検索結果｜シトリックス炎の掲示板｜株式会社ピー・ビーシステムズ

WEBクライアントからの公開アプリケーション使用時の、ログオン認証のタイミングについて

meta美 2006/11/11 00:47:34

まだまだインフラ技術もあまりない初心者です。

公開アプリケーションの使用時に、認証を問われるタイミングについて質問で
す。

WEBページからダウンロードしたICAWEBクライアント（ica32t)を使用した場合、
パススルー認証を設定しても、アプリ使用前にログオン認証を要求されるのは、過去ログ等を見て理解しました。

そのログオン認証のタイミングは、CPS4.0と3.0で違うのでしょうか？

環境や設定は以下のようにして、3.0→4.0へのバージョンアップのための検証を行っています。
■環境
環境①
・OS：Windows 2000 Server(VirtualPC上)　
・CPSのバージョン：Presentation Server4.0（Advanced Edition）

環境②（現在運用中）
・OS：Windows 2000 Server
・CPSのバージョン：Presentation Server3.0（Advanced Edition）

■設定（両サーバとも）
・公開アプリケーション（メモ帳）の使用許可者はドメインユーザグループを指定している
・WebInterfaceを使用する
・サイトの認証ではパススルー認証を使用する

■現象
環境①（CPS4.0）
・ドメインユーザーでログオンしたクライアントPCで、ブラウザからWebInterfaceにアクセスすると、ログオン済みになっていてメモ帳アイコンが表示されている
・メモ帳アイコンをクリックすると、しばらくして認証画面のダイアログボックスが現れる
・メモ帳を一度終了し、再度使用するためにWEBページ上のメモ帳をクリックすると、再度認証が求められる

環境②（CPS3.0）
・ドメインユーザーでログオンしたクライアントPCで、ブラウザからWebInterfaceにアクセスすると、WEBブラウザ上でログオンを求められる。
・メモ帳を一度終了して、再度実行してもログオンは求められない。（セッションが切れるまで）

（両環境ともにドメインユーザーでログオンしたクライアントPCで、Program Neighborhoodを用いた場合は、アプリ使用前にログオン認証を求められることはありません）

■疑問
どうして4.0と3.0でログオン認証を問われるタイミングが違うのでしょうか？
ただバージョンの違いから起こることなのでしょうか？

こういった現象に関する情報をお持ちの方いらっしゃいましたら、教えていただけませんでしょうか。
よろしくお願いします。

はや 2006/11/13 08:44:25

以前、CPS 4.0のWeb Interfaceで同様の問題が発生して
悩んだ覚えがあります。
結論としては、appsrv.ini（C:\Documents and Settings
\<user>\Application Data\ICAClient内）に
以下の変数を、[WFClient］セクションに追加することで
認証画面のダイアログは出なくなりました。

---------------------------
EnableSSOnThruICAFile=On
SSOnUserSetting=On
---------------------------
(Web Interface管理者ガイドP61もご参照ください）

> ■疑問
> どうして4.0と3.0でログオン認証を問われるタイミングが違うのでしょうか？
> ただバージョンの違いから起こることなのでしょうか？

の疑問の回答にはなっていませんが、ご参考まで。
「そんなの知ってるわい」の場合は申し訳ありません。

meta美 2006/11/14 10:26:10

お礼が遅くなって申し訳ありません。
はやさんも同様の現象で悩まれたということは、
やはり4.0では同じタイミングで問題が発生するのでしょうね・・・
ご回答ありがとうございました。

カスタムICAコネクションのIPアドレスによるアクセス制限

yama 2006/11/08 21:40:09

いつもお世話になっております。

Program Neighborhoodにおいて、カスタムICAコネクションの接続を行う場合、クライアントのIPアドレスによるアクセス制限などは行うことはできますでしょうか？
現状ですと、Administratorのユーザー名とパスワードがわかってしまうと誰でも接続することができる状態です。

環境を下記に記します。

＜サーバー環境＞
Meta:MetaFrame Presentation Sever Ver.4.0
OS:Windows Server 2003

＜クライアント環境＞
Meta:Citrix Program Neighborhood Ver.9.1
OS:Windows XP SP2

以上、ご返答のほど、よろしくお願いいたします。

グレートムタ 2006/11/10 10:01:32

管理者権限のIDとパスワードが漏れてしまったら、Windows、及びWindows上で
動作するCPS上では基本的には何でもできてしまうわけで。
漏れた場合の対策をCPSに求めるのはちょっと違うと思いますが如何でしょうか？

yama 2006/11/10 15:22:46

ご返答ありがとうございます。

漏れた場合の対策ではなく、漏れないためにIPアドレスによる制限をかけたいと考えております。
一定のアドレスからのみカスタムICAコネクションの接続をさせるようにしてしまえば、ログイン画面にすらたどり着けなくなるためセキュリティが増すと考えております。

外部からのアクセスはファイアウォールにより一定IPしか通さないようにはなっていますが、その一定IPアドレスのかなでも、アプリケーションの公開のみで、ICAコネクションを使わせたくないIPなどが存在します。

このようなことを実現する方法などはないでしょうか？

以上、ご返答のほど、よろしくお願いいたします。

きくりん 2006/11/15 15:34:03

CPS4.0では、ポリシーについてはIPアドレスで適用先を指定できますが、
アクセス制限はかけられません。
そもそも、一般的なミドルウェアがレイヤー3レベルでのフィルタリングを普通行わないと思います。
それはL3スイッチやFWの仕事です。

一番簡単な方法としては、ソフトウェアFWをCPSにインストールし、
社内FWとの多段構成にすればよいと思います。

きくりん 2006/11/15 16:00:11

追記ですが、
該当IPに対して公開アプリケーションのみのアクセスを許したいのであれば、
インバウンドに80(XML)をaccept、アウトバウンドには1494(ICA)若しくは
2598(画面保持機能利用の場合)をacceptし、
例えばターミナルサービス(リモートデスクトップ)が使う3389はdenyにすればよろしいかと。

きくりん 2006/11/15 16:34:28

すいません、内容をよく読まずに回答してしまいました。
カスタムICAコネクションでの接続に対して制限できないかってことですよね。
申し訳ありません。

普段の運用の中でAdministrator権限でICAセッションを利用する場合がありますか？
もしAdministratorがRDP接続のみの運用でよろしいのであれば、
コネクション構成ツールからICAセッションのアクセス権でAdministratorを拒否にすれば
カスタムICAコネクションでAdministrator権限でアクセスを試みても
接続できなくなります。

グレート大牟田 2006/11/18 00:12:59

出題者の意図は、

Administratorのユーザー名とパスワードがばれてしまう
　　↓
その結果
　　↓
誰でもカスタムICAコネクションにて接続することができる状態
　　↓
になるので、
　　↓
万が一漏れたとしても、カスタムICAコネクション接続を防ぎたい

なんじゃないのですか？
つまり漏れしまった後のリスクを回避したいと読み取れます・・・

AdministratorのID、パスワードが漏れないようにするために、
カスタムICAコネクションの接続制限をするというのは、
目的と対策がアンマッチしていると思いますが。

PNをインストールする際に、カスタムICAコネクションのコンポーネントを
インストールしなきゃいいのでは？端末を利用する方がローカル管理者権限
を持つアカウントでログオンしていると、PNの削除・インストールが可能なので、
防ぎようがないですけど。

もしくはコネクション構成ツールで「公開アプリケーションのみを実行する」に
チェックをしたらいかがでしょう？

それでもRDPで繋がれたらログオン画面は表示されますので、
コネクション構成ツールでRDPは無効にしないといけないですね。

アプリケーションを指定した時のスタートアップ

阿部 2006/11/07 15:48:45

metaframeXPです
アプリケーションを指定してICAクライアントを作成した場合、ログインユーザーの
スタートアップに登録したプログラムとか動いていないみたいなんですが、そう
なのでしょうか
また、そうであれば、それに代わる方法はありますでしょうか

グレートサスケ 2006/11/18 00:52:50

バッチファイルを公開アプリとして登録します。
バッチファイルの1行目に、スタートアップに配置したいアプリを起動する記述を行います。
2行目に公開アプリを起動するための記述を行います。

阿部 2006/11/21 10:58:51

お返事が遅くなりましてすみません
バッチファイルも試してみたのですが、アプリを指定した場合は
アプリを終了するとセッションも自動的に閉じてくれますが
バッチの場合はセッションが残りますよね
あれはどうしようも無いのでしょうか

グレートサスケ 2006/11/21 12:42:43

セッションが残ったか否かはちょっと未確認ですが、
一定期間使用していないセッションはログオフさせるようなことが
運用的にOKなのであれば、Meta側でそのような設定を行うことで
実現可能だとは思います。

IPアドレスによるアクセス制限

yama 2006/11/07 12:01:07

いつもお世話になっております。

公開アプリケーションのアクセス制限をユーザーだけではなくIPアドレスも交えた形で公開することができますでしょうか？
現状ですと、公開アプリケーションのユーザーに登録されているユーザー名とパスワードがわかってしまうと誰でもアプリケーションを起動することができる状態です。
METAフレームのサーバーに複数社のアプリケーションを公開した場合、他社同士は公開アプリケーションを使用させないようにしたいと考えております。
各会社では固定IPアドレスが違いますので、このアプリケーションはこのユーザー名、パスワード、IPで使用させるといった形にできればと考えております。

環境を下記に記します。

＜サーバー環境＞
Meta:MetaFrame Presentation Sever Ver.4.0
OS:Windows Server 2003

＜クライアント環境＞
Meta:Citrix Program Neighborhood Ver.9.1
OS:Windows XP SP2

サーバーへは、各社固定IPを使用して接続しております。
ファイアウォールもしようしてIPの許可を行っております。

以上、ご返答のほど、よろしくお願いいたします。

Asterisk 2006/11/07 12:30:20

CMCの負荷評価基準でアプリケーションごとのIPアドレスの制限が可能かと思います。
範囲指定ですが、同じIPを指定すれば固定IPと同じ働きをするかと思います。

ご参考まで。

yama 2006/11/07 15:10:36

ご返答ありがとうございます。

試してみたところ、アプリケーションの公開をIPアドレスでコントロールすることができました。

同じようにカスタムICAコネクションなどもIPアドレスでアクセス制限を行うことはできますでしょうか？

以上、ご返答のほど、よろしくお願いいたします。

ダイヤルアップ接続でタイムアウトになる？

mnakaue 2006/10/31 18:21:44

はじめて投稿します
実行環境
サーバー＝Windows2003Server
　　　　　MetaFrem Presentation Server 3.0
クライアント＝WindowsXP

現象
クライアイントとサーバー間で接続情報の確認の為にテキストデータ（数ＫＢ）の
送受信をしているのですが
社内LAN環境ではＶＢで作成したアプリケーションの実行に問題ないのですが
ダイヤルアップ接続によるＶＰＮ接続で、同じアプリケーションを実行すると
サーバーからクライアントへの「データ送信に失敗しました」と表示されます
メタフレームサーバーで応答のタイムアウトなどの設定があるのでしょうか？
又、通信のログを取得する方法はありますでしょうか？

だれか、教えてください
よろしくお願いします

CPSのログイン画面が自動的に起動する

maru 2006/10/31 09:24:09

いつも拝見しています。教えてください。
CPSのバージョン4.0でクライアントにはエージェントのみが入っています。

クライアントのWindows起動直後に自動的にCPSのログイン画面が起動してくるのですが
起動しないようにすることはできないのでしょうか？

スタートアップにエージェントがあるから起こるのかと調査したところスタートアップにエージェントがない端末でもWindows起動直後に表示されてしまいます。

それとある時刻？にCPSのログイン画面が自動的に起動することがあります。これはなぜでしょう？
時刻といっても全く同じではなく、Windowsを起動してから何時間とかで起こっているような
感じなのですがこのような設定するところがあるのでしょうか？

分かる方いらっしゃいましたらお願いします。

Asterisk 2006/11/02 17:39:13

#Agentは触ったことがなくあまり詳しくはないので参考程度で聞いてください

1.PNAgentのPropatyでログオンモードはどうなっていますか？
起動時にサーバに接続し公開アプリケーションの一覧を更新する仕様だとするならば
「指定ユーザ」モードで認証がはいる気がします。

2.アプリケーションの一覧を更新する時間間隔をご確認ください。

一度Agentの設定をサーバ側でユーザ設定可能なようにするか、
管理者側で値を決めて、ユーザ側に設定させないようにする運用がよろしいかと思います。

CPS上のドライブを隠す

maru 2006/10/27 16:46:58

いつも拝見しています。分からないことがあるので教えて下さい。
VB.NETで作成したアプリケーションをCPS上で動かしています。
VBでファイルを開くダイアログを使用していますが、CPS上のドライブが参照できCPS上のファイル
を削除したり移動できたりします。これをマッピングしたクライアントのドライブだけ参照できる
ようにできないでしょうか？

分かる方いらっしゃいましたらお願いします。

Asterisk 2006/10/27 19:22:17

環境の詳細がわかりませんが、Windows2000以降のサーバであれば、
GroupPolicyで制御なさってはいかがでしょうか。
（ドライブを見せない・ファイルの権限等）

ただ、VB側のファイルを開くダイアログの初期フォーカス位置には注意する必要が
あると思います。

maru 2006/10/30 14:06:13

返信ありがとうございます。
WindowsのGroupPlicyですね。試してみます。

匿名ユーザーの接続を許可でエラー

ヒロ 2006/10/27 09:39:49

はじめましてヒロと申します。

<構成>
・MetaFrame XPe FR2（Windows2000Server SP4）
・公開アプリ　VB6.0で開発した業務アプリ
・Citrix NFuse Classic　Ver1.7

NFuseで公開アプリケーションでＥｘｅを実行します。

公開アプリケーションの登録で匿名ユーザーの接続を許可をチェックし
実行すると以下のエラーメッセージが表示されます。

-------------------------------------------------------------------
ログオン失敗：ユーザー名を認識できないか、またはパスワードが間違っています。
この作業ディレクトリは無効です。「☆☆☆」
クライアント構成の作業ディレクトリを確認してください
-------------------------------------------------------------------

※「☆☆☆」は作業ディレクトリのパスが表示されています。

ご存知の方が教えていただきたいのですが
よろしくお願いします。

きくりん 2006/10/27 11:32:44

公開アプリケーションの登録時に作業ディレクトリはどういう設定をされていますか？
デフォルトではアプリケーションが格納されているディレクトリになりますが、
そのディレクトリにユーザのアクセス権がないとエラーが表示されます。
アプリケーション格納ディレクトリにユーザに対してのアクセス権を付与できないのであれば、
パブリックなディレクトリ若しくはユーザプロファイル等を作業ディレクトリに指定してください。

ヒロ 2006/10/27 12:54:04

きくりん　さん
早速のレスありがとうございます。

作業ディレクトリはＥＸＥが格納されている
ディレクトリになっています。

MetaFrameがインストールされているドメインと違うサーバーに
Ｅｘｅが格納されています。
「匿名ユーザーの接続を許可」のチェックをはずして
アカウントを設定すれば、NFuseには表示されないが
Citrix　Program Heighborhoodからの起動は可能になります。

MetaFrameに設定が必要ですか？
よろしくお願いします。

ヒロ 2006/10/27 16:13:36

自己レス

ＥＸＥが格納されているサーバーのローカルユーザーの「Geust」が
無効で、そのためにサーバーにアクセスできずにエラーとなっていました。

お騒がせしました。

一瞬でログオフしてしまう現象

K 2006/10/25 15:19:58

いつも参考にさせて頂いております。
現在、MetaFrameサーバー３台（MetaFrame XP FR3）で運用しておりますが、３台ともそれぞれ決まった接続数まで達すると、
それ以降にログオンしようとしたクライアントは一瞬でログオフされてしまう現象が起きてしまい、運用が立ち行かなくなり困っております。（ライセンス数は十分余裕があるのですが・・・。）
もし何かご存知であればお教え頂けませんでしょうか？

宜しくお願いします。

クライアントはProgram Neighborhood ver.8.10&9.15
サーバーはWindows 2000 server SP3
となります。

AutoCreatePrinterが生成されない時がある

よし 2006/10/20 18:37:45

いつも参考にしております。
現在、MetaFrameXp　FR3の環境で運用しておりますが
稀にAutoCreatePrinterがサーバ上で生成されていない時があり
ユーザから印刷できないと連絡があり、調べるとサーバ上でそのユーザのみ
AutoCreatePrinterが生成されておらず、一度ログオフして
再度、ログインしてMetaFrameサーバに接続すると
AutoCreatePrinterが生成され印刷できるようになります。

なぜ、AutoCreatePrinterが生成されない時があるのか
不明で、Hotfixを探してみても見つからず
同様の現象を経験されている方がいましたら
ご教授いただけないでしょうか。宜しくお願いします。

＜環境＞
MetaFrameXp　FR3
OS：Winsows2000Server　Sp3
PN:Ver9.00

グレートコジ 2006/11/18 16:44:10

MetaXPサーバは複数台あったりしますか？
AutoCreateされない場合に、MetaXP上のイベントログにエラー等はございませんか？
症状は構築後から発生しているのでしょうか？それとも何かの作業後からでしょうか？

よし 2006/11/20 18:51:15

グレートコジ様、レスありがとうございます。
サーバは３台で負荷分散しており、この現象は構築後から発生しております。

イベントログは確認していませんが、
サーバ上にドライバがない時もエラーが上がるため、
現象が出た時のエラーと判別不可能な現状です。
そのため、次回、象が発生した時に確認してみます。

現在は、Rollups をインストールして様子をみています。

グレートコジ 2006/11/21 12:49:20

以下の切り分けが必要かと思います。
・現象がユーザーアカウントに紐付いているのか？
・あるいはプリンタに紐付いているのか？
・それとも特定のMetaサーバに紐付いているのか？

やきにく 2006/11/23 21:53:39

同様の環境で同じ現象が発生しております。
原因がはっきりしませんが、クライアントがWindowsXPSP1だと症状がでて、
SP2だと正常に機能しているように見えました。
（まだいろいろと確認中で、実は違うところが原因かも知れません）

よし 2006/11/24 20:45:42

私も記憶を辿ると、たしか現象がでたクライアントはXpSP1だったような気がします。
偶然ということも考えられるので、引き続き現象を確認してみます。

Tommy 2006/11/29 12:03:09

生成されないとき、Citrix Print Manager Serviceは停止していませんか？
サーバ上にドライバがない時にCitrix Print Manager Serviceが停止する、
という現象も聞いたことがあります。

これが停止するとAutoCreatePrinterは生成されません。
サービスを起動しなおして、クライアントを再接続する必要があります。