Citrix Application Delivery Management

Microsoft ADFS proxy StyleBook

February 14, 2022

寄稿者:

Microsoft™ ADFSプロキシは、内部フェデレーション対応リソースとクラウドリソースの両方にシングルサインオンアクセスを提供することで、重要な役割を果たします。クラウドリソースのこのような例の 1 つは Office 365 です。ADFS プロキシサーバーの目的は、インターネットからアクセスできない ADFS サーバーに要求を受信および転送することです。ADFS プロキシはリバースプロキシであり、通常は組織の境界ネットワーク (DMZ) に存在します。ADFS プロキシは、リモートユーザーの接続とアプリケーションアクセスにおいて重要な役割を果たします。

Citrix ADC には、フェデレーションIDの安全な接続、認証、および処理を可能にする正確なテクノロジーがあります。ADFSプロキシとしてCitrix ADCを使用すると、DMZに余分なコンポーネントを展開する必要がなくなります。

Citrix Application Delivery Management（ADM）のMicrosoft ADFSプロキシスタイルブックを使用すると、Citrix ADCインスタンスでADFSプロキシサーバーを構成できます。

次の図は、エンタープライズDMZでのADFSプロキシサーバーとしてのCitrix ADCインスタンスの展開を示しています。

ローカライズされた画像

ADFSプロキシとしてCitrix ADC を使用する利点

負荷分散と ADFS プロキシの両方のニーズに対応
内部と外部の両方のユーザー・アクセス・シナリオをサポート
事前認証のための豊富な方法をサポート
ユーザーにシングルサインオンエクスペリエンスを提供します。
アクティブプロトコルとパッシブプロトコルの両方をサポート
1. アクティブなプロトコルアプリケーションの例としては、— Microsoft Outlook、Microsoft Skype for Business
2. パッシブプロトコルアプリケーションの例としては、Microsoft Outlook Web アプリケーション、Web ブラウザなどがあります。
DMZ ベースの展開のための強化されたデバイス
追加のCitrix ADC コア機能を使用して付加価値を付加します。
1. コンテンツスイッチ
2. SSL オフロード
3. リライト
4. セキュリティ (Citrix ADC AAA)

アクティブなプロトコルベースのシナリオでは、Office 365 に接続して資格情報を入力できます。Microsoft フェデレーションゲートウェイは、アクティブなプロトコルクライアントに代わって (ADFS プロキシを介して) ADFS サービスにアクセスします。次に、Gateway は基本認証（401）を使用してクレデンシャルを送信します。Citrix ADC は、ADFSサービスにアクセスする前にクライアント認証を処理します。認証後、ADFS サービスは SAML トークンをFederation Gatewayに提供します。次に、Federation Gatewayはトークンを Office 365 に送信し、クライアントアクセスを提供します。

パッシブクライアントの場合、ADFS プロキシスタイルブックは Kerberos 制約付き委任 (KCD) ユーザーアカウントを作成します。KCD アカウントは、Kerberos SSO 認証が ADFS サーバーに接続するために必要です。StyleBookは、LDAPポリシーとセッションポリシーも生成します。これらのポリシーは、パッシブ・クライアントの認証を処理するCitrix ADC AAA仮想サーバーに後でバインドされます。

StyleBookでは、Citrix ADC上のDNSサーバーがADFS用に構成されていることを確認することもできます。

以下の構成セクションでは、アクティブとパッシブの両方のプロトコルベースのクライアント認証を処理するためにCitrix ADC を設定する方法について説明します。

構成の詳細

次の表に、この統合を正常に展開するために必要な最低限のソフトウェアバージョンを示します。

製品	最低限必要なバージョン
Citrix ADC	11.0, アドバンス/プレミアムライセンス

次の手順は、適切な外部および内部 DNS エントリが既に作成されていることを前提としています。

Citrix ADMからMicrosoft ADFSプロキシのスタイルブック構成を展開する

次の手順は、Microsoft ADFS プロキシ StyleBook をビジネスネットワークに実装する際に役立ちます。

Microsoft ADFS プロキシスタイルブックを展開するには

Citrix ADM で、［ アプリケーション ］>［ スタイルブック］に移動します。［ StyleBooks ］ページには、Citrix ADM で使用できるすべてのStyleBookが表示されます。
下にスクロールして、 Microsoft ADFS プロキシのスタイルブックを見つけます。[ 構成を作成] をクリックします。 StyleBookがユーザーインタフェースページとして開きます。このページには、このStyleBookで定義されているすべてのパラメータの値を入力できます。
次のパラメータの値を入力します。
1. ADFS プロキシ展開名。ネットワークにデプロイされた ADFS プロキシ設定の名前を選択します。
2. ADFS サーバー FQDN または IP。ネットワーク内のすべての ADFS サーバーの IP アドレスまたは FQDN (ドメイン名) を入力します。
3. ADFS プロキシパブリック VIP IP。ADFSプロキシサーバーとしてCitrix ADC 上のパブリック仮想IPアドレスを入力します。
[ ADFS プロキシ証明書 ] セクションで、SSL 証明書と証明書キーの詳細を入力します。

このSSL証明書は、Citrix ADC インスタンスで作成されたすべての仮想サーバーにバインドされます。

ローカルストレージフォルダからそれぞれのファイルを選択します。また、秘密キーのパスワードを入力して、暗号化された秘密キーを.pem 形式でロードすることもできます。

[ 証明書の詳細設定 ] チェックボックスをオンにすることもできます。ここでは、証明書の有効期限通知期間などの詳細を入力したり、証明書の有効期限モニターを有効または無効にすることができます。
SSL 証明書でCitrix ADC にCA パブリック証明書をインストールする必要がある場合は、オプションで［SSL CA証明書］チェックボックスをオンにできます。[証明書 の詳細設定] セクションで [ **CA 証明書 ]** を選択します。
アクティブクライアントおよびパッシブクライアントの認証を有効にします。Active Directory でユーザー認証に使用するDNSドメイン名を入力します。その後、アクティブクライアントまたはパッシブクライアント、またはその両方に対して認証を構成できます。
アクティブなクライアントの認証を有効にするには、次の詳細を入力します。

注:

アクティブクライアントのサポートを構成することはオプションです。
1. ADFS プロキシアクティブ認証 VIP。アクティブなクライアントが認証用にリダイレクトされるCitrix ADC インスタンス上の仮想認証サーバーの仮想IPアドレスを入力します。
2. サービスアカウントのユーザー名。Active Directoryに対するユーザーを認証するためにCitrix ADC が使用するサービスアカウントのユーザー名を入力します。
3. サービスアカウントパスワード。Active Directoryに対するユーザーを認証するためにCitrix ADC が使用するパスワードを入力します。
対応するオプションを有効にし、LDAP 設定を構成して、パッシブクライアントの認証を構成します。

注:

パッシブクライアントのサポートを構成することはオプションです。

パッシブクライアントの認証を有効にするには、次の詳細を入力します。
1. LDAP（Active Directory）ベース。認証を許可するActive Directory (AD) 内にユーザーアカウントが存在するドメインの基本ドメイン名を入力します。例：dc=netscaler,dc=com
2. LDAP（Active Directory）バインドDN。AD ツリーを参照する権限を持つドメインアカウント (構成を容易にするために電子メールアドレスを使用) を追加します。例：cn=Manager,dc=netscaler,dc=com
3. LDAP (Active Directory) バインド DN パスワード。認証用のドメインアカウントのパスワードを入力します。
  
  このセクションの値に入力する必要があるその他のフィールドは次のとおりです。
4. LDAPサーバ（Active Directory）IP。AD 認証が正しく機能するように、Active Directory サーバーの IP アドレスを入力します。
5. LDAP サーバの FQDN 名。アクティブディレクトリサーバーの FQDN 名を入力します。FQDN 名はオプションです。手順 1 のように IP アドレスまたは FQDN 名を指定します。
6. LDAPサーバのActive Directory ポート。デフォルトでは、LDAP プロトコルの TCP ポートと UDP ポートが 389 ですが、セキュア LDAP の TCP ポートが 636 です。
7. LDAP（Active Directory）ログインユーザ名。ユーザー名を「sAMAccountName」として入力します。
8. ADFS プロキシパッシブ認証 VIP。パッシブクライアントの ADFS プロキシ仮想サーバーの IP アドレスを入力します。
  
  注:
  
  「*」の付いたフィールドは必須です。
必要に応じて、DNS サーバーの DNS VIP を構成することもできます。
［ ターゲットインスタンス ］をクリックし、このMicrosoft ADFSプロキシ構成を展開するCitrix ADCインスタンスを選択します。［作成］をクリックして構成を作成し、選択したCitrix ADC インスタンスに構成を展開します。

注

実際の構成を実行する前に、Dry Runを選択します。まず、StyleBookによってターゲットのCitrix ADC インスタンスに作成された構成オブジェクトを表示できます。その後、[ Create ] をクリックして、選択したインスタンスに設定をデプロイできます。

作成されたオブジェクト

ADFSプロキシ構成がCitrix ADC インスタンスに展開されると、いくつかの構成オブジェクトが作成されます。次の図は、作成されたオブジェクトのリストを示しています。

ローカライズされた画像

このコンテンツの正式なバージョンは英語で提供されています。Citrixドキュメントのコンテンツの一部は、お客様の利便性のみを目的として機械翻訳されています。Citrixは機械翻訳されたコンテンツを管理していないため、誤り、不正確な情報、不適切な用語が含まれる場合があります。英語の原文から他言語への翻訳について、精度、信頼性、適合性、正確性、またはお使いのCitrix製品またはサービスと機械翻訳されたコンテンツとの整合性に関する保証、該当するライセンス契約書またはサービス利用規約、あるいはCitrixとのその他すべての契約に基づき提供される保証、および製品またはサービスのドキュメントとの一致に関する保証は、明示的か黙示的かを問わず、かかるドキュメントの機械翻訳された範囲には適用されないものとします。機械翻訳されたコンテンツの使用に起因する損害または問題について、Citrixは責任を負わないものとします。

Microsoft ADFS proxy StyleBook

February 14, 2022

寄稿者:

February 14, 2022

寄稿者:

この記事の概要

ADFSプロキシとしてCitrix ADC を使用する利点