シングルサインオンの拡張ドメインパススルー（強化されたSSO）
以前は、Windows向けCitrix Workspaceアプリは、ユーザー認証情報を使用したCitrix Virtual Apps and Desktops環境へのシングルサインオンで、SSONまたはドメインパススルー認証のみをサポートしていました。この認証により、ユーザーはデバイス上のドメインに対して認証され、再認証することなく仮想アプリとデスクトップを使用できるようになります。
ユーザー資格情報を使用したドメインパススルーのこのアプローチには、次の制限があります：
- Windows HelloやFIDO2などの先進認証方法によるパスワードレス認証はサポートされていません。シングルサインオン（SSO）には、フェデレーション認証サービス（FAS）と呼ばれる追加コンポーネントが必要です。
- SSONを有効にしてCitrix Workspaceアプリをインストールまたはアップグレードするには、デバイスを再起動する必要があります。
- Windows 11マシンで複数プロバイダールーター（MPR）通知を有効にする必要があります。
- ネットワークプロバイダー一覧の先頭に位置している必要があります。
このリリースでは、Citrix Workspaceアプリは、SSOの新しい方法である拡張ドメインパススルーをサポートします。これによってユーザー資格情報の代わりにKerberos認証を活用し、前述の制限を克服するのに役立ちます。これで、ユーザーは統合Windows認証を使用してCitrix Virtual Apps and DesktopsとStoreFrontにサインインできるようになりました。
注：
この機能は、32ビットWindows 10およびWindows Server 2016ではサポートされていません。
システム要件
- Citrix Workspaceアプリ2309以降
- Citrix Virtual Apps and Desktops 2308以降
サポートされるVDA OSバージョン
-
マルチセッションの場合：
- Windows Server 2019
- Windows Server 2022
-
シングルセッションの場合：
- Windows 10バージョン22H2
- Windows 11バージョン22H2
前提条件
- クライアントまたはエンドポイントはドメインに接続されている必要があります。
- Active Directoryとの直接接続が必要です。
StoreFrontとDesktop Delivery Controllerの設定
次の設定を使用して、ドメインパススルー環境をセットアップします：
注：
環境内でドメインパススルーを既に構成している場合は、この手順をスキップできます。
-
Citrix WorkspaceアプリがStoreFrontで構成されている場合：
- StoreFront Studioを開きます。
- ［ストア］>［認証方法の管理］ に移動します。
- ［ドメインパススルー］ を有効にします。
または、
-
ブラウザー経由でCitrix Workspaceアプリを使用する場合：
- StoreFrontを開きます。
- ［ストア］>［Receiver for Websites］>［認証方法の管理］ を開きます。
-
［ドメインパススルー］ を有効にします。
-
Desktop Delivery Controllerでシングルサインオンの拡張ドメインパススルーポリシーを有効にします。
-
［OK］ をクリックします。
VDA設定
- VDAで [コンピューターの構成] > [管理用テンプレート] > [システム] > [資格情報の委任] の順に移動します。
-
VDAでWindowsポリシー「リモートホストでエクスポート不可の資格情報を許可する」を有効にします。
- VDAマシンを再起動します。
クライアント設定
- クライアントマシンがドメインに参加していることを確認します。
- クライアントマシンが64ビットであることを確認します。
- グループポリシーエディターを開きます。
- ［コンピューターの構成］ > [管理用テンプレート] > [Citrixコンポーネント] >［Citrix Workspace］>［ユーザー認証］ の順に移動します。
-
Enhanced Domain passthrough for single sign-onグループを構成します。
- クライアントの ［インターネットオプション］ 設定を変更します。
注：
環境内でドメインパススルーを既に構成している場合は、この手順をスキップできます。
-
［インターネットオプション］ を使用して信頼済みサイトの一覧にStoreFrontサーバーを追加します。追加するには：
- ［コントロールパネル］>［ネットワークとインターネット］ から ［インターネットオプション］ を開きます。
- ［セキュリティ］ > ［ローカルイントラネット］ を選択し、［サイト］ をクリックします。［ローカルイントラネット］ ウィンドウが開きます。
- ［詳細設定］ タブをクリックします。
- 適切なHTTPまたはHTTPSプロトコルを使用して、StoreFrontのFQDNのURLを追加します。
- ［閉じる］、［OK］ をクリックします。
-
Internet Explorerで ［ユーザー認証］ の設定を変更します。変更するには：
- ［コントロールパネル］>［ネットワークとインターネット］ から ［インターネットオプション］ を開きます。
- ［セキュリティ］ タブ > ［ローカルイントラネット］ をクリックします。
- ［レベルのカスタマイズ］ をクリックします。［セキュリティ設定 - ローカルイントラネットゾーン］ ウィンドウが開きます。
- ［ユーザー認証］ ウィンドウで、［現在のユーザー名とパスワードで自動的にログオンする］ を選択します。
-
［OK］ をクリックします。