App Volumes Manager のスマート カード認証の有効化

スマート カード認証を有効にするには、App Volumes Manager で [Enable Smartcard Authentication] トグルを使用します。この機能が有効になっているときに、ユーザーが App Volumes Manager 管理ユーザー インターフェイスに移動すると、App Volumes Manager は証明書選択プロンプトを表示します。ユーザーが証明書を選択すると、App Volumes Manager が一連のチェックと検証を実行します。

スマート カードによるユーザー認証のワークフロー、App Volumes Manager によって実行されるチェックと検証の詳細については、「App Volumes Manager のスマート カード認証の使用」を参照してください。

前提条件

• App Volumes Agent 2606 以降がインストールされていることを確認します。
  バージョン 2606 より前の App Volumes Agent では、スマート カード認証はサポートされていません。

• ユーザーがスマート カードで認証を行う場合、スマート カードにユーザーの証明書が含まれている必要があります。さらに、スマート カードが準拠しているスマート カード リーダーによって読み取られる必要があります。

ID プロバイダの要件

Active Directory

• 証明書マッピングの方法としてサブジェクト代替名またはセキュリティ識別子を使用する場合は、スマート カード ログインの証明書テンプレートに次の拡張機能と値を設定します。

  • サブジェクト代替名

    App Volumes は、UPN とメール アドレスのフィールド値のみをチェックします。これらの値は次の形式で指定する必要があります。

    フィールド値	値の形式
    UPN（ユーザー プリンシパル名）	UPN:value
    メール アドレス	RFC822 Name=value または email:value

  • セキュリティ識別子 (1.3.6.1.4.1.311.25.2)

• altSecurityIdentities 属性を使用して、証明書と Active Directory のユーザーをマッピングする場合は、属性に (X.509) でサポートされる値を設定する必要があります。

  App Volumes Manager は、この属性で 6 つの X509 マッピング（X509IssuerSubject、X509SubjectOnly、X509RFC822、X509IssuerSerialNumber、X509SKI、X509SHA1PublicKey）をすべてサポートします。この属性の詳細については、Microsoft のナレッジベースの記事を参照してください。

  **注：**証明書を Entra ID のユーザーとマッピングするには、certificateUserIds 属性を使用する必要があります。

• 証明書失効チェックを使用するには、次の拡張機能と値を設定する必要があります。

  オンライン証明書ステータス プロトコル (OCSP) と証明書失効リスト (CRL) の証明書失効チェックがサポートされます。

  • OCSP の認証局情報アクセス (AIA)

    この拡張機能には、OCSP（オンライン証明書ステータス プロトコル）エンドポイントの有効な HTTP URL が含まれている必要があります。

    • OCSP の場合、App Volumes Manager は HTTP エンドポイントのみをサポートします。
    • この拡張機能のリストに複数の URL が含まれている場合、App Volumes Manager は最初の URL のみをチェックします。
    • AIA 拡張機能に OCSP URL が含まれていない場合、App Volumes Manager は OCSP 失効チェックを実行しません。
    • App Volumes Manager サーバがこの URL にアクセスできる必要があります。

  • CRL 配布ポイント

    この拡張機能には、CRL エンドポイントの有効な URL が含まれている必要があります。

    • この URL は HTTP または LDAP のいずれかにできます。App Volumes Manager は、HTTP と LDAP の両方のエンドポイントをサポートしています。
    • App Volumes Manager サーバがこの URL にアクセスできる必要があります。

• 認証局のルート証明書または中間証明書の名前が adCA.pem で、この証明書が App Volumes Manager サーバの Install_location_of_App_Volumes\config にあることを確認します。
  このパスは、Nginx 構成ファイル (nginx.conf) に記述されている必要があります。

• 発行された証明書が期限切れではなく、有効期間内であることを確認します。

Entra ID

Entra ID の場合、スマート カード認証は、Entra ID とオンプレミス Active Directory が同期されるハイブリッド Active Directory シナリオでのみサポートされます。

Nginx 構成の要件

Install_location_of_App_Volumes\nginx\conf にある nginx.conf ファイルにアクセスして、HTTPS（ポート 443）が有効になっているサーバ ブロックを更新します。

• 次のように、SSL ディレクティブを SSL server ブロックに追加します。

  ssl_client_certificate /path/to/adCA.pem;      # Trusted CA bundle
  ssl_verify_client optional_no_ca;              # Allow both auth methods
  ssl_verify_depth 3;                            # Support intermediate CAs
  

• 次のように、proxy_set_header ディレクティブを location @manager ブロックに追加します。

  proxy_set_header X-SSL-Client-Cert $ssl_client_escaped_cert;
  proxy_set_header SSL-Client-Verify $ssl_client_verify;
  proxy_set_header SSL-Client-S-DN $ssl_client_s_dn;
  proxy_set_header SSL-Client-I-DN $ssl_client_i_dn;
  proxy_set_header SSL-Client-Serial $ssl_client_serial;
  proxy_set_header SSL-Client-Fingerprint $ssl_client_fingerprint;
  

手順

1. App Volumes Manager 管理ユーザー インターフェイスにログインし、[CONFIGURATION] > [Settings] に移動します。

2. [Enable Smartcard Authentication] トグルをオンにします。

3. [Information: Enable Smartcard Authentication] ダイアログが表示されたら、追加要件に関する通知を確認し、[OK] をクリックします。
   追加の設定フィールドが表示されます。

4. （オプション）[CRL Distribution Point URL] フィールドに、CRL エンドポイントの URL を入力します。このフィールドには、HTTP および LDAP の URL を指定できます。
   App Volumes で CRL データをプリフェッチするには、このフィールドを設定します。

   **注：**CRL データがデフォルトの上限 (1024 KB) を超えている場合、CRL 失効チェックは検証不能と見なされます。この上限は変更可能です。この上限を変更する必要がある場合は、Omnissa サポートにお問い合わせください。

5. （オプション）[Certificate Mappings] フィールドに、ユーザー ID のカンマ区切りリストを入力します。
   フィールドを空のままにすると、デフォルトでは、App Volumes Manager は SID、UPN、メール アドレスの順に評価します。このフィールドの詳細については、「App Volumes Manager のスマート カード認証の使用」の「App Volumes が証明書とユーザー アカウントをマッピングする方法」セクションを参照してください。

6. [Save] をクリックします。

   スマート カード認証が有効になります。ユーザーが App Volumes Manager ログイン ページに移動すると、証明書選択プロンプトが表示されます。