概要
これらのリリース ノートでは、Microsoft Forefront Unified Access Gateway (UAG) 2010 に関連する遅延の問題に対処します。 Forefront Unified Access Gateway (UAG) をインストールする前に、このドキュメントに含まれている情報を読む必要があります。 この記事には、この更新プログラムに関する次の情報が含まれています。
- この更新プログラムに含まれる新機能と機能強化
- この更新プログラムで解決される問題
- この更新プログラムの入手方法
- この更新プログラムをインストールするための前提条件
- 既知の問題
概要
この記事では、Update 2 for Forefront UAG 2010 について説明し、インストール手順について説明します。 Forefront UAG 2010 の更新プログラム 2 には、次の機能があります。
クライアント コンポーネントの機能強化: Forefront UAG SSL アプリケーション トンネリング (ソケット フォワーダー) コンポーネントが、32 ビット アプリケーションの Windows Vista および Windows 7 64 ビット オペレーティング システムでサポートされるようになりました。 詳細については、次の表と問題 #3 を参照してください。
機能 Windows XP 32 ビット Windows Vista 32 ビット Windows Vista 64 ビット Windows 7 32 ビット Windows 7 (64 ビット) Mac または Linux オフライン インストール ○ はい ○ ○ ○ × オンライン インストール はい ○ ○ はい ○ ○ エンドポイント検出 ○ ○ ○ ○ はい ○ アタッチメントワイパー ○ はい ○ ○ ○ はい SSL トンネリング コンポーネント ○ ○ はい ○ ○ ○ ソケット フォワーダー はい ○ ○ はい ○ × SSL アプリケーション トンネリング (ネットワーク コネクタ) ○ はい ○ × × × 注: ブラウザー、オペレーティング システム、およびクライアント コンポーネントの機能と互換性の詳細については、次の Microsoft TechNet Web ページを参照してください。
Virtual Desktop Infrastructure (VDI): Forefront UAG は、VDI の個人用デスクトップ シナリオを使用したリモート デスクトップの公開を完全にサポートします。
Citrix Publishing Support: Forefront UAG では、Citrix Presentation Server 4.5 とその代わりの Citrix XenApp 5.0 が完全にサポートされています。
Citrix クライアント コンピューターのサポート: Forefront UAG は、XenApp クライアントが 32 ビットの Citrix XenApp アプリケーションにアクセスする 64 ビット オペレーティング システムを備えた Windows Vista および Windows 7 コンピューターをサポートします。 詳細については、以下の問題 #4 を参照してください。
SSTP ユーザーとグループのAccess Control: Forefront UAG では、管理者が SSTP アクセスの個々のグループを承認できるようにする、より細かい承認メカニズムが提供されるようになりました。
SSL ハンドシェイク: Forefront UAG では、UAG と公開された Web サーバー間の SSL ハンドシェイクをより堅牢に処理できるようになりました。
クライアント証明書の委任: Forefront UAG では、アプリケーション サーバーでネゴシエーションにクライアント証明書の資格情報が必要なアプリケーションのサポートが制限されるようになりました。
ネットワーク コネクタ MAC アドレスのサポート: Forefront UAG ネットワーク コネクタ サーバーでは、MAC アドレス範囲が拡張された幅広いネットワーク アダプターがサポートされています。
Update 2 for Forefront UAG 2010 の新機能の詳細については、次の Microsoft Web ページの「Forefront UAG の新機能」セクションを参照してください。
追加情報
更新情報
次のファイルは、Microsoft ダウンロード センターからダウンロードできます。
Forefront Unified Access Gateway (UAG) Update 2 パッケージを今すぐダウンロードします。
マイクロソフトのサポート ファイルをダウンロードする方法の詳細については、以下のサポート技術情報番号をクリックしてください。
119591 Microsoftがこのファイルをスキャンしてウイルスをスキャンしたオンライン サービスからMicrosoftサポートファイルを取得する方法。 配布ファイルはセキュリティで保護されたサーバー上に置かれており、権限のない第三者が無断でファイルを変更できないようになっています。 配布ファイルはセキュリティで保護されたサーバー上に置かれており、権限のない第三者が無断でファイルを変更できないようになっています。
前提条件
この更新プログラムは累積的であり、UAG 2010 の次のバージョンを実行しているアプライアンス、サーバー、または仮想マシンに適用できます。
- UAG 2010 (RTM)
- UAG 2010 Update 1
- UAG 2010 Update 1 Rollup 1 修正プログラム パッケージ
UAG Update 1 の詳細については、次の記事番号をクリックして、Microsoft サポート技術情報の記事を参照してください。
981323 Update 1 for Unified Access Gateway 2010 の説明 UAG Update 1 Rollup 1 修正プログラム パッケージの詳細については、次の記事番号をクリックして、Microsoft サポート技術情報の記事を表示します。
981932 Unified Access Gateway 2010 Update 1 のロールアップ 1 修正プログラム パッケージの説明
インストールに関する注意事項
UAG サーバー配列が使用されている場合のインストール順序
- 最初に、配列マネージャーに Update 2 をインストールします。
- 再起動。
- UAG 構成をアクティブ化します。
- 構成が同期されるまで待ちます。
- 最初のマネージャー以外の配列メンバーに Update 2 をインストールします。
- 再起動。
- 残りの配列メンバーすべてに対して繰り返します。
注 必要に応じて、Update 2 のアンインストールを逆の順序で実行する必要があります。
再起動の必要性
配列以外のシナリオでは、この更新プログラム パッケージを適用した後にコンピューターを再起動する必要はありません。 更新プログラム パッケージをインストールした後、UAG 構成をアクティブ化する必要があります。 UAG ライセンス認証を実行すると、UAG サーバーへの既存の SSL アプリケーション トンネリング接続が終了することに注意してください。
配列のシナリオでは、再起動が必要です。 上記の配列のインストール手順は、配列を使用する場合に更新プログラムを正常にデプロイするために必要です。これらの手順に従わないと、配列が破損し、構成が失われる可能性があります。
修正プログラムの置き換えに関する情報
この修正プログラムを適用しても、以前にリリースされた修正プログラムが置き換えられることはありません。
アンインストール情報
この更新プログラムをアンインストールするには、次のいずれかの方法を使用します。
組み込みの管理者としてログオンし、コントロール パネルの [プログラムと機能] アプレットを使用して更新プログラムをアンインストールします。
管理者特権のコマンド プロンプトから次のコマンドを入力し、Enter キーを押します。
msiexec.exe /uninstall {31F37A8F-7454-453C-B084-9334E3EBA839} /package {9B0CE58E-C122-4CB4-80C1-514D4162C07C}
ファイル情報
この修正プログラムの英語版には、次の表に示すファイル属性 (またはそれ以降のファイル属性) があります。 これらのファイルの日付と時刻は世界協定時 (UTC) で記載されています。 ファイル情報に表示される時刻は、ローカル時刻に変換されています。 UTC とローカル時刻との時差を確認するには、[コントロール パネル] の [日付と時刻] の [タイム ゾーン] タブを使用してください。
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Agent_win_helper.jar | 該当なし | 1,286,015 | 2010 年 8 月 30 日 | 13:12 | 該当なし |
| Clientconf.xml | 該当なし | 6,675 | 2010 年 9 月 15 日 | 06:41 | 該当なし |
| Configdatacomlayer.dll | 4.0.1269.200 | 192,400 | 2010 年 9 月 15 日 | 1,308 | x64 |
| Configdatalayer.dll | 4.0.1269.200 | 3,871,632 | 2010 年 9 月 15 日 | 08:06 | x64 |
| Configmgrcom.exe | 4.0.1269.200 | 199,568 | 2010 年 9 月 15 日 | 08:01 | x64 |
| Configmgrcomlayer.dll | 4.0.1269.200 | 2,246,032 | 2010 年 9 月 15 日 | 08:15 | x64 |
| Configmgrcore.dll | 4.0.1269.200 | 1,375,632 | 2010 年 9 月 15 日 | 23:08 | x64 |
| Configmgrinfra.dll | 4.0.1269.200 | 1,599,888 | 2010 年 9 月 15 日 | 08:12 | x64 |
| Configmgrlayer.dll | 4.0.1269.200 | 215,440 | 2010 年 9 月 15 日 | 08:05 | x64 |
| Configuration.exe | 4.0.1269.200 | 8,920,976 | 2010 年 9 月 15 日 | 22:08 | x64 |
| Detection.js | 該当なし | 14,591 | 2010 年 9 月 15 日 | 07:20 | 該当なし |
| Https_whlfiltappwrap_forpor | 該当なし | 60,961 | 2010 年 9 月 15 日 | 07:19 | 該当なし |
| Http_whlfiltappwrap_forport | 該当なし | 59,475 | 2010 年 9 月 15 日 | 07:19 | 該当なし |
| Install.js | 該当なし | 11,218 | 2010 年 9 月 15 日 | 07:20 | 該当なし |
| Installanddetect.asp | 該当なし | 12,067 | 2010 年 9 月 15 日 | 07:20 | 該当なし |
| Internalerror.asp | 該当なし | 8,344 | 2010 年 9 月 15 日 | 07:20 | 該当なし |
| Internalerror.inc | 該当なし | 24,402 | 2010 年 9 月 15 日 | 07:20 | 該当なし |
| Login.asp | 該当なし | 24,183 | 2010 年 9 月 15 日 | 07:20 | 該当なし |
| Logoffmsg.asp | 該当なし | 7,705 | 2010 年 8 月 30 日 | 1,311 | 該当なし |
| Microsoft.uag.da.messages.d | 4.0.1269.200 | 33,680 | 2010 年 9 月 15 日 | 08:14 | x64 |
| Microsoft.uag.transformer.c | 4.0.1269.200 | 6,297,488 | 2010 年 9 月 15 日 | 08:02 | x86 |
| Monitormgrcom.exe | 4.0.1269.200 | 151,952 | 2010 年 9 月 15 日 | 08:01 | x64 |
| Monitormgrcore.dll | 4.0.1269.200 | 740,240 | 2010 年 9 月 15 日 | 23:08 | x64 |
| Monitormgrlayer.dll | 4.0.1269.200 | 354,192 | 2010 年 9 月 15 日 | 08:12 | x64 |
| Policy.xml | 該当なし | 80,244 | 2010 年 10 月 17 日 | 12:16 | 該当なし |
| Policydefinitions.xml | 該当なし | 61,516 | 2010 年 9 月 15 日 | 07:15 | 該当なし |
| Redirecttoorigurl.asp | 該当なし | 1,423 | 2010 年 8 月 30 日 | 1,311 | 該当なし |
| Repairinstallation.vbs | 該当なし | 3,044 | 2010 年 8 月 30 日 | 13:12 | 該当なし |
| Ruleset_forinternalsite.ini | 該当なし | 47,019 | 2010 年 8 月 30 日 | 1,311 | 該当なし |
| Sessionmgrcom.exe | 4.0.1269.200 | 233,872 | 2010 年 9 月 15 日 | 08:24 | x64 |
| Sessionmgrcomlayer.dll | 4.0.1269.200 | 1,641,360 | 2010 年 9 月 15 日 | 08:02 | x64 |
| Sessionmgrcore.dll | 4.0.1269.200 | 738,192 | 2010 年 9 月 15 日 | 08:01 | x64 |
| Sessionmgrinfra.dll | 4.0.1269.200 | 1,197,968 | 2010 年 9 月 15 日 | 22:08 | x64 |
| Sessionmgrlayer.dll | 4.0.1269.200 | 200,592 | 2010 年 9 月 15 日 | 08:04 | x64 |
| Sfhlprutil.cab | 該当なし | 57,194 | 2010 年 9 月 15 日 | 08:35 | 該当なし |
| Shareaccess.exe | 4.0.1269.200 | 492,944 | 2010 年 9 月 15 日 | 08:12 | x64 |
| Sslbox.dll | 4.0.1269.200 | 58,768 | 2010 年 9 月 15 日 | 08:14 | x64 |
| Sslvpntemplates.xml | 該当なし | 28,704 | 2010 年 8 月 30 日 | 13:12 | 該当なし |
| Sslvpn_https_profiles.xml | 該当なし | 968 | 2010 年 10 月 17 日 | 12:16 | 該当なし |
| Uagqec.cab | 該当なし | 64,842 | 2010 年 9 月 15 日 | 08:36 | 該当なし |
| Uagqessvc.exe | 4.0.1269.200 | 207,760 | 2010 年 9 月 15 日 | 08:04 | x64 |
| Uagrdpsvc.exe | 4.0.1269.200 | 144,272 | 2010 年 9 月 15 日 | 08:14 | x64 |
| Uninstalluagupdate.cmd | 該当なし | 212 | 2010 年 9 月 15 日 | 08:41 | 該当なし |
| Usermgrcom.exe | 4.0.1269.200 | 119,184 | 2010 年 9 月 15 日 | 08:01 | x64 |
| Usermgrcore.dll | 4.0.1269.200 | 837,008 | 2010 年 9 月 15 日 | 08:01 | x64 |
| Whlasynccomm.dll | 4.0.1269.200 | 107,408 | 2010 年 9 月 15 日 | 08:14 | x64 |
| Whlcache.cab | 該当なし | 265,768 | 2010 年 9 月 15 日 | 08:36 | 該当なし |
| Whlclientsetup-all.msi | 該当なし | 2,964,992 | 2010 年 9 月 15 日 | 22:08 | 該当なし |
| Whlclientsetup-basic.msi | 該当なし | 2,964,992 | 2010 年 9 月 15 日 | 08:01 | 該当なし |
| Whlclientsetup-networkconne | 該当なし | 2,965,504 | 2010 年 9 月 15 日 | 08:04 | 該当なし |
| Whlclientsetup-networkconne | 該当なし | 2,965,504 | 2010 年 9 月 15 日 | 03:08 | 該当なし |
| Whlclientsetup-socketforwar | 該当なし | 2,964,992 | 2010 年 9 月 15 日 | 08:24 | 該当なし |
| Whlclntproxy.cab | 該当なし | 242,713 | 2010 年 9 月 15 日 | 08:35 | 該当なし |
| Whlcompmgr.cab | 該当なし | 689,483 | 2010 年 9 月 15 日 | 08:35 | 該当なし |
| Whlcppinfra.dll | 4.0.1269.200 | 669,584 | 2010 年 9 月 15 日 | 23:08 | x64 |
| Whldetector.cab | 該当なし | 263,764 | 2010 年 9 月 15 日 | 08:36 | 該当なし |
| Whlfiltappwrap.dll | 4.0.1269.200 | 315,280 | 2010 年 9 月 15 日 | 1,402 | x64 |
| Whlfiltappwrap_http.xml | 該当なし | 59,475 | 2010 年 9 月 15 日 | 19:13 | 該当なし |
| Whlfiltappwrap_https.xml | 該当なし | 60,961 | 2010 年 9 月 15 日 | 19:13 | 該当なし |
| Whlfiltauthorization.dll | 4.0.1269.200 | 311,696 | 2010 年 9 月 15 日 | 1,423 | x64 |
| Whlfilter.dll | 4.0.1269.200 | 589,200 | 2010 年 9 月 15 日 | 14:22 | x64 |
| Whlfiltsecureremote.dll | 4.0.1269.200 | 1,037,200 | 2010 年 9 月 15 日 | 14:22 | x64 |
| Whlfiltsecureremote_http.xm | 該当なし | 77,404 | 2010 年 8 月 30 日 | 1,311 | 該当なし |
| Whlfiltsecureremote_https.x | 該当なし | 80,308 | 2010 年 10 月 17 日 | 12:16 | 該当なし |
| Whlfirewallinfra.dll | 4.0.1269.200 | 444,816 | 2010 年 9 月 15 日 | 1,308 | x64 |
| Whlgenlib.dll | 4.0.1269.200 | 511,376 | 2010 年 9 月 15 日 | 08:04 | x64 |
| Whlglobalutilities.dll | 4.0.1269.200 | 106,384 | 2010 年 9 月 15 日 | 08:05 | x64 |
| Whlinstallanddetect.inc | 該当なし | 4,476 | 2010 年 8 月 30 日 | 1,311 | 該当なし |
| Whlio.cab | 該当なし | 167,277 | 2010 年 9 月 15 日 | 08:35 | 該当なし |
| Whlioapi.dll | 4.0.1269.200 | 76,176 | 2010 年 9 月 15 日 | 08:04 | x64 |
| Whliolic.dll | 4.0.1269.200 | 15,760 | 2010 年 9 月 15 日 | 22:08 | x64 |
| Whlios.exe | 4.0.1269.200 | 137,104 | 2010 年 9 月 15 日 | 08:24 | x64 |
| Whllln.cab | 該当なし | 167,095 | 2010 年 9 月 15 日 | 08:36 | 該当なし |
| Whlllnconf1.cab | 該当なし | 6,521 | 2010 年 9 月 15 日 | 08:35 | 該当なし |
| Whlllnconf2.cab | 該当なし | 6,610 | 2010 年 9 月 15 日 | 08:36 | 該当なし |
| Whlllnconf3.cab | 該当なし | 6,599 | 2010 年 9 月 15 日 | 08:35 | 該当なし |
| Whltrace.cab | 該当なし | 254,352 | 2010 年 9 月 15 日 | 08:36 | 該当なし |
| Whltsgauth.dll | 4.0.1269.200 | 184,208 | 2010 年 9 月 15 日 | 08:02 | x64 |
| Whltsgconf.dll | 4.0.1269.200 | 87,440 | 2010 年 9 月 15 日 | 22:08 | x64 |
| Whlvaw_srv.dll | 4.0.1269.200 | 138,128 | 2010 年 9 月 15 日 | 08:05 | x64 |
| Wioconfig.dll | 4.0.1269.200 | 496,528 | 2010 年 9 月 15 日 | 08:01 | x64 |
この更新プログラムに含まれる問題を修正しました
この更新プログラムは、以前に Microsoft サポート技術情報の記事に記載されていない次の問題を修正します。
問題 1
現象
管理者は、Secure Socket Tunneling Protocol (SSTP) 仮想プライベート ネットワーク (VPN) クライアントの詳細なアクセス制御を必要とします。 ただし、UAG で SSTP を構成すると、VPN クライアントが内部ネットワーク全体にアクセスできる 1 つのアクセス規則が作成されます。
http://technet.microsoft.com/en-us/library/ee522953.aspx の次のテキストに従って、Threat Management Gateway (TMG) コンソールを使用して、SSTP VPN Access の詳細なアクセス制御を有効にするルールを作成することがサポートされています。
Forefront TMG 管理コンソールを使用したアクセス 規則の作成。Forefront UAG for VPN リモート ネットワーク アクセスを展開するときに、きめ細かいアクセスを行うユーザー、グループ、ネットワークを制限する目的で」と説明します。
ただし、管理者がユーザー アクセスを制限するアクセス 規則を作成すると、UAG のアクティブ化後に、これらの規則が削除されるか、アクセス ポリシーの下部に移動されます。 つまり、既定の規則が優先され、構成された詳細な制御が失われます。
原因
この問題は、UAG のアクティブ化中に TMG にデプロイされる UAG と動的に生成されるルールの統合の設計の制限によって発生します。
解決策
TechNet で説明されているように、きめ細かいアクセス制御をサポートするための TMG 規則の手動変更は、UAG 管理コンソールでのきめ細かいアクセス制御の明示的なサポートを優先して、減価償却されます (UAG Update 2 のインストール後はサポートされなくなりました)。
UAG 管理者は、特定の Active Directory グループのメンバーである SSTP VPN ユーザーへの特定の内部ネットワーク アドレスへのアクセスを明示的に有効にできるようになりました。 UAG 管理者は、[SSL ネットワーク トンネリング構成] ダイアログ ボックスの [ ユーザー グループ ] タブを使用して、一連のアクセス 規則で構成される詳細な IP VPN アクセス ポリシーを定義する必要があります。 すべてのルールは、SSTP VPN に接続しているときに特定の Active Directory グループのメンバーがアクセスできる内部ネットワーク IP アドレスと IP アドレス範囲のセットを定義します。
問題 2
現象
UAG での Microsoft Virtual Desktop Infrastructure (VDI) サポートは完全には実装されていません。
原因
誤解を招く UAG UI、問題のある構成、および実装中に異なるリソースで複数の承認をサポートできないと、VDI が正しく動作しなくなるためです。
解決策
UAG UI を更新し、より堅牢な実装で VDI のパーソナル デスクトップ シナリオをサポートするように設計変更を行いました。 VDI のプールされたデスクトップ シナリオは実装されておらず、UAG の今後の更新で実装される可能性があります。
問題 3
現象
SSL アプリケーション トンネリング (ソケット フォワーダー) 用の UAG クライアント コンポーネントは、64 ビット バージョンの Windows 7 および 64 ビット バージョンの Windows Vista ではサポートされていません。
原因
これは、UAG Update 2 のリリース前の UAG クライアント コンポーネントの設計された動作です。
解決策
次のシナリオに対処するための設計変更を行いました。
発行方法として UAG ソケット転送/アプリケーション トンネリングを使用する Web 以外のアプリケーションの幅広いセットがあります。 たとえば、このようなアプリケーションは Citrix XenApps と Presentation Server 4.5 であり、どちらもブラウザーで ActiveX アプリケーションとして実行されます。 この更新プログラムの前に、技術的な制限があるため、64 ビット バージョンのクライアント オペレーティング システムでの発行方法の展開は禁止されています。 そのため、これらのメソッドを使用する同じ発行済みアプリケーションは、64 ビット オペレーティング システムではなく、32 ビット バージョンのクライアント オペレーティング システムからアクセスできます。
このシナリオで行われた変更は、トンネリングされたアプリケーションを開くために、64 ビット バージョンの Windows クライアント オペレーティング システム上のソケット 転送 (SF) クライアント コンポーネントの展開方法を提供することです。 この実装の制限事項は次のとおりです。
- ソケット フォワーダーのサポートは、Windows Vista の 64 ビット バージョンと Windows 7 の 64 ビット バージョンに制限されています。その他の 64 ビット バージョンのオペレーティング システムはサポートされていません。
- ソケット フォワーダーは、ユーザーが 32 ビット バージョンのインターネット エクスプローラー (WOW64 32 ビット エミュレーションで実行) から UAG にアクセスする場合にのみサポートされます。
- Socket Forwarder は 32 ビット アプリケーション (WOW64 アプリケーション) とのみ対話し、ネイティブの 64 ビット アプリケーションとは対話しません。
更新されたコンポーネントのデプロイ オプションを次に示します。
オンライン: SF コンポーネントのデプロイを実行する標準的な方法。 トンネリング発行方法として SF を使用するすべての UAG ポータル アプリケーションの最初の呼び出しでは、コンポーネントがダウンロードされ、インストールされます。
オフライン: 管理者は、スクリプト化されたソフトウェア配布または手動インストールを使用して、適切な Windows インストーラー アプリケーション (MSI) をクライアントに展開することもできます。 UAG Update 2 のインストール後、ファイルは次の場所にある UAG サーバーで使用できるようになります。
%UAG インストール ディレクトリ%\von\PortalHomePage\
問題 4
現象
64 ビット バージョンの Windows Vista またはウィンドウ 7 を実行しているクライアント コンピューターから、UAG で発行された Citrix XenApps 5.0 にアクセスすることはできません。
原因
これは、UAG Update 2 のリリース前の UAG クライアント コンポーネントの設計された動作です。
解決策
詳細については、問題 3 の「解決」セクションを参照してください。
問題 5
現象
エンドポイント ポリシーを作成または編集しようとすると、一覧に "McAfee Total Protection" ポリシーが 2 回表示されます。 2 つ目の "McAfee Total Protection" ポリシーを選択すると、次のようなエラー メッセージが表示されます。
注
ソース行が見つかりませんでした
原因
この問題は、%UAG インストール ディレクトリ%\von\Conf\PolicyDefinitions.xml ファイルに、同じタイトルと ID を持つ 2 つのエントリが含まれているために発生します。
解決策
二重エントリの問題は、PolicyDefinitions.xml ファイルから 2 番目のレコードを削除することで解決されます。
問題 6
現象
UAG によって発行されたリソースにアクセスすると、クライアントはブラウザーで "証明書の処理中に不明なエラーが発生しました" というエラーを受け取ります。 また、UAG 管理者は、UAG サーバーのデバッグ ログに、SSL ネゴシエーション ステップ "ハンドシェイクの確認状態" の間にSEC_I_CONTINUE_NEEDEDが返される場合があります。その手順を実行すると、デバッグ ログに /InternalSite/InternalError.asp ページがエラー コード 37 と共にクライアントに返されていることが示されます。 エラー コード 37 は、"証明書の処理中に不明なエラーが発生しました" というエラー メッセージです。
原因
既存の SSL メカニズムは、UAG を介して発行されたバックエンド サーバーとの SSL ハンドシェイクを実行する場合、いくつかのシナリオを正しく処理しません。 SSL のストリーミングの性質により、不十分なデータを受信したり、ハンドシェイク中に情報を読み取りすぎたりする可能性がある複雑なシナリオが作成されます。 このシナリオでは、InitializeSecurityContext は、将来使用するために保存する必要がある追加のデータを渡したことを報告します (おそらく、ネットワーク経由でさらにデータを読み取った後)。
解決策
ハンドシェイク アルゴリズムは、追加のストリーミング ケースとシナリオをサポートするように拡張されています。
問題 7
現象
UAG を介して発行された HTTPS アプリケーションにアクセスすると、ユーザーはエラー 37 "証明書の処理中に不明なエラーが発生しました" を受け取ります。ユーザーがアプリケーションにアクセスしているときにデバッグ ログ (SSLBOX_BASE トレースを含む) を実行している管理者には、次のエラー メッセージが表示されます。
注
ERROR:セキュリティ コンテキストを初期化できませんでした。 返されたエラー: 0x90320。
InitializeSecurityContext return SEC_INCOMPLETE_CREDENTIALS – Schannel にはクライアント証明書の資格情報が必要です
原因
バックエンド アプリケーション サーバーは、SSL ネゴシエーション ステージ中にクライアント証明書の資格情報を要求するように構成されます。 この更新プログラムの前に、このような機能はサポートされていませんでした。 そのため、ネゴシエーションはエラーで失敗しました。
解決策
バックエンド サーバーがクライアント証明書の資格情報を要求するシナリオは 2 つあります。
バックエンド アプリケーション サーバーは、証明書コンテキストを取得するためにクライアント証明書を要求していますが、必要ありません。 この場合、フォールバックが実装され、SEC_INCOMPLETE_CREDENTIALS戻りコードを受信した後に UAG がネゴシエーションを再試行できます。 通常、バックエンド サーバーはクライアント証明書を必要とせず、このネゴシエーションは正常に完了します。
バックエンド アプリケーションでは、クライアント証明書認証が必要です。 実装された設計変更では、クライアントがパススルー クライアント証明書を提供することは許可されませんが、すべてのユーザーに対して 1 つの有効なクライアント証明書をバックエンド Web サーバーに提供できます。
この場合、UAG 管理者は有効なクライアント証明書を指定し、コンピューター証明書として UAG サーバーにインストールする必要があります。
正しい証明書を取得して取得するように UAG SSLBox モジュールに指示するには、次の手順に従います。
MMC コマンドを実行して、管理コンソールを開きます。
[ ファイル] をクリックし、[ スナップインの追加と削除] をクリックします。
一覧から [証明書 ] を選択し、[ 追加] をクリックします。
[コンピューター アカウント] を選択し、[完了] をクリック します。
個人用証明書ストアを開きます。
一覧から必要なクライアント認証証明書を選択し、証明書をダブルクリックします。または、証明書を右クリックし、[ 開く] をクリックします。
[ 詳細 ] ウィンドウを選択し、下にスクロールします。
[ 拇印プロパティ] を選択します。
パネルのベローズでプロパティ値を選択し、Ctrl キーを押しながら C キーを押して値をコピーします。
重要: このセクション、メソッド、またはタスクには、レジストリの変更方法が記載されています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windowsa でレジストリをバックアップおよび復元する方法について説明します。 レジストリ エディター (Regedt32.exe) を起動します。b. 次のレジストリ キーを見つけてクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\WhaleCom\e-Gap\Von\UrlFilter\Comm\SSL
c. [編集] メニューの [値の追加] をクリックし、次のレジストリ値を追加します。
値名: ClientCertHash
データ型: 文字列
値: {手順 9} でコピーされたテキスト [例: a7 36 4b ca 87 3f 10 ac d5 4b 0f ca 83 9e 9e 74 c8 3e fa 8b]
d. レジストリ エディターを終了します。
e. IISReset を管理者として実行して IIS を再起動します。
f. UAG 構成をアクティブ化します。
問題 8
現象
まれに、UAG クライアント コンポーネントがインストールされているクライアント コンピューターは、そのクライアントが UAG サーバーと通信しているときに、Windows イベント ログに 1 分ごとに書き込まれた "uagqecsvc" イベント ID 85 ログ メッセージを受け取ります。 これは誤報ですが、これによりクライアント イベント ログがいっぱいになり、管理者やヘルプデスクがクライアントの Windows イベント ログに実際のイベントを見つけにくくなります。 クライアントが IAG サーバーに接続すると、これらのメッセージは常に 1 分ごとにクライアントに表示されます。
注
イベント ID: 85
ソース: uagqecsvc
型: エラー
説明: Microsoft Forefront UAG 検疫適用クライアント コンポーネントは、強制クライアント コールバック HRESULT 値 (0x8027000E) を初期化できません。 この問題は、セキュリティ ポリシーでコンポーネントが有効にならない場合に発生する可能性があります。
クライアント イベント ログには、別の関連イベントが存在する場合もあります。
注
イベント ID: 16
ソース: uagqecsvc
ログ名: アプリケーション
説明: Microsoft Forefront UAG 検疫適用クライアント コンポーネントは、ネットワーク アクセス保護 (NAP) エージェント サービスの状態を取得できません。 システム エラー 1115: システムのシャットダウンが進行中です。 (0x45b)。 Microsoft Forefront UAG 検疫適用クライアント コンポーネントが起動すると、NAP エージェント サービスの設定のクエリが試行されます。
この問題は UAG または UAG のデプロイに直接関係しませんが、UAG クライアント コンポーネントがインストールされている一部のデプロイ ユーザーが IAG サーバーと UAG サーバーの両方にアクセスする可能性があります。
原因
UAG クライアント コンポーネントには、"Microsoft Forefront UAG 検疫適用クライアント" という表示名を持つコンポーネント サービス "uagqecsvc" があり、NAP を使用してエンドポイントの正常性状態を照会し、状態を UAG の NAP モジュールに報告します。 まれに、この問題は、サービスが UAG サーバーへのバインドを繰り返し試行するため、UAG デプロイで発生します。 バインドは、接続できるようになるまで、1 分のタイムアウトでループ内で実行されます。
さらに、IAG Service Pack 2 Update 3 以降では、UAG クライアント コンポーネントが IAG に移植されました。 そのため、uagqecsvc サービスは、Service Pack 2 Update 3 クライアント コンポーネントを持つ任意の IAG サーバーに接続するクライアント コンピューターにもインストールされます。 NAP エンドポイント検出機能は IAG に存在しないため、UAG コンポーネントがインストールされているクライアントは、Windows イベント ログにメッセージが表示された前述のログを生成するプロセスで、1 分ごとに UAG NAP サービスへの接続を試みます。
解決策
以前のバージョンのクライアント コンポーネントでは、UAG NAP 検出エージェントと通信するための再試行の既定のタイムアウトが 1 分に設定され、UAG Update 2 で 1 時間に変更されました。 この値を変更する管理者には、クライアントでタイムアウトを手動で定義する方法が提供されます。
重要: このセクション、メソッド、またはタスクには、レジストリの変更方法が記載されています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 WindowsComputer ユーザーまたは管理者でレジストリをバックアップおよび復元する方法は、タイムアウトをミリ秒単位で任意のクライアント コンピューターで手動で定義できます。 手順は次のとおりです。
レジストリ エディター (Regedt32.exe) を起動します。
次のレジストリ キーを見つけてクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\WhaleCom\Client\QEC
[編集] メニューの [値の追加] をクリックし、次のレジストリ値を追加します。
値名: InitRetryTimeout
データ型: REG_DWORD
基数: 10 進数
値: (ミリ秒 360000 の時間は既定値ですが、この値は である必要があります
6000 より大きく設定)レジストリ エディターを終了します。
コンピューターを再起動します。
問題 9
現象
UAG 管理者は、ローカライズされた APAC 言語バージョンの Windows 2008 R2 を実行しているサーバーに UAG がインストールされています。 UAG でトランクを作成しようとすると、エラー メッセージが表示され、トランクの作成が停止します。
たとえば、空のウィンドウ、予期しないエラー メッセージ、または頻繁な MMC クラッシュは、UAG でトランクを作成しようとすると発生します。
原因
この問題は、システム リソースの不適切な操作が原因で発生します。 これらの不適切な操作は、一部の英語以外のバージョンのオペレーティング システム (韓国語/日本語/中国語) で UAG を実行すると失敗します。
解決策
これらのシステム リソースへのアクセスを担当するコードは修正されています。
問題 10
現象
エンドポイント セッション クリーンアップ コンポーネントは、エンドポイントの再起動後に実行を開始しません。 さらに、再起動後にクライアント コンポーネント フォルダーを指すエクスプローラー ウィンドウが開きます。
原因
再起動する前に、エンドポイント セッション クリーンアップ コンポーネントは "Run" キーの下にレジストリ値を書き込みます。 このレジストリ値を使用すると、再起動後にエンドポイント セッション クリーンアップ コンポーネントを自動的に起動できます。 ただし、レジストリ キーのこのパス値は、スペースを含む実行可能パスです。 そのため、エラーが発生します。
解決策
"実行" キーの下に書き込まれた Attachment のワイパー実行可能ファイルを指すパス値が、失敗を防ぐために引用符で囲まれた文字列として書き込まれるようになりました。
問題 11
現象
UAG 経由で発行された 2007 Outlook Web Application (OWA) Exchange Server言語設定オプションにアクセスしようとすると、次のエラー メッセージがクライアントに送信されます。
注
制限付き URL にアクセスしようとしました。
原因
この問題は、Exchange Server 2007 OWA の既定のテンプレートに URL "/owa/languageselection.aspx" の RuleSet エントリがないために発生します。 UAG RuleSet メカニズムでは、ホワイト リストにない URL へのアクセスは許可されません。
解決策
この URL リソースへのアクセスを許可するために、Exchange 2007 OWA 発行用に新しい規則が追加されます。 この場合、新しいルール "ExchangePub2007_Rule36" では、URL "/owa/languageselection.aspx" へのアクセスが許可されます。
問題 12
現象
ユーザーが UAG サイトにアクセスしようとしたとき、または UAG ログイン パスではなくアプリケーション内のブックマークされたパスにアクセスしようとすると、ユーザーは 500 内部サーバー エラーを受け取り、サイトにアクセスできません。
注 UAG サイトでは、認証に ADFS を使用し、発行されたアプリケーションを直接要求します。
原因
認証に ADFS を使用するように UAG が構成されている場合、セキュリティ トークン サービス (STS) と UAG 内部サイトの間でいくつかのリダイレクトが発生します。 リダイレクトが予期した方法で行われなかった場合、UAG はエラーを返します。 ユーザーがポータル サイトではなく発行されたリソースに直接アクセスしようとすると、再ルーティング プロセスが中断されます。 そのため、内部サーバー エラーが発生します。
解決策
この問題は、この更新プログラムで修正されています。
問題 13
現象
管理者が ActiveDirectory 型認証リポジトリを構成している場合、管理者はグループの入れ子の値を "無制限" に設定できません。 UAG の仕様によると、グループの入れ子フィールドの値は空白になる可能性があります。 ただし、フィールドが空白で構成を保存してアクティブ化すると、予期せず値が "0" に設定されます。
注 UAG MMC を閉じて、"0" の値を表示するには、再度開く必要があります。 UAG 仕様のように、"0" はグループの入れ子がないことを意味します。 したがって、グループの入れ子は期待どおりに機能しません。
原因
この問題は、グループの入れ子フィールドの正しい値を構成に格納できないために発生します。 そのため、GUI と認証機能の両方に正しい値を適用することはできません。
解決策
グループの入れ子の値が GUI から削除されると、構成の値が正しく格納され、更新されるようになりました。さらに、その値は認証機能に適切に適用されます。
注 Microsoft では、値を UAG での承認に必要な最小の数値に設定することをお勧めします。 遅延の可能性と必要なリソースのために、値を 2 レベルを超える入れ子に設定できます。 デプロイに 2 レベルを超えるレベルが必要な場合は、システムを運用環境にデプロイする前に、これらの変更の影響をテストする必要があります。 極端な場合、これらの設定により、リソースの要求が高いため、UAG サーバーと、UAG による認証に使用されている DC の両方がクラッシュする可能性があります。
問題 14
現象
NC サーバーを有効にした後、ネットワーク コネクタ (NC) サーバー構成ウィンドウを閉じようとすると、次のエラー メッセージが表示されることがあります。
注
間違ったネットワーク コネクタ パラメーター、無効なセグメント アドレス
原因
SSL ネットワーク トンネリング サービスは、物理ネットワーク アダプターに "00" で始まる MAC アドレスがある場合にのみ使用できます。
解決策
物理ネットワーク アダプターに "00" で始まる MAC アドレスがある場合でも、SSL ネットワーク トンネリング サービスを使用できます。
問題 15
現象
UAG は、Citrix XenApp 5 の部分的なサポートのみでリリースされました。
エラーなしで Citrix を発行する場合、次の Microsoft Web サイトで提供されている手順に従う必要がありました。
UAG 2010 で Citrix XenApp 5.x を発行する方法の概要
原因
この問題は、Citrix のサポートが壊れているために発生します。
解決策
この更新プログラムには、Citrix XenApp 5.0 を適切に公開するための手順が含まれています。
問題 16
現象
GUI から AV 製品 "Trend Micro OfficeScan Anti-Virus" または "Trend Micro PC-Cillin Anti-Virus" が選択されています。 この場合、ポリシーを作成し、そのポリシーをアプリケーションに適用すると、アクティブ化中に次のエラー メッセージが表示されます。
注
ソースラインが見つかりませんでした
原因
この問題は、ポリシー構文検証アルゴリズムが、これらの特定のポリシーで必要な依存関係を見逃しているために発生します。
解決策
これらのポリシーで必要な依存関係は、この更新プログラムをインストールした後、ポリシー構文検証アルゴリズムに追加されます。
既知の問題
この更新プログラムをインストールすると、[ネットワーク接続] ウィンドウに SSL ネットワーク トンネリング ネットワーク アダプターが表示されなくなります。 この動作は仕様です。 ネットワーク アダプターがインストールされていることを確認するには、デバイス マネージャー開き、[表示] メニューの [非表示のデバイスの表示] エントリを選択します。
インストール ファイル "FirefrontUAG.msi" が見つからないか、インストール エラー 1269 を指定して、アンインストール更新操作がエラー メッセージで失敗することがあります。
- [スタート] メニューを開き、「隠しファイルとフォルダーを表示する」と入力します。
- 開いたウィンドウの詳細設定で、[ 保護された操作システム ファイルを非表示にする (推奨)] オプションをオフにして 、[OK] を押します。
- 管理者特権のコマンド プロンプト ウィンドウを開き、「UninstallUagUpdate」と入力します。
- インストール データベースの修復が必要な場合は、数分待ちます。
注 修復の必要性を通知するメッセージが表示される場合があります。
Citrix XenApp のサポートは、バージョン 5.0 に対してのみ行います。 以降のバージョンはサポートされていません。
このリリースでは、VDI の個人用デスクトップ シナリオのみがサポートされます。 プールされたデスクトップ シナリオは現在サポートされていません。
ソケット転送は、32 ビット アプリケーション (WOW64 アプリケーション) の Windows 7 および Vista 64 ビット クライアントで使用できます。 ネイティブ 64 ビット アプリケーションでは使用できません。
UAG による Exchange 2010 Service Pack 1 の OWA の発行には、AppWrap の手動変更と RuleSet の変更が必要です。 これを行うために必要な手順に関する記事は、UAG 製品チームのブログ http://blogs.technet.com/b/edgeaccessblog/ に掲載されています。 この記事で説明する手順は、UAG の今後の更新プログラムに統合されます。
Microsoft カスタマー サポート サービス (CSS) は、インターネット エクスプローラー 9 ベータ版などのベータ版、RTM 以外、または一般公開されていない (GA) 製品を使用している場合、サポートを提供できません。 IE9 のサポートは、IE9 が正式にリリースされた後、今後の更新プログラムに含まれる予定です。
アレイとネットワーク負荷分散 (NLB) に関する既知の問題
2 つのサーバーを同じ配列に同時に結合しようとすると、配列ストレージが破損している可能性があります。 その場合は、バックアップから設定を復元します。
Forefront UAG 管理コンソールで IPv6 仮想 IP アドレス (VIP) を削除すると、アドレスが完全に削除されない可能性があります。 この問題を回避するには、ネットワークと共有センターと Forefront UAG 管理コンソールのネットワーク アダプターからアドレスを手動で削除します。
Forefront UAG では、統合 NLB を使用するアレイ メンバーがネットワーク接続 (ISP システム障害など) を失っていることを検出できない場合があります。 このシナリオでは、Forefront UAG は、使用できないサーバーにトラフィックをルーティングし続ける場合があります。 この問題を回避するには、オフライン配列メンバーの内部アダプターと外部アダプターを無効にします。 接続の問題が解決されたら、アダプターをもう一度有効にします。
organizationに Microsoft System Center Operations Manager 2007 を展開している場合は、アレイ メンバー ネットワーク アダプターの状態を監視できます。 手順は次のとおりです。
Windows Server オペレーティング システムとWindows Server 2008 NLB 管理パックが各アレイ メンバーにインストールされていることを確認します。
Operations Manager 2007 を使用して、配列メンバーの切断されたネットワーク アダプターを検出します。
注 Operations Manager 2007 では、次のように問題が報告されます。- 内部ネットワークに接続されているアダプターに問題がある場合、Operations Manager 2007 はハートビートが検出されなかったことを報告します。
- 外部ネットワークに接続されているアダプターに問題がある場合、Operations Manager 2007 は Windows NLB の問題を報告します。
負荷分散が有効になっていない配列で HTTPS トランクのリダイレクト トランクを作成する場合は、各アレイ メンバーにリダイレクト トランクの IP アドレスを手動で割り当てる必要があります。 このタスクについては、次の記事で説明します。