのFASプラグインの有効化据/h2>
注:据/strong>
Fasをcitrix cloudでで使使するは,この手顺は必要ません。据/p>
StoreFrontストアストアfasののの合成ににには,管理者アカウントで以のpowershellコマンドレットを実しし。据code class="language-plaintext highlighter-rouge">StoreVirtualPath美元据/code>を変更します。据/p>
Get-Module据/span>“Citrix.StoreFront *”。据/span>-列表可用据/span>|据/span>导入模块据/span>StoreVirtualPath美元据/span>=据/span>“/Citrix/Store”据/span>$商店据/span>=据/span>get-stfstoreservice.据/span>-VirtualPath据/span>StoreVirtualPath美元据/span>美元的身份验证据/span>=据/span>获取STFAuthenticationService据/span>-Storeservice.据/span>$商店据/span>set-stfclaimsfactorynames.据/span>-authenticationservice.据/span>美元的身份验证据/span>-索赔工厂名称据/span>“fasclaimsfactory”据/span>set-stfstorelaunchoptions.据/span>-Storeservice.据/span>$商店据/span>-VdaLogonDataProvider据/span>“FASLogonDataProvider”据/span>据据/span>!!据/span>——NeedCopy据/span>-据/span>>据/span>
FASのの用ををするには,以下のpowershellスクリプトスクリプトを使使ます:据/p>
Get-Module据/span>“Citrix.StoreFront *”。据/span>-列表可用据/span>|据/span>导入模块据/span>StoreVirtualPath美元据/span>=据/span>“/Citrix/Store”据/span>$商店据/span>=据/span>get-stfstoreservice.据/span>-VirtualPath据/span>StoreVirtualPath美元据/span>美元的身份验证据/span>=据/span>获取STFAuthenticationService据/span>-Storeservice.据/span>$商店据/span>set-stfclaimsfactorynames.据/span>-authenticationservice.据/span>美元的身份验证据/span>-索赔工厂名称据/span>“标准索赔工厂”据/span>set-stfstorelaunchoptions.据/span>-Storeservice.据/span>$商店据/span>-VdaLogonDataProvider据/span>“据/span>据据/span>!!据/span>——NeedCopy据/span>-据/span>>据/span>
注:据/strong>
Fasをcitrix cloudでで使使するは,この手顺は必要ません。据/p>
交付控制器の構成据/h2>
注:据/strong>
Fasをcitrix cloudでで使使するは,この手顺は必要ません。据/p>
船边交货を使用するには、このサービスに接続可能な店面サーバーを信頼するようにCitrix虚拟应用程序またはCitrix虚拟桌面の传送控制器を構成します。动力壳コマンドレット据strong>set-brokersite -trustrustssenttothexmlserviceport $ true据/strong>をを行します。サイト内の交付控制器の数にかかわらず,これを実行するはサイトににのみですはごと一度のみのみはごとにに度のみのみサイトごと一にのみのみ。据/p>
グループポリシーの構成据/h2>
FASのインストール後は,インストールで提供されたグループポリシーテンプレートを使用して,グループポリシー内のFASサーバーの完全修飾ドメイン名(FQDN)を指定する必要があります。据/p>
重要:据/strong>
チケットを要求する店面サーバーおよびチケットを使用する虚拟交付代理(VDA)に、グループポリシーオブジェクトによって適用されるサーバーの自動番号設定を含む、同じFQDN構成を行う必要があります。据/p>
说明をシンプルにするために,以下の例ではすべてのマシンに适用されるドメインレベルで単一のポリシーを构成していますが,これは必须ではありません。店面サーバー,VDA,およびFAS管理コンソールを実行しているマシン同じ同じfqdnの一般が参照されいる限制,fasは机能し。手顺6を参照しください。据/p>
手順1:据/strong>Fasをインストールしした,c:\ program files \ citrix \联合身份验证服务\ policyDefinitions \ CitrixFederatedAuthEnticationService.Admxファイル,CitrixBase.Admxファイル,およびen-USフォルダーをます。据/p>
手順2:据/strong>これらをドメインコントローラーにコピーして、C:\Windows\PolicyDefinitionsおよび恩美サブフォルダーに配置します。据/p>
手順三:据/strong>コマンドコマンドから微软管管コンソールを実実し(mmc.exe)。メニューバーメニューバー,据strong>[ファイル]> [スナップインの追加と削除]据/strong>の顺に选択します。据strong>グループポリシー管理エディター据/strong>を追加します。据/p>
グループグループポリシーオブジェクトををを入入するの画面开い,据strong>[参照]据/strong>を選択してから据strong>[既定のドメインポリシー]据/strong>を選択します。 または、任意のツールを使用して、環境に応じたポリシーオブジェクトを作成して選択することもできます。 このポリシーは、影響を受ける思杰公司ソフトウェア(VDA、店面サーバー、管理ツール)を実行しているすべてのマシンに適用する必要があります。据/p>
手順4:据/strong>计算机配置/策略/管理模板/Citrix组件/身份验证にある据em>フェデレーション認証サービス据/em>ポリシーに移动词。据/p>
注:据/strong> フェデレーション認証サービスのポリシー設定は、CitrixBase.admxまたはCitrixBase.admlテンプレートファイルを政策定义フォルダーに追加する際に、ドメインGPOでのみ使用できます。手順3.の後、フェデレーション認証サービスのポリシー設定は、[管理用テンプレート]>[思杰公司コンポーネント]>[認証]フォルダーに表示されます。据/p>
手順5:据/strong>フェデレーション認証サービスポリシーを開き,据strong>[有効]据/strong>を选択します。これこれ,fasサーバーサーバーfqdnを构成する据strong>[表示]据/strong>ボタンを選択できるようになります。据/p>
手順6:据/strong>船边交货サーバーのFQDNを入力します。据/p>
重要:据/strong> 复数のfqdnををを入する合,vda,店面サーバー(现处于するする合)とfassサーバー间で一道のがが统「「必要がありありありありありありありありありありありありありありありありありありありありありありありありありありありありありあり据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/config-manage/security.html">グループポリシー設定据/a>」を参照してください。据/p>
手顺7:据/strong>[好的]据/strong>ををクリックしててグループポリシーウィザード终了しししをの変更をを适変更ますをささせるにははます反映させるにはははをさせるせるにははは反映させるにはははを再再せるにははは再再再据strong>警察公共关系科据/strong>をを行)する必要ががある合并がます。据/p>
このポリシーはセッションセッション证明书,承认,ロック时の切断サポートするのvdaセッションでプロセスを内明します。据em>かつ据/em>说明书の作物成にされるfasルールでセッション内が可さているいるのみのみのみのみ。「据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/install-configure.html">ルールルール构成据/a>」を参照してください。据/p>
启用据/strong>によってこのポリシーが有效なりfasエージェントプロセスがユーザーvdaセッションセッション実行。据/p>
禁用据/strong>によってこのポリシーが无效なりなりエージェントプロセスが実をします。据/p>
このポリシーが有効な場合、据strong>提示范围据/strong>によってアプリケーションでセッション内証明書を使用を許可するかというメッセージをユーザーに表示する方法を制御できます。 3.つのオプションがあります。据/p>
このポリシーが有効になると,据strong>同意超时据/strong>によって承認が表示される期間を秒単位で制御できます。たとえば、5.分ごとに300秒間メッセージが表示される、などです。 この値が0の場合、秘密キーの操作ごとにユーザーにメッセージが表示されます。据/p>
このポリシーを有効にすると,ユーザーが画面をロックしたときにセッションが自動的に切断されます。この機能では「スマートカードの取り出し時の切断」ポリシーと同様の動作になるため、ユーザーがActive Directoryログオン資格情報を持っていない場合に便利です。据/p>
注:据/strong> ロック時の切断ポリシーは、VDA上のすべてのセッションに適用されます。据/p>
注:据/strong> 大半の展開には船边交货管理コンソールが適していますが、动力壳インターフェイスにはより詳細なオプションもあります。FAS动力壳コマンドレットについて詳しくは、「据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/config-manage/ps-sdk.html">PowerShellコマンドレット据/a>」を参照してください。据/p>
FAS管理コンソールはFASの一部としてインストールされます。[スタート]メニューにアイコン(Citrix联合身份验证服务)が配置されます。据/p>
管管コンソールの使使使,证明书テンプレートの展开,证明机构关系のセットアップ,およびfasへの证明机构关系の使のがが表示されをう手顺が表示されをううがが表示されれううがははされますます手顺手顺はははますますますます手顺手顺ははツールツールを使使手顺ががが表示ツールツールツールを用して动动で完了することもできます。据/p>
Fas管理コンソールは,デフォルトでローカルローカルfasサービスに接続されます。必要に応じ,コンソールの右上に表示される据strong>[连接到另一台服务器]据/strong>を使用してリモートサービスに接続できます。据/p>
他のソフトウェアとの相互相互性の问题避けるため,fasでは,独自我でで使用する3つのcitrix证明书テンプレートが用品されてます。据/p>
これらのテンプレートは,Active Directoryで登録する必要があります。据strong>〔部署〕据/strong>をクリックしてから,据strong>[好的]据/strong>をクリックします。据/p>
Certificatemplate「XMLファイルファイル内にありあり:据/p>
C:\Program Files\Citrix\Federated认证服务\CertificateTemplates据/p>
これらのテンプレートファイルをインストールする権限がない場合は、テンプレートファイルを活动目录管理者に渡してください。据/p>
テンプレートが含まれるフォルダーから以下の动力壳コマンドを実行すると、テンプレートを手動でインストールできます:据/p>
Citrix证明书テンプレートのインストール后は,これらのテンプレートを1つつまたは数の微软エンタープライズ证明机构关系サーバーサーバー公明する必要がます。活跃目录说明书サービスの展开着的方法についてについては,微软社のドキュメントを参照してください。据/p>
どのサーバーでもテンプレートが公式开されていいないは,据strong>设置证书颁发机构据/strong>を使用して公開できます。これは,証明機関の管理権限のあるユーザーとして実行する必要があります。据/p>
(証明書テンプレートは、微软証明機関コンソールを使用して公開することもできます。)据/p>
この手顺により,fasの认证が开放されます。管理コンソールは,citrix_registrationauthority_manualauthorizationテンプレートテンプレート使使し证证明书の要求生成し,このこの要求テンプレートををのいずれいずれかかかかにににに信族据/p>
要求は,诚信后,fasマシンマシンから保留中间のとして微软证明机关コンソールの据strong>(保留中の要求)据/strong>リストに表示されます。船边交货の構成を続行するには、証明機関の管理者が要求の発行または拒否を選択する必要があります。据/p>
船边交货管理コンソールは、管理者が据strong>[问题]据/strong>または据strong>[否定]据/strong>をを选択するまでまでまで处中「「スピナーアイコンアイコンを表示し据/p>
微软証明機関コンソールで据strong>[すべてのタスク]据/strong>を右クリックしてから,証明書要求に対して据strong>[问题]据/strong>または据strong>[否定]据/strong>を选択します。据strong>[问题]据/strong>を選択すると,FAS管理コンソールが認証証明書を表示します。据strong>[否定]据/strong>を選択すると、コンソールはエラーメッセージを表示します。据/p>
船边交货管理コンソールにより、このプロセスの完了が自動的に検出されます。この処理には数分かかることがあります。据/p>
FASのルールにより,店面の指示に従って,VDAログオンおよびセッション中の使用に関する証明書発行の権限が付与されます。各ルールでは,証明書の要求を信頼する店面サーバー,証明書を要求できる一連のユーザー,および証明書の使用を許可する一連のVDAマシンを指定します。据/p>
FASでは,最低1つのルールを作成し構成する必要があります。店面はFASにアクセスしたとき”デフォルト”という名前のルールを要求するため,“デフォルト”という名前のルールを作成することをお勧めします。据/p>
加加のカスタムの作物作物作物し,さまざまな说明书テンプレート证明机构关系を参照ししように构することができれるようににするますます。これらのは,さまざまな店面サーバーや工作空间で使用グループするために构构できますポリシーポリシー构オプションを用して,カスタムルールを名前でように店店前サーバーににに。据/p>
〔创建〕据/strong>(または“规则”タブの据strong>〔创建规则〕据/strong>)をクリックしてルールを作成するための情報を収集するルール作成ウィザードを開始します。[规则]タブは各ルールの概要を表示します。据/p>
ウィザードによって次の情報が収集されます:据/p>
テンプレート据/strong>:ユーザー証明書の発行に使用される証明書テンプレート。これはCitrix_智能卡登录テンプレートか、その変更されたコピーである必要があります(「据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/config-manage/security.html">証明書テンプレート据/a>“をを参照して”。据/p>
证明机密据/strong>:ユーザー証明書を発行する証明機関。テンプレートは証明機関によって公開される必要があります。船边交货では、フェールオーバーおよび負荷分散のために、複数の証明機関の追加することができます。選択した証明機関のステータスが「模板可用」であることを確認してください。「据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/config-manage/security.html">说明机构关系の致理性据/a>」を参照してください。据/p>
セッション内使用:据/strong>[セッションセッション使使使用を可用据/strong>オプションにより,说明书をvdaへへのログオン后に使かどうかかを制御しし据/p>
允许在会话中使用据/strong>が選択されている場合——認証後,ユーザーは証明書にアクセスできます。通常の場合,お客様はこのオプションを選択しないでください。イントラネットWebサイトやファイル共有など,VDAセッション内からアクセスされるリソースには,Kerberosを使用したシングルサインオンでアクセスできるため,セッション内証明書は必要ありません。据/p> 允许在会话中使用据/strong>を選択した場合は、据a href="//m.giftsix.com/docs/ja-jp/federated-authentication-service/install-configure.html">在会话行为据/a>グループポリシーも有効にしてVDAに適用する必要があります。これにより,ログオン後にアプリケーションが使用できるようにユーザーの個人証明書ストアに証明書が配置されます。たとえば,VDAセッション内でWebサーバーへのTLS認証が必要な場合,証明書は互联网Explolerによって使用されます。据/p> アクセス制御据/strong>:ユーザーのログオンまたは再接続にに明书を要求するがが付与れれた,信息頼店サーバーのサーバーのののに対して,个々のの许グループグループ追できます。据/p>
重要:据/strong> [アクセス制御]据/strong>設定はセキュリティ上非常に重要であり,慎重に管理する必要があります。据/p>
注:据/strong> 船边交货サーバーをCitrix云でのみ使用する場合は、アクセス制御を構成する必要はありません。ただし、Citrix云でルールが使用される場合、店面のアクセス許可は無視されます。Citrix云とオンプレミスの店面環境で、同じルールを使用できます。店面のアクセス許可は、ルールがオンプレミスの店面で使用される場合には適用されます。据/p>
デフォルトのアクセス许可(「断言身份「」をを可)では,すべてが拒否されます。したがっしたがっ,店面,店面サーバーを明暗的に可する必要必要があります。据/p>
制限据/strong>:ユーザーユーザーFASをを用してログオンvdaマシンのリスト,fasを介して证明书を発行できるのリスト。据/p>
VDA権限の管理据/strong>では、船边交货を使用してユーザーをログオンさせるVDAを指定できます。VDAの一覧のデフォルトはドメインコンピューターになります。据/p> ユーザー権限の管理据/strong>では、船边交货を使用してVDAにサインインするユーザーを指定できます。ユーザーの一覧のデフォルトはドメインユーザーになります。据/p> 注:据/strong> 船边交货サーバーがVDAおよびユーザーのドメインとは異なるドメインにある場合は、デフォルトの制限を変更する必要があります。据/p>
云ルール据/strong>:Citrix工作区から身份证件アサーションを受信したときに、このルールが適用されるかを示します。Citrix云に接続するときに、Citrix云で使用するルールを選択します。据strong>[连接到Citrix Cloud]据/strong>セクションのリンクからcitrix云に接続した后,ルールを変更することもでき。据/p>
FASサーバーをCitrix云に接続して,Citrix工作区で使用できます。この据a href="//m.giftsix.com/docs/ja-jp/citrix-workspace/workspace-federated-authentication.html">Citrix工作区の記事据/a>を参照してください。据/p>
[初始设置]タブタブ据strong>[连接到Citrix Cloud]据/strong>で据strong>〔连接〕据/strong>をクリックします。据/p> オプションで、接続するクラウドを選択します。「雪铁龙云」(デフォルト)、「Citrix云端日本」または「Citrix云美国政府」に接続できます。据/p> (登录)据/strong>をクリックし,接続先の云顧客の管理者資格情報を使用してCitrix云にサインインします。据/p> 必要の応じて顾客选択して,fasサーバーを接続するリソース场所を选択します。据strong>(继续)据/strong>をクリックし,确认用のウィンドウを闭じ。据/p> Citrix CloudでFasサーバーが登录さ,Citrix Cloudアカウントアカウント[リソースリソース场所]ページに表示されます。据/p>
この据a href="//m.giftsix.com/docs/ja-jp/citrix-workspace/workspace-federated-authentication.html">Citrix工作区の記事据/a>のの明に従ってcitrix cloudのリソースの场所からfasサーバーを削除したた后后后,据strong>[连接到Citrix Cloud]据/strong>で据strong>〔禁用〕据/strong>を选択します。据/p>
在会话行为据/h3>
メッセージのスコープ据/h4>
承认のタイムアウト据/h4>
ロック時の切断据/h4>
フェデレーションフェデレーションサービス制剂据/h2>
証明書テンプレートの展開据/h2>
美元的模板据/span>=据/span>[据/span>先。据/span>文件据/span>] ::据/span>ReadAllBytes据/span>(据/span>“据/span>$ PWD据/span>\ citrix_smartcardlogon.cerfificateTemplate“据/span>)据/span>$ certienrol.据/span>=据/span>新对象据/span>-Comobject.据/span>X509Enrollment.CX509EnrollmentPolicyWebService据/span>$ certienrol.据/span>。据/span>InitializeImport据/span>(据/span>美元的模板据/span>)据/span>美元思忖据/span>=据/span>$ certienrol.据/span>。据/span>获得模板据/span>()据/span>。据/span>ItemByIndex据/span>(据/span>0.据/span>)据/span>$writabletemplate据/span>=据/span>新对象据/span>-Comobject.据/span>X509Enrollment.CX509CertificateTemplateADWritable据/span>$writabletemplate据/span>。据/span>初始化据/span>(据/span>美元思忖据/span>)据/span>$writabletemplate据/span>。据/span>提交据/span>(据/span>1据/span>那据/span>$ null.据/span>)据/span>据据/span>!!据/span>——NeedCopy据/span>-据/span>>据/span>
Active Directory说明书サービスのセットアップ据/h2>
フェデレーション認証サービスへの権限付与据/h2>
ルールルール构成据/h2>
Citrix云への接続据/h2>
Citrix云からの切断据/h3>