スマートカード認証の構成
暗号化スマートカードを使用してユーザーを認証するように、Citrix Gateway を構成できます。
Citrix Gateway で動作するようにスマートカードを構成するには、次の操作を行う必要があります。
- 証明書認証ポリシーを作成します。詳しくは、「クライアント証明書認証の構成」を参照してください。
- 認証ポリシーを仮想サーバーにバインドします。
-
クライアント証明書を発行する認証局（CA）のルート証明書をCitrix Gateway に追加します。詳しくは、「Citrix Gatewayにルート証明書をインストールするには」を参照してください。
重要: スマートカード認証用にルート証明書を仮想サーバーに追加する場合は、次の図に示すように、 [CA 証明書の選択] ドロップダウンボックスから証明書を選択する必要があります。 図1：スマートカード認証用のルート証明書の追加
クライアント証明書を作成したら、フラッシュと呼ばれる証明書をスマートカードに書き込むことができます。この手順を完了すると、スマートカードをテストできます。
スマートカードパススルー認証用にWeb Interfaceを構成する場合、次のいずれかの条件が存在する場合、Web Interfaceへのシングル・サインオンは失敗します。
- [公開アプリケーション] タブでドメインを mydomain ではなく mydomain.com として設定した場合。
- [公開アプリケーション] タブでドメイン名を設定せず、wi-sso-split-upn コマンドを実行する場合は、値を 1 に設定します。この例では、ユーザープリンシパル名には、ドメイン名 “mydomain.com”が含まれています。
スマートカード認証を使用して、ユーザーのログオンプロセスを合理化すると同時に、インフラストラクチャへのユーザーアクセスのセキュリティを強化できます。社内ネットワークへのアクセスは、公開キーのインフラストラクチャを使用した証明書ベースの2要素認証によって保護されます。秘密キーは、ハードウェアで保護されるため、スマートカードの外に漏れることはありません。ユーザーは、スマートカードとPINを使用してさまざまなコーポレートデバイスからデスクトップとアプリケーションにアクセスできるようになります。
スマートカードは、Citrix Virtual Apps and Desktopsで提供されるデスクトップとアプリケーションのユーザー認証をStoreFront経由で行うために使用できます。StoreFront にログオンしているスマートカードユーザーは、Citrix Endpoint Management が提供するアプリケーションにもアクセスできます。ただし、クライアント証明書認証を使用する Endpoint Management Web アプリケーションにアクセスするには、再度認証する必要があります。
詳しくは、StoreFrontのドキュメントの「スマートカード認証の構成」を参照してください。
セキュアICA接続によるスマートカード認証の構成
Citrix Gateway でシングルサインオンが構成されたスマートカードを使用してログオンし、安全なICA接続を確立するユーザーは、ログオン時と公開リソースの起動時に、個人識別番号（PIN）の入力を求めるプロンプトが表示されることがあります。この状況は、WebブラウザーとCitrix Workspace アプリがクライアント証明書を使用するように構成されている同じ仮想サーバーを使用している場合に発生します。Citrix Workspace アプリは、WebブラウザーとプロセスまたはSSL（セキュア・ソケット・レイヤー）接続を共有しません。したがって、ICA接続でCitrix Gateway とのSSLハンドシェイクが完了すると、クライアント証明書が2回必要です。
ユーザーに 2 番目の PIN プロンプトが表示されないようにするには、次の 2 つの設定を変更する必要があります。
- VPN 仮想サーバ上のクライアント認証を無効にする必要があります。
- SSL 再ネゴシエーションを有効にする必要があります。
仮想サーバを構成したら、Web Interface 5.3でのCitrix Gateway 設定の構成の説明に従って、1つ以上のSTAサーバを仮想サーバにバインドします。
スマートカード認証をテストすることもできます。
クライアント認証を無効にする手順は、次のとおりです。
- 構成ユーティリティの [構成] タブのナビゲーションペインで、[Citrix Gateway] を展開し、[仮想サーバー] をクリックします。
- メインの詳細ペインで関連する仮想サーバーを選択し、[編集] をクリックします。
- [詳細オプション] ウィンドウで、[SSL パラメータ] をクリックします。
- [クライアント認証] チェックボックスをオフにします。
- ［完了］ をクリックします。
SSL 再ネゴシエーションを有効にするには、次の手順を実行します。
- 設定ユーティリティを使用して、[設定] タブから [トラフィック管理] に移動し、[SSL] をクリックします。
- メインパネルで、[SSL の詳細設定の変更] をクリックします。
- [SSL 再ネゴシエーションの拒否] メニューから [いいえ] を選択します。
スマートカード認証をテストするには、次の手順に従います。
- スマートカードをユーザーデバイスに接続します。
- Webブラウザーを開き、Citrix Gateway にログオンします。