スマートカード認証の構成
暗号化スマートカードを使用してユーザーを認証するようにNetScaler Gateway を構成できます。
NetScaler Gateway でスマートカードを構成するには、次の操作を行う必要があります。
- 証明書認証ポリシーを作成します。詳細については、「 クライアント証明書認証の構成」を参照してください。
- 認証ポリシーを仮想サーバーにバインドします。
-
クライアント証明書を発行する認証局（CA）のルート証明書をNetScaler Gateway に追加します。詳しくは、「To install a root certificate on NetScaler Gateway」を参照してください。
重要：スマートカード認証のためにルート証明書を仮想サーバーに追加する場合は、[ CA 証明書の選択] リストから証明書を選択する必要があります 。
クライアント証明書を作成したら、フラッシュと呼ばれる証明書をスマートカードに書き込むことができます。この手順を完了すると、スマートカードをテストできます。
スマートカードパススルー認証用に Web Interface を構成する場合、次のいずれかの条件が存在する場合、Web Interface へのシングルサインオンは失敗します：
-
[公開アプリケーション] タブのドメインを
mydomainの代わりにmydomain.comとして設定した場合 。 - [ 公開アプリケーション ] タブでドメイン名を設定せず、値を1に設定するコマンド
wi-sso-split-upnを実行した場合。この例では、userPrincipalName にはドメイン名「mydomain.com」が含まれています。
スマートカード認証を使用すると、ユーザーのログオンプロセスを合理化すると同時に、インフラストラクチャへのユーザーアクセスのセキュリティを強化できます。社内ネットワークへのアクセスは、公開キーインフラストラクチャを使用した証明書ベースの 2 要素認証によって保護されます。秘密キーは、ハードウェアで保護されるため、スマートカードの外に漏れることはありません。ユーザーは、スマートカードとPINを使用してさまざまなコーポレートデバイスからデスクトップとアプリケーションにアクセスできるようになります。
スマートカードは、Citrix Virtual Apps and Desktopsで提供されるデスクトップとアプリケーションのユーザー認証をStoreFront経由で行うために使用できます。StoreFront にログオンするスマートカードユーザーは、Citrix Endpoint Managementが提供するアプリケーションにもアクセスできます。ただし、クライアント証明書認証を使用するEndpoint Management Webアプリケーションにアクセスするには、再度認証する必要があります。
詳しくは、StoreFront ドキュメントの「 スマートカード認証の構成 」を参照してください。
セキュアな ICA 接続を使用したスマートカード認証の構成
NetScaler Gateway でシングルサインオンが構成されたスマートカードを使用してログオンし、安全なICA接続を確立するユーザーは、個人識別番号（PIN）の入力を求められることがあります。
- ログオン時、および公開リソースを起動しようとしたとき。この状況は、WebブラウザーとCitrix Workspace アプリが、クライアント証明書を使用するように構成された同じ仮想サーバーを使用している場合に発生します。
- Citrix Workspace アプリは、プロセスまたはセキュアソケットレイヤー（SSL）接続をWebブラウザーと共有しません。したがって、ICA接続がNetScaler GatewayとのSSLハンドシェイクを完了すると、クライアント証明書がもう一度必要になります。
ユーザーに 2 つ目の PIN プロンプトが表示されないようにするには、次の 2 つの設定を変更する必要があります。
- VPN 仮想サーバーでのクライアント認証は無効にする必要があります。
- SSL 再ネゴシエーションを有効にする必要があります。
仮想サーバーを構成したら、 Web Interface 5.3でのNetScaler Gateway 設定の構成の説明に従って、1つ以上のSTAサーバーを仮想サーバーにバインドします。
スマートカード認証をテストすることもできます。
クライアント認証を無効にするには、次の手順を実行します。
- 構成ユーティリティの［構成］タブのナビゲーションペインで、［ NetScaler Gateway ］を展開し、［ 仮想サーバー］をクリックします。
- メインの詳細ペインで関連する仮想サーバーを選択し、[編集] をクリックします。
- [詳細オプション] ウィンドウで、[SSL パラメータ] をクリックします。
- [クライアント認証] チェックボックスをオフにします。
- ［完了］ をクリックします。
SSL 再ネゴシエーションを有効にするには、次の手順を実行します。
- 構成ユーティリティを使用して、[構成] タブから [トラフィック管理] に移動し、[SSL] をクリックします。
- メインパネルで、[SSL の詳細設定の変更] をクリックします。
- [SSL 再ネゴシエーションの拒否] メニューから、[いいえ] を選択します。
スマートカード認証をテストするには:
- スマートカードをユーザーデバイスに接続します。
- Webブラウザーを開き、NetScaler Gateway にログオンします。