PCoIP Secure Gateway (PSG) のセキュリティ プロトコルと暗号化スイートの設定

レジストリを編集すると、PSG のクライアントサイド リスナーによって承認されるセキュリティ プロトコルと暗号化スイートを設定できます。必要な場合、このタスクを RDS ホスト上で実行することもできます。

**重要：**Connection Server のセキュリティ設定は PSG には適用されません。PSG のセキュリティを個別に設定する必要があります。

サポートされているプロトコルは次のとおりです。

SSLv3 以前などの古いプロトコルは許可されません。

OpenSSL で定義されている形式で暗号を指定する必要があります。PSG では、暗号構成に次の 2 つのレジストリ値を使用します。

手順

1. Horizon Connection Server インスタンスまたは RDS ホストで、レジストリ エディタを開き、次の場所に移動します。

   HKLM\Software\Teradici\SecurityGateway
   

2. REG_SZ レジストリ値 SSLProtocol を追加または編集して、許可されたプロトコルのリストをコロンで区切って指定します。

   **例：**TLS 1.2 および TLS 1.3（非 FIPS モードのデフォルト、Horizon 8 バージョン 2312 以降）を有効にするには、次の手順を実行します。

   tls1.3:tls1.2
   

   TLS 1.2（FIPS モードのデフォルト）のみを有効にするには、次の手順を実行します。

   tls1.2
   

3. REG_SZ レジストリ値 SSLCipherList を追加または編集して、TLS 1.1 および TLS 1.2 で許可される暗号のリストを指定します。

   例：

   ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:@STRENGTH
   

   この値が設定されていないか、空の場合、PSG は SSLDisableAES128 と SSLDisableRSACipher の設定に基づいて暗号リストを自動的に作成します。

4. （Horizon 8 バージョン 2312 以降）REG_SZ レジストリ値 SSLCiphersuites を追加または編集して、TLS 1.3 で許可される暗号のリストを指定します。

   例：

   TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:@STRENGTH
   

   この値が設定されていないか、空の場合、PSG はデフォルトの TLS 1.3 暗号リスト ( TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:@STRENGTH) を使用します。

5. 128 ビット AES 暗号化キーをネゴシエートする暗号スイートをフィルタリングするには、REG_SZ レジストリ値 SSLDisableAES128 を追加または編集します。値が定義されていない場合、デフォルトの値 0 が使用され、フィルタは適用されません。これらの暗号化スイートを除外するには、レジストリ値を 1 に設定して、フィルタを有効にします。

   **注：**この設定は、TLS 1.1/1.2 暗号 (SSLCipherList) にのみ適用されます。TLS 1.3 暗号 (SSLCiphersuites) には影響しません。

6. キー交換に RSA を使用する暗号をフィルタリングするには、REG_SZ レジストリ値 SSLDisableRSACipher を追加または編集します。値が定義されていない場合、デフォルトの値 1 が使用され、これらの暗号がリストから除外されます。これらを含める必要がある場合は、レジストリ値を 0 に設定して、フィルタを無効にします。

   **注：**SSLCipherList が明示的に設定されていない場合、この設定は TLS 1.1/1.2 暗号 (SSLCipherList) にのみ適用されます。TLS 1.3 暗号 (SSLCiphersuites) には影響しません。

**重要：**管理者が SSLCipherList に空以外の値を設定している場合、PSG はそれを TLS 1.1/1.2 接続に直接使用します。SSLDisableAES128 および SSLDisableRSACipher フィルタの設定は無視されます。

詳細な構成手順については、「PCoIP 一般的な設定」を参照してください。