インストール前の作業
Citrix Provisioningをインストールして構成する前に、以下のタスクを完了します。
重要:
Citrix Provisioningコンポーネントをインストールする前に、すべてのWindows更新プログラムが最新であることを確認してください。CitrixではすべてのWindows更新プログラムをインストールしてから再起動することをお勧めします。
Microsoft SQLデータベースの選択と構成
各Citrix Provisioningファームには単一のデータベースがあります。次のいずれかでデータベースを提供できます:
- 既存のSQL ServerまたはSQL Server Expressインスタンス
- SQL年代erverまたはSQL Server Expressを実行している新しいサーバー
ファーム内のすべてのCitrix Provisioningサーバーがデータベースサーバーと通信できる必要があります。
実稼働環境では、負荷分散のパフォーマンス低下を回避するため、SQL ServerまたはSQL Server ExpressインスタンスとCitrix Provisioningサーバーコンポーネントソフトウェアを異なるサーバーにインストールすることをお勧めします。
データベースを作成するには、次の3つの方法があります:
- 構成ウィザードを使用します。このオプションを使用するには、
dbcreator
権限が必要です。 - データベースを作成する権限がない場合は、DbScript.exeユーティリティを使用して、データベース管理者がProvisioningデータベースを作成するために実行するSQLスクリプトを作成できます。このユーティリティはプロビジョニングソフトウェアとともにインストールされます。
- データベース管理者がDbScript.exeユーティリティを実行して空のデータベースを作成した場合、構成ウィザードの実行時に、このデータベースが新しいファームのデータベースとして選択されます。構成ウィザードの実行時に使用されるログインは、データベースの所有者である必要があります。VIEW ANY DEFINITION権限を持っている必要があります。この権限は、データベース管理者が空のデータベースを作成するときに設定します。
DbScript.exeユーティリティを実行してデータベースを作成または更新
データベースを作成する権限がない場合は、DbScript.exeを使用して、データベース管理者がCitrix Provisioningデータベースを作成または更新するために実行するSQLスクリプトを生成できます。C:\Program Files\Citrix\Provisioning Services
のWindowsコマンドプロンプトからスクリプトを実行します。
データベースを作成するためのスクリプトを生成するには、次の構文を使用します:
DbScript.exe -new
データベースを更新するためのスクリプトを生成するには、次のように入力します:
DbScript.exe -upgrade
コマンドは次の引数を使用します:
— 作成または更新するデータベースの名前。
— 新しいデータベースのファーム名。
— 新しいデータベースのサイト名。
— 新しいデータベースのコレクション名
— 完全なパスで指定されたファーム管理者グループ。注:
構成ウィザードを実行する場合、Citrix Provisioningサーバーをデータベースに追加するには、このグループ(Active Directoryグループ)のメンバーである必要があります。
—ブール値として指定されたADグループを有効または無効にします。ここでtrue
はADグループを有効にし、false
はADグループを無効にします。
— 生成するスクリプトの名前。完全なパスで指定されます。
— これは廃止済みです。true
を使用します。
DbScript.exeの例
この例では、db1-2
という名前の空のCitrix Provisioningデータベースを作成するスクリプトを生成します。スクリプトはnewDb.sqlという名前で、C:
にあります。
C:\Program Files\Citrix\Provisioning Services> DbScript.exe -new db1-2 Farm1 Site1 Collection1 "test.local/Users/Domain Users" true c:\newDb.sql true
この例では、Citrix Provisioningデータベースtest1
をアップグレードするスクリプトを生成します。スクリプトはupgrade.sqlという名前で、パスが指定されていないため、スクリプトが実行されたディレクトリ(C:\Program Files\Citrix\Provisioning Services
)にあります。
C:\Program Files\Citrix\Provisioning Services>DbScript.exe -upgrade test1 upgrade.sql
データベースのサイズ評価
詳しくは、データベースのサイズ評価に関する記事を参照してください。
データベースの作成時には、初期サイズとして20MB、拡張サイズとして10MBが設定されます。データベースログの初期サイズは10MBで拡張サイズは10%です。
基本データに必要な容量は112KBで、このサイズは変更されません。基本イメージには以下の項目が含まれます:
- DatabaseVersionレコード。約32KBが必要です。
- Farmレコード。約8KBが必要です。
- DiskCreateレコード。約16KBが必要です。
- Notifications。約40KBが必要です。
- ServerMappedレコード。約16KBが必要です。
オブジェクトに基づいて必要な容量は次のようになります。
- アクセスとグループ
- システムにアクセス権を持つ各ユーザーグループに約50KBが必要です。
- 各Siteレコードに約4KBが必要です。
- 各コレクションに約10KBが必要です。
- FarmView
- 各FarmViewに約4KBが必要です。
- 各FarmView/Deviceリレーションシップに約5KBが必要です。
- SiteView
- 各SiteViewに約4KBが必要です。
- 各SiteView/Deviceリレーションシップに約5KBが必要です。
- ターゲットデバイス
- 各ターゲットデバイスに約2KBが必要です。
- 各
DeviceBootstrap
に約10KBが必要です。 - 各
Device:Disk
のリレーションシップに約35KBが必要です。 - 各
Device:Printer
のリレーションシップに約1KBが必要です。 - 各
DevicePersonality
に約1KBが必要です。 - デバイスの起動時の各
DeviceStatus
に約1KBが必要です。 - 各
DeviceCustomProperty
に約2KBが必要です。
- ディスク
- 各一意のディスクに約1KBが必要です。
- 各
DiskVersion
に約3KBが必要です。 - 各
DiskLocator
に約10KBが必要です。 - 各
DiskLocatorCustomProperty
に約2KBが必要です。
- Provisioningサーバー
- 各サーバーに約5KBが必要です。
- 各
ServerIP
に約2KBが必要です。 - サーバーの起動時の各
ServerStatus
に約1KBが必要です。 - 各
ServerCustomProperty
に約2KBが必要です。
- ストア
- 各Storeに約8KBが必要です。
- 各Store:Serverリレーションシップに約4KBが必要です。
- ディスク更新
- 各
VirtualHostingPool
に約4KBが必要です。 - 各
UpdateTask
に約10KBが必要です。 - 各
DiskUpdateDevice
に約2KBが必要です。 - 各
DiskUpdateDevice:Disk
リレーションシップに約35KBが必要です。 - 各
Disk:UpdateTask
のリレーションシップに約1KBが必要です。
- 各
変更が発生するにつれて大きくなるレコードは以下のとおりです。
- 各タスク処理(例:仮想ディスクバージョンのマージ)に約2KBが必要です。
- 監査機能が有効な場合、Citrix Provisioningコンソール、MCLI、またはPowerShellインターフェイスで管理者が加える変更ごとに、約1KBが必要です。
データベースのミラーリング
Citrix ProvisioningでMicrosoft SQL Serverのデータベースミラーリングをサポートするには、データベースを監視付きの高い安全性モード(同期)で構成する必要があります。
データベースのミラーリングの構成および使用方法について詳しくは、「データベースのミラーリング」を参照してください。
データベースのクラスタリングの実装
データベースのクラスタリングを実装するには:
- Microsoftの指示に従います。
- Citrix Provisioning構成ウィザードを実行します。
- 可用性グループリスナーをデータベースサーバーとして指定します。インスタンスは使用されません。
- 接続オプションで複数サブネットフェールオーバーを有効にします。
サポートされる認証の種類
この表は、Citrix Provisioningがデータベースでどのように認証するか、および認証時に使用する資格情報を決定するのに役立ちます。
認証の種類 | アクセス権の付与 | 必要な資格情報 | データベースプラットフォーム | その他の制限 |
---|---|---|---|---|
統合Active Directory | Active Directoryユーザー。既存のユーザー名を使用しない場合は、Active Directoryにユーザー名を作成します。 | 何もない(現在のログインコンテキストを使用します) | SQL年代erver | Citrix Provisioningサーバーはドメインに属している必要があり、Citrix Provisioning Serviceユーザーコンテキストはドメインユーザーである必要があり、ドメインユーザーがCitrix Provisioningを構成する必要があります。 |
SQL年代erver | SQLログイン。既存のログインを使用しない場合は、データベースサーバーにSQLログインを作成します。 | ログインとパスワード | SQL年代erver |
注:
Azure SQL DatabaseとAzure SQL Managed Instanceでサポートされる別の認証の種類があります。詳しくは、「サポートされる認証の種類」を参照してください。
認証の構成
Citrix Provisioningは、統合Active Directory認証またはSQL年代erver認証を使用してデータベースにアクセスできます。
構成ウィザードのユーザーアクセス許可
構成ウィザードを実行するには、ローカル管理者のシステム権限が必要です。
管理者データベースプリンシパルは、構成ウィザードがProvisioningデータベースを作成およびセットアップするために使用するデータベースプリンシパルです。 構成ウィザードで指定する認証資格情報は、データベースプリンシパルを特定します。
- Active Directory統合認証を選択した場合、構成ウィザードは、構成ウィザードを実行しているユーザー(Active Directoryユーザー)としてデータベースにアクセスします。
- SQL年代erver認証を選択した場合、構成ウィザードは別のプリンシパルとしてデータベースにアクセスします。
管理者データベースプリンシパルの選択について詳しくは、「サポートされる認証の種類」を参照してください。
注:
データベース管理者プリンシパルは、構成ウィザードの実行中にのみ使用されます。保存されず、StreamおよびSOAPサービスによって使用されません。StreamおよびSOAPサービスに対して、昇格された特権を持つプリンシパルを使用する必要があります。
管理者データベースプリンシパルには次のアクセス権限が必要です:
securityadmin
:サーバーログインの作成と更新用(SQL ServerまたはAzure SQL Managed Instanceを使用する場合)db_owner
:既存のデータベース用
新しいファームのデータベースを作成するには、管理者データベースプリンシパルに追加の権限としてdbcreator
が必要です。データベースを作成するさまざまな方法については、「Microsoft SQLデータベースの選択と構成」を参照してください。
サービスアカウントの権限
流およびSOAPサービスのサービスアカウントには,次のシステム権限が必要です:
- サービスとして実行する
- レジストリの読み取りアクセス
Program Files\Citrix\Citrix Provisioning
へのアクセス- すべての仮想ディスクの場所への読み取りおよび書き込みアクセス。
サービスデータベースプリンシパルは、サービスがProvisioningデータベースにアクセスするために使用するデータベースプリンシパルです。構成ウィザードで指定する認証資格情報は、データベースプリンシパルを特定します。
- Active Directory統合認証を選択した場合、サービスは、サービスアカウント(Active Directoryユーザー)としてデータベースにアクセスします。
- SQL年代erver認証を選択した場合、サービスは別のプリンシパルとしてデータベースにアクセスできます。
サービスデータベースプリンシパルの選択について詳しくは、「サポートされる認証の種類」を参照してください。
構成ウィザードは、サービスデータベースプリンシパルが以下の権限を持つようにデータベースを構成します:
db_datareader
db_datawriter
- ストアドプロシージャの実行権限
Stream ProcessおよびSOAP Serverを実行するアカウントを、以下のアカウントから選択します。
Network Serviceアカウント
最小限の特権を持つローカルアカウントで、ドメインコンピューターアカウントとしてネットワーク上で認証を受けるアカウントです。
指定ユーザーアカウント(Windows共有を使用する場合に必要)で、ワークグループまたはドメインのユーザーアカウントにできます。
Citrix Provisioningでキーマネージメントサーバーライセンスをサポートするには、SOAP ServerのユーザーアカウントがローカルのAdministratorsグループのメンバーである必要があります。
ヒント:
ワークグループ環境では認証はあまり使用されないため、最小限の特権を持つユーザーアカウントを各サーバーに作成し、各インスタンスで資格情報を同一にする必要があります。
このファームで使用する適切なセキュリティオプションを決定します。ファームごとに選択できるオプションは1つのみであり、ここで選択したオプションは役割に基づく管理機能に反映されます。セキュリティのオプションには以下があります:
セキュリティ保護にActive Directoryグループを使用する(デフォルト):Active Directoryが動作するWindowsドメインにインストールする場合はこのオプションをクリックします。このオプションでは、Citrix Provisioningの管理役割の割り当てにActive Directoryを利用できます。
注:
Windows 2000のドメインはサポートされません。
セキュリティ保護にWindowsグループを使用する。単一のサーバーまたはワークグループにインストールする場合はこのオプションをクリックします。このオプションでは、Citrix Provisioningの管理役割の割り当てに特定サーバー上のローカルユーザーまたはグループを利用できます。
コンソールユーザーは直接データベースにアクセスしません。
その他のプロビジョニング機能に必要な最小限の権限は,次のとおりです:
- Citrix Virtual Apps and Desktopsセットアップウィザード、ストリーム配信仮想マシンセットアップウィザード、およびImageUpdateサービス
- vCenter、SCVMM、およびCitrix Hypervisorの最小限の権限
- 既存のCitrix Virtual Apps and Desktops Controllerの現在のユーザーの権限
- Citrix ProvisioningコンソールのユーザーアカウントがCitrix Virtual Apps and Desktops管理者として構成されていて、Provisioning
SiteAdmin
またはそれより上位のグループに追加されている - コンソールでアカウントを作成するActive Directory作成アカウント権限。既存のアカウントを使用するには、選択する既知の組織単位にActive Directoryアカウントが存在している必要があります。
- Citrix Virtual Apps and DesktopでPersonal vDiskを使用している場合、SOAP Serverユーザーアカウントには、Citrix Virtual Apps and Desktopsの完全な管理者権限が必要です。
- ADアカウント同期:作成、リセット、および削除のアクセス許可
- 仮想ディスク:ボリュームの保守タスクを実行する特権
SQL年代erverでのリモート接続の有効化
このセクションを参考に、SQL Serverへのリモート接続を確立します。
- SQL年代erver Management Studioを使用してSQL Serverにログインします。
オブジェクトエクスプローラーウィンドウで、SQL Serverを右クリックし、[プロパティ]を選択します。
- オブジェクトエクスプローラーウィンドウで、[接続]ノードを選択します。[リモートサーバー接続]で、[このサーバーへのリモート接続を許可する]チェックボックスをオンまたはオフにします。
リモートサーバー接続を更新した後、次の手順を実行します:
- [スタート]メニューで 、[スタート]>[Microsoft SQL Server_バージョン_]>[SQL Server_バージョン_Configuration Manager]の順にクリックします。[SQL Server Configuration Manager]ウィンドウが表示されます。
- [SQL Serverネットワーク構成]オプションを展開します。[(サーバー名)のプロトコル]を選択します。[TCP/IP]を選択して右クリックします。コンテキストメニューで、[有効化]を選択します。[OK]をクリックしてサービスを再起動します。
サービスを再起動した後、開始モードを変更します。[SQL Server Configuration Manager]ウィンドウで,次の手順を実行します:
- [SQL Serverのサービス]を選択します。右側のウィンドウで、[SQL Server Browser]オプションを右クリックしてコンテキストメニューを表示します。
- [プロパティ]を選択します。
- [サービス]タブで、[開始モード]を[自動]に変更します。
- [OK]をクリックします。
- [SQL Server Browser]を選択して右クリックし、コンテキストメニューを開きます。[開始]をクリックします。
- インスタンスに対応するSQL Serverサービスを選択し、右クリックしてコンテキストメニューを開きます。[再起動]をクリックします。
WindowsファイアウォールでのSQL Serverの例外の作成
このセクションを参考に、Windowsファイアウォールを使用する環境でSQL Serverの例外を作成します:
- コントロールパネルを開き、[システムとセキュリティ]を選択します。
[Windows Defenderファイアウォール]を選択します。
[Windows Defenderファイアウォールを介したアプリまたは機能を許可]をクリックします。Windowsファイアウォールをオンにします。
[アプリにWindows Defenderファイアウォール経由の通信を許可する]ウィンドウで、[別のアプリの許可…]をクリックします。
- [アプリの追加]画面で、[参照]をクリックします。
SQLサービス
sqlserver.exe
を選択し、[開く]をクリックします。sqlserver.exe
へのデフォルトのパスは次のとおりです:- SQL 2019 –
C:\Program Files\Microsoft SQL Server\MSSQL15.
\MSSQL\Binn - SQL 2017 –
C:\Program Files\Microsoft SQL Server\MSSQL14.
\MSSQL\Binn
- SQL 2019 –
- [追加]をクリックします。
- 手順4〜7を繰り返して、次のアプリを許可します:
C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe.
- [OK]をクリックします。
ProvisioningサーバーからSQL Serverへのセキュリティで保護された接続の有効化
SQL年代erver、ライセンスサーバー、およびProvisioningサーバーは、セキュリティで保護された接続を有効にするように構成できます。
このセクションを参考に、SQL Serverへのセキュリティで保護された接続を確立します。
SQL年代erverコンピューターで:
- SQL年代erverのサーバー証明書として使用できる秘密キーを使用してサーバー証明書を取得します。信頼された機関からサーバー証明書を取得するか、自己署名証明書を使用できます。サーバー証明書と秘密キーは、
.PFX
ファイルに含まれている必要があります。共通名は、SQL ServerコンピューターのFQDNである必要があります。 - SQL年代erverコンピューター上のローカルコンピューター証明書ストアの個人証明書フォルダーに、証明書とキーをインポートします。
- SQL年代erverに証明書とキーへのアクセスを許可します。
- セキュリティで保護された接続を強制するようにSQL Serverを構成するには、次の手順を実行します。
- [SQL Server Configuration Manager]を実行します:
- 左側ペインから、[SQL Server Network Configuration]>[Protocols for instance]を選択します。
- 右クリックし、[Properties]を選択します。
- [Flags]タブで、[Force Encryption]を[Yes]に設定します。
- [Certificate]タブで、ドロップダウンリストからサーバー証明書を選択します。この証明書がリストにない場合は、説明どおりにインポートしたかどうかを確認してください。
- [OK]をクリックして、インスタンスのSQL Serverサービスを再起動します。
Citrix Provisioningサーバーコンピューターで、以下の操作を実行します:
- サーバー証明書を信頼するために必要な証明機関の証明書を展開します。
- 証明機関が信頼されていない場合:
- 証明機関の証明書を取得します。
- その証明書をローカルコンピューターの証明書ストアの信頼されたルート証明機関フォルダーにインポートします。
- サーバー証明書が自己署名されている場合:
- SQL年代erverコンピューターで、証明書を証明書ファイルにのみエクスポートします。
- この証明書をCitrix Provisioningサーバーコンピューターにコピーします。
- この証明書をローカルコンピューターの証明書ストアの信頼されたルート証明機関フォルダーにインポートします。
- 証明機関が信頼されていない場合:
- 証明書と同じ名前(SQL ServerコンピューターのFQDN)を使用して、SQL Serverに接続するようにProvisioningサーバーを構成します。必要に応じて、構成ウィザードを実行し、ファームに再度参加します。この方法を使用すると、データベースサーバー名を変更できます。
Kerberosセキュリティ
Active Directory環境でSOAP Serviceと通信するとき、Citrix Provisioningコンソール、イメージ作成ウィザード、PowerShellスナップイン、およびMCLIでは、デフォルトでKerberos認証が使用されます。Kerberosアーキテクチャの一部として、サービスはドメインコントローラー(Kerberosキー配布センター)に登録される、つまりSPN(Service Principal Name:サービスプリンシパル名)が作成されます。この登録処理により、SOAP Serviceを実行するアカウントをActive Directoryで識別できるようになるため、この処理は不可欠です。登録処理を実行しないとKerberos認証に失敗し、Citrix ProvisioningはNTLM認証にフォールバックします。
Citrix ProvisioningのSOAP Serviceは、サービスを開始するたびに登録され、サービスを停止するたびに登録が解除されます。ただし、SOAP Serverのユーザーアカウントに権限がない場合、登録に失敗します。デフォルトでは、Network Serviceアカウントとドメイン管理者にはアクセス許可がありますが、通常のドメインユーザーアカウントにはありません。
この権限の問題の発生を防ぐには、次のいずれかを実行します。
アクセス許可を持つ別のアカウントを使用してSPNを作成します。
サービスを実行するアカウントに権限を割り当てます。
アカウントの種類 | 権限 |
---|---|
コンピューターアカウント | サービスプリンシパル名への検証された書き込み |
ユーザーアカウント | パブリックインフォメーションの書き込み |