Azure Active DirectoryとCitrix Cloud™の接続
Citrix Cloudは、Azure Active Directory (AD) を使用して、Citrix Cloud管理者とワークスペースサブスクライバーを認証することをサポートしています。
-
Citrix CloudでAzure ADを使用すると、次のことが可能になります。
- 独自のActive Directoryを活用し、監査、パスワードポリシーを制御し、必要に応じてアカウントを簡単に無効にできます。
- 盗まれたサインイン資格情報の可能性に対するセキュリティレベルを高めるために、多要素認証を構成できます。
- ブランド化されたサインインページを使用することで、ユーザーは正しい場所にサインインしていることを認識できます。
- ADFS、Okta、Pingなど、選択したIDプロバイダーへのフェデレーションを使用できます。
Azure ADアプリと権限
Citrix Cloudには、アクティブなAzure ADセッションにログインしていなくてもCitrix CloudがAzure ADに接続できるAzure ADアプリが含まれています。このアプリの導入以来、Citrixはパフォーマンスを向上させ、新機能と権限をサポートするアップデートをリリースしました。
Citrix Cloudへの既存のAzure AD接続があり、最新の更新されたアプリを使用したい場合は、Citrix CloudでAzure AD接続を更新する必要があります。詳細については、この記事の「更新されたアプリのためにAzure ADに再接続」を参照してください。アプリを更新しないことを選択した場合でも、既存の接続は正常に機能し続けます。
Citrix CloudがAzure ADに接続するために使用するAzure ADアプリと権限の詳細については、「Citrix CloudのAzure Active Directory権限」を参照してください。
ヒント：
サポートされているIDプロバイダーの詳細については、「Introduction to Citrix Identity and Authentication」教育コースを参照してください。「Planning Citrix Identity and Access Management」モジュールには、このIDプロバイダーをCitrix Cloudに接続し、Citrix Workspaceの認証を有効にする方法を説明する短いビデオが含まれています。
-
複数のCitrix Cloudアカウントでの認証
- この記事では、Azure ADを単一のCitrix CloudアカウントのIDプロバイダーとして接続する方法について説明します。複数のCitrix Cloudアカウントがある場合は、それぞれを同じAzure ADテナントに接続できます。次のタスクを実行します。
- Citrix Cloudアカウントにサインインし、顧客ピッカーから適切な顧客IDを選択します。
- 選択した顧客がAzure ADに接続する最初の顧客である場合は、ADとAzure ADの同期、顧客のCitrix Cloudへの接続、管理者の追加に関するこの記事のすべての手順に従ってください。
- 別の顧客を接続するには、Citrix Cloudコンソールの右上隅にあるユーザーメニューをクリックし、「顧客の変更」を選択して、接続する次の顧客IDを選択します。
- この記事の「Citrix CloudとAzure ADの接続」で説明されているように、顧客をAzure ADに接続します。
- 各顧客IDについて、手順3と4を繰り返します。
Active DirectoryとAzure ADの準備
Azure ADを使用する前に、次の要件を満たしていることを確認してください。
- Microsoft Azureアカウントをお持ちであること。すべてのAzureアカウントには、Azure ADが無料で付属しています。Azureアカウントをお持ちでない場合は、https://azure.microsoft.com/en-us/free/?v=17.36でサインアップしてください。
- Azure ADでグローバル管理者ロールを持っていること。このロールは、Citrix CloudがAzure ADに接続するための同意を与えるために必要です。
- 管理者アカウントの「メール」プロパティがAzure ADで構成されていること。これを行うには、MicrosoftのAzure AD Connectツールを使用して、オンプレミスのActive DirectoryからAzure ADにアカウントを同期できます。または、同期されていないAzure ADアカウントをOffice 365メールで構成することもできます。
Azure AD Connectを使用したアカウントの同期
- Active Directoryアカウントにメールユーザープロパティが構成されていることを確認します。
- Active Directoryユーザーとコンピューターを開きます。
- 「ユーザー」フォルダーで、確認したいアカウントを見つけ、右クリックして「プロパティ」を選択します。「全般」タブで、「メール」フィールドに有効なエントリがあることを確認します。Citrix Cloudでは、Azure ADから追加された管理者が、Citrixホスト型IDを使用してサインインする管理者とは異なるメールアドレスを持っている必要があります。
- Azure AD Connectをインストールして構成します。完全な手順については、Microsoft Azure Webサイトの「Getting started with Azure AD Connect using express settings」を参照してください。
Citrix CloudとAzure ADの接続
Citrix CloudアカウントをAzure ADに接続する際、Citrix Cloudは、Azure ADのユーザーの基本プロファイルに加えて、ユーザープロファイル（またはサインインしているユーザーのプロファイル）にアクセスする権限を必要とします。Citrixがこの権限を要求するのは、管理者として名前とメールアドレスを取得し、後で他のユーザーを参照して管理者として追加できるようにするためです。Citrix Cloudが要求するアプリの権限の詳細については、「Citrix CloudのAzure Active Directory権限」を参照してください。
重要：
このタスクを完了するには、Azure ADのグローバル管理者であるか、Citrix Cloudにサインインする前に、いずれかのグローバル管理者に前提条件を実行してもらう必要があります。
- ページの左上隅にある「メニュー」をクリックし、「IDおよびアクセス管理」を選択します。
-
- Azure Active Directoryを見つけ、省略記号メニューから「接続」を選択します。
-
- プロンプトが表示されたら、会社用の短くURLフレンドリーな識別子を入力し、「接続」をクリックします。選択する識別子は、Citrix Cloud内でグローバルに一意である必要があります。
- プロンプトが表示されたら、接続したいAzureアカウントにサインインします。Azureは、Citrix Cloudがアカウントにアクセスし、接続に必要な情報を取得するために必要な権限を表示します。これらの権限のほとんどは読み取り専用であり、Citrix CloudがMicrosoft Graphからグループやユーザープロファイルなどの基本情報を収集することを許可します。Citrix Endpoint ManagementまたはXenMobile ServerをMicrosoft Intuneと統合している場合は、Microsoft Intune関連の読み取り/書き込み権限を付与する必要があります。詳細については、「Citrix CloudのAzure Active Directory権限」を参照してください。
- 「承諾」をクリックして、権限要求を承諾します。
代替接続方法
接続フローを次の2つのフェーズに分けることができます。
- AzureでのAzure AD (Entra ID) アプリの作成。
- Citrix CloudでのAzure AD (Entra ID) アプリへのCitrix Cloud接続。
まず、グローバル管理者がエンタープライズアプリをテナントに追加するために使用できるURLを構築する必要があります。詳細については、「テナント全体の管理者同意を付与するためのURLの構築」を参照してください。
構築されたURLの説明は次のとおりです。
-
https://login.microsoftonline.com/<tenant url>/adminconsent?client_id=f9c0e999-22e7-409f-bb5e-956986abdf02&redirect_uri=https://portal.azure.com -
where:
tenant urlは、テナント URL または ID です。f9c0e999-22e7-409f-bb5e-956986abdf02は、Citrix Cloud のクライアント ID です。 -
Azure AD から Citrix Cloud に管理者を追加
Citrix Cloud は、個別に、または Azure AD グループとして管理者を追加することをサポートしています。
Azure AD から個々の管理者を追加するには、「管理者アクセスの管理」を参照してください。
Azure AD 管理者グループを Citrix Cloud に追加するには、「管理者グループの管理」を参照してください。
Azure AD を使用して Citrix Cloud にサインイン
Azure AD ユーザーアカウントが接続されると、ユーザーは以下のいずれかの方法で Citrix Cloud にサインインできます。
- 会社用に Azure AD ID プロバイダーを最初に接続したときに構成した管理者サインイン URL に移動します。例:
https://citrix.cloud.com/go/mycompany - Citrix Cloud のサインインページから、[会社の資格情報でサインイン] をクリックし、Azure AD を最初に接続したときに作成した識別子 (例: “mycompany”) を入力して、[続行] をクリックします。
ワークスペースの Azure AD 認証を有効にする
Azure AD を Citrix Cloud に接続した後、サブスクライバーが Azure AD を介してワークスペースに認証できるようにすることができます。
重要:
Azure AD ワークスペース認証を有効にする前に、ワークスペースで Azure AD を使用する際の考慮事項について、「Azure Active Directory」セクションを確認してください。
- Citrix Cloud で、左上隅のメニューボタンをクリックし、[ワークスペース構成] を選択します。
- [認証] タブから、[Azure Active Directory] を選択します。
- [確認] をクリックして、Azure AD 認証が有効になったときに発生するワークスペースエクスペリエンスの変更を受け入れます。
高度な Azure AD 機能の有効化
Azure AD は、高度な多要素認証、世界クラスのセキュリティ機能、20 種類の ID プロバイダーへのフェデレーション、セルフサービスパスワードの変更とリセットなど、多くの機能を提供します。これらの機能を Azure AD ユーザーに対して有効にすると、Citrix Cloud はこれらの機能を自動的に活用できるようになります。
Azure AD のサービスレベル機能と価格を比較するには、https://azure.microsoft.com/en-us/pricing/details/active-directory/ を参照してください。
更新されたアプリのために Azure AD に再接続
Citrix Cloud には、アクティブな Azure AD セッションにログインしていなくても Citrix Cloud が Azure AD に接続できる Azure AD アプリが含まれています。このアプリの導入以来、Citrix は次のようにアプリを更新してきました。
- 2018 年 8 月に、パフォーマンスを向上させ、将来のリリースに備えるためにアプリが更新されました。
- 2019 年 5 月に、Citrix Cloud へのAzure AD 管理者グループの追加をサポートするためにアプリが更新されました。
- 2022 年 4 月に、Group.Read.All 権限に代わる GroupMember.Read.All 権限を使用するようにアプリが更新されました。
これらの更新がリリースされる前に Azure AD を Citrix Cloud に接続していて、最新の更新されたアプリを使用したい場合は、Citrix Cloud から Azure AD を切断し、再接続する必要があります。最新のアプリの使用はオプションです。アプリを更新しないことを選択した場合でも、既存の接続は正常に機能します。
要件
Azure AD を再接続する前に、以下の要件を満たしていることを確認してください。
- デフォルトの Citrix ID プロバイダーの下で、フルアクセス権限を持つ管理者である必要があります。Azure AD 資格情報で Citrix Cloud にサインインしている場合、再接続は失敗します。アカウントに Citrix ID プロバイダーを使用している管理者がいない場合は、一時的に管理者を追加し、Azure AD の再接続後に削除できます。手順については、「個々の管理者の招待」を参照してください。
- ワークスペースサブスクライバーの認証に Azure AD を使用している場合は、一時的に別の ID プロバイダーを選択してください。Citrix Cloud は、Citrix Workspace の認証方法としても使用されている場合、Azure AD を切断することを許可しません。詳細については、Citrix Workspace ドキュメントの「認証方法の選択または変更」を参照してください。
Azure AD を再接続するには
- Citrix ID プロバイダーの下でフルアクセス権限を持つ管理者として Citrix Cloud にサインインします。
- Citrix Cloud メニューから、[ID およびアクセス管理] を選択し、次に [認証] を選択します。
- [Azure Active Directory] を見つけ、ページの右端にある省略記号メニューから [切断] を選択します。
- 省略記号メニューから、[接続] を選択します。
注:
ステップ 3 で述べたように Azure Active Directory を切断する場合、Citrix Cloud は管理者にこの ID プロバイダーの下にあるすべての管理者プロファイルを削除するよう要求します。 この手間を回避するには、管理者は以下の手順に従って Azure AD ID プロバイダーを再接続できます。
- グローバル管理者として Azure に移動し、アプリを削除します。
- Citrix Cloud にログインし、[ID およびアクセス管理] に移動して [認証] をクリックします。[認証] タブから、Azure AD がまだ接続されていることに気づくでしょう。
- Citrix Cloud で Azure AD 用の新しい管理者を追加します。
これにより、管理者を削除することなく、アプリの再作成と再接続がトリガーされます。