管理者グループを管理する
Active Directory、Microsoft Entra ID (ME-ID)、または Google Cloud Identity のグループを使用して、Citrix Cloud™ アカウントに管理者を追加できます。その後、グループ内のすべての管理者のサービスアクセス権限を管理できます。
ADの前提条件
Citrix Cloud は SAML 2.0 を介した AD グループ認証をサポートしています。AD 管理者グループのメンバーを Citrix Cloud に追加する前に、Citrix Cloud と SAML プロバイダー間の接続を構成する必要があります。詳細については、「SAML を ID プロバイダーとして Citrix Cloud に接続する」を参照してください。
Citrix Cloud にすでに SAML 接続がある場合は、AD 管理者グループを追加する前に、SAML プロバイダーを Citrix Cloud に再接続する必要があります。SAML を再接続しないと、AD 管理者グループの追加が失敗する可能性があります。詳細については、「管理者認証に既存の SAML 接続を使用する」を参照してください。
マイクロソフト エントラ ID の前提条件
Microsoft Entra ID グループ認証を使用するには、Citrix Cloud に接続するための Microsoft Entra ID アプリケーションの最新バージョンが必要です。Citrix Cloud は、Microsoft Entra ID を初めて接続したときにこのアプリケーションを取得しました。2019 年 5 月より前に Microsoft Entra ID を Citrix Cloud に接続した場合、Citrix Cloud は接続に最新のアプリケーションを使用していない可能性があります。アカウントが最新のアプリケーションを使用していない場合、Citrix Cloud は Microsoft Entra ID グループを表示できません。
Citrix Cloud で Microsoft Entra ID グループを使用する前に、次のタスクを実行してください。
- Microsoft Entra ID 接続に最新のアプリケーションを使用していることを確認します。最新のアプリケーションを使用していない場合、Citrix Cloud は通知を表示します。
-
アプリケーションを更新する必要がある場合は、Microsoft Entra ID を Citrix Cloud に再接続します。Microsoft Entra ID に再接続することで、Citrix Cloud にアプリケーションレベルの読み取り専用権限を付与し、Citrix Cloud がユーザーに代わって Microsoft Entra ID に再接続できるようにします。再接続中に、これらの権限のリストが表示され、確認できます。Citrix Cloud が要求する権限の詳細については、「Citrix Cloud の Microsoft Entra ID 権限」を参照してください。
重要:
このタスクを完了するには、Microsoft Entra ID のグローバル管理者である必要があります。また、Citrix ID プロバイダーのフルアクセス管理者アカウントを使用して Citrix Cloud にサインインしている必要があります。Microsoft Entra ID の資格情報でサインインすると、再接続は失敗します。Citrix ID プロバイダーを使用している管理者がいない場合は、このタスクを実行するために一時的に管理者を追加し、後で削除できます。
Microsoft Entra ID への接続を確認するには
- Citrix ID プロバイダーのフルアクセス管理者アカウントを使用して Citrix Cloud にサインインします。
- Citrix Cloud メニューから、[ID およびアクセス管理] を選択し、次に [認証] を選択します。
-
「Microsoft Entra ID」を見つけます。Citrix CloudがMicrosoft Entra ID接続用のアプリケーションを更新する必要がある場合、通知が表示されます。
Citrix Cloudコンソールに表示されるMicrosoft Entra IDへの再接続プロンプト(/ja-jp/citrix-cloud/media/iam-aad-reconnect-message.png)
Citrix Cloudがすでに最新のアプリケーションを使用している場合、通知は表示されません。
マイクロソフト Entra ID に再接続するには
- Citrix CloudコンソールのMicrosoft Entra ID通知から、再接続リンクをクリックします。要求されたAzure権限のリストが表示されます。
- 権限を確認し、承認を選択します。
グーグル クラウド アイデンティティ
Citrix Cloudは、Google Cloud Identityを介した管理者グループ認証をサポートしています。管理者グループをCitrix Cloudに追加する前に、Citrix CloudとGoogle Cloud Identity間の接続を構成する必要があります。詳細については、「Google Cloud IdentityをCitrix CloudのIDプロバイダーとして接続する」を参照してください。
サポートされている権限
サポートされている権限の説明は、こちら、コンソール権限を参照してください。
制限事項
以下のCitrix Cloudプラットフォーム機能に対するカスタムアクセス権限は、管理者グループのメンバーには利用できません。
- 通知機能
- セキュアクライアント
通知連絡先は、以下に示すように、通知連絡先管理の下のグループのメンバーに対して追加できます。
Citrix Cloud コンソールに表示される Microsoft Entra ID への再接続を促すプロンプト(/ja-jp/citrix-cloud/media/notifications-contact-settings.png)
Quick Deployユーザー割り当てなど、Citrix Cloudプラットフォーム機能に依存するCitrix DaaS™の機能は利用できません。
すでにサインインしている管理者グループメンバーの権限変更は、サインアウトして再度サインインした後にのみ有効になります。
Citrix®、AD、Microsoft Entra ID、およびGoogle CloudのIDを持つ管理者向けの、結果として付与される権限
管理者がCitrix Cloudにサインインすると、管理者がCitrix ID（Citrix CloudのデフォルトのIDプロバイダー）と、AD、Microsoft Entra ID、またはGoogle Cloud Identityを介したシングルユーザーまたはグループベースのIDの両方を持っている場合、特定の権限のみが利用可能になる場合があります。このセクションの表は、これらのIDの各組み合わせで利用可能な権限について説明しています。
シングルユーザーID とは、個々のアカウントを通じて管理者に付与されるAD、Microsoft Entra ID、またはGoogle Cloud Identityの権限を指します。グループベースのID とは、グループのメンバーとして付与されるAD、Microsoft Entra ID、またはGoogle Cloud Identityの権限を指します。
| Citrix アイデンティティ | シングルユーザーADまたはMicrosoft Entra IDのアイデンティティ | グループベースのADまたはMicrosoft Entra IDの識別情報 | シングルユーザーまたはグループベースのGoogle Cloud Identity | 認証後に利用可能な権限 |
|---|---|---|---|---|
| X | X | 管理者は、Citrix ID、AD ID、またはMicrosoft Entra IDのいずれかで認証が成功した後、両方のIDの累積的な権限を持ちます。 | ||
| X | X | 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはMicrosoft Entra IDのどちらを使用して認証するかによって異なります。 | ||
| X | X | 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはGoogle Cloud Identityのどちらを使用して認証するかによって異なります。 | ||
| X | X | 管理者は、ADまたはMicrosoft Entra IDを使用してCitrix Cloudに認証する際、両方のIDの累積的な権限を持ちます。 | ||
| X | X | 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはGoogle Cloud Identityのどちらを使用して認証するかによって異なります。 | ||
| X | X | 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはGoogle Cloud Identityのどちらを使用して認証するかによって異なります。 | ||
| X | X | X | Citrix IDで認証する場合、管理者はCitrix IDとシングルユーザーのMicrosoft Entra IDの両方の累積的な権限を持ちます。Microsoft Entra IDで認証する場合、管理者は3つのIDすべての累積的な権限を持ちます。 |
管理者向けのサインインエクスペリエンス
Citrix Cloudにグループを追加し、サービス権限を定義した後、グループ内の管理者は、Citrix Cloudサインインページで会社の資格情報でサインインを選択し、アカウントのサインインURL（例: https://citrix.cloud.com/go/mycompany）を入力するだけでサインインできます。個々の管理者を追加する場合とは異なり、グループ内の管理者は明示的に招待されないため、Citrix Cloud管理者になるための招待メールは届きません。
サインイン後、管理者はサービスタイルから管理を選択し、サービスの管理コンソールにアクセスします。
Citrix DaaSタイルがある起動パッド(/ja-jp/citrix-cloud/media/aad-groups-sign-in-launchpad.png)
グループのメンバーとしてのみ権限を付与された管理者は、Citrix CloudアカウントのサインインURLを使用してCitrix Cloudアカウントにアクセスできます。
個別のアカウントを通じて、かつグループのメンバーとして権限を付与された管理者は、アクセスしたいCitrix Cloudアカウントを選択できます。管理者が複数のCitrix Cloudアカウントのメンバーである場合、正常に認証された後、顧客ピッカーからCitrix Cloudアカウントを選択できます。
既知の問題
Active Directoryでグループの名前を変更した後、新しい名前が表示されない場合があります。回避策として、Citrix Identity and Access Managementで古いグループを削除し、名前が変更されたグループを追加します。
制限事項
複数のグループがアプリケーションのパフォーマンスに与える影響
Citrixは、1人の管理者がCitrix Cloudに追加された20を超えるグループに属さないことを推奨します。より多くのグループに属すると、アプリケーションのパフォーマンスが低下する可能性があります。
複数のグループが認証に与える影響
グループベースの管理者がADまたはMicrosoft Entra IDで複数のグループに割り当てられている場合、グループの数が多すぎるため認証が失敗する可能性があります。この問題は、Citrix CloudとADおよびMicrosoft Entra IDの統合における制限が原因で発生します。管理者がサインインしようとすると、Citrix Cloudは取得されるグループの数を圧縮しようとします。Citrix Cloudが圧縮を正常に適用できない場合、すべてのグループを取得できず、認証が失敗します。
この問題は、ADまたはMicrosoft Entra IDを介してクラウドストアに認証するユーザーにも影響を与える可能性があります。ユーザーが複数のグループに属している場合、グループの数が多すぎるため、認証が失敗する可能性があります。
この問題を解決するには、管理者またはユーザーアカウントを確認し、組織内での役割に必要なグループのみに属していることを確認してください。
割り当てられたロール/スコープのペアが多すぎるため、グループの追加に失敗する
複数のロール/スコープのペアを持つグループを追加すると、グループを作成できないことを示すエラーが発生する可能性があります。このエラーは、グループに割り当てられているロール/スコープのペアの数が多すぎるために発生します。このエラーを解決するには、ロール/スコープのペアを2つ以上のグループに分割し、管理者をそれらのグループに割り当ててください。
Citrix Cloudに管理者グループを追加する
- Citrix Cloudメニューから、IDおよびアクセス管理を選択し、次に管理者を選択します。
- 管理者/グループの追加を選択します。
- 管理者詳細で、使用するIDプロバイダーを選択します。Microsoft Entra IDが選択されている場合、必要に応じてAzureにサインインします。次へを選択します。
- 必要に応じて、使用するドメインを選択します。
- 追加するグループを検索し、そのグループを選択します。
- アクセス設定で、グループに割り当てる役割を選択します。少なくとも1つの役割を選択する必要があります。
- 完了したら、保存を選択します。
管理者グループのサービス権限を変更する
- Citrix Cloudメニューから、IDおよびアクセス管理を選択し、次に管理者を選択します。
- 管理する管理者グループを見つけ、省略記号メニューからアクセス権の編集を選択します。
- 必要に応じて、1つ以上の役割とスコープのペアの横にあるチェックマークを選択またはクリアします。
- 完了したら、保存を選択します。
管理者グループを削除する
- Citrix Cloudメニューから、IDおよびアクセス管理を選択し、次に管理者を選択します。
-
管理する管理者グループを見つけ、省略記号メニューからグループの削除を選択します。
確認メッセージが表示されます。
- グループの削除による影響を認識していることを確認するために、このグループを削除すると、グループ内の管理者がCitrix Cloudにアクセスできなくなることを理解しています。を選択します。
- 削除を選択します。
複数のCitrix Cloudアカウントを切り替える
注：
このセクションでは、Microsoft Entra ID管理者グループのメンバーのみに影響するシナリオについて説明します。
デフォルトでは、Microsoft Entra ID管理者グループのメンバーは、アクセスできる他のCitrix Cloudアカウントを切り替えることができません。これらの管理者には、以下の画像に示す顧客の変更オプションがCitrix Cloudユーザーメニューに表示されません。
このメニューオプションを有効にし、Microsoft Entra IDグループメンバーが他のCitrix Cloudアカウントを切り替えられるようにするには、切り替えたいアカウントをリンクする必要があります。
Citrix Cloudアカウントのリンクには、ハブアンドスポーク方式が採用されています。アカウントをリンクする前に、他のアカウントへのアクセス元となるCitrix Cloudアカウント（「ハブ」）と、顧客ピッカーに表示するアカウント（「スポーク」）を決定します。
アカウントをリンクする前に、次の要件を満たしていることを確認してください。
- Citrix Cloudでフルアクセス権限を持っていること。
- ウィンドウズ パワーシェル 統合スクリプト環境 (ISE) にアクセスできること。
- リンクするCitrix Cloudアカウントの顧客IDを持っていること。顧客IDは、各アカウントの管理コンソールの右上隅に表示されます。
- ハブアカウントとしてリンクするCitrix CloudアカウントのCitrix CWSAuthベアラートークンを持っていること。このベアラートークンを取得するには、CTX330675 の手順に従ってください。Citrix Cloudアカウントをリンクする際に、この情報を提供する必要があります。
Citrix Cloudアカウントをリンクするには
-
PowerShell ISEを開き、次のスクリプトを作業ペインに貼り付けます。
$headers = @{} $headers.Add("Accept","application/json") $headers.Add("Content-Type","application/json") $headers.Add("Authorization","CWSAuth bearer=XXXXXXX") $uri = "https://trust.citrixworkspacesapi.net/HubCustomerID/links" $resp = Invoke-RestMethod -Method Get -Uri $uri -Headers $headers $allLinks = $resp.linkedCustomers + @("SpokeCustomerID") $body = @{"customers"=$allLinks} $bodyjson = $body | ConvertTo-Json $resp = Invoke-WebRequest -Method Post -Uri $uri -Headers $headers -Body $bodyjson -ContentType 'application/json' Write-Host "Citrix Cloud Status Code: $($resp.RawContent)" <!--NeedCopy--> - 4行目で、
CWSAuth bearer=XXXXXXXをCWSAuth値（例:CWSAuth bearer=AbCdef123Ghik…）に置き換えます。この値は、証明書キーに似た長いハッシュです。 - 6行目で、
HubCustomerIDをハブアカウントの顧客IDに置き換えます。 - 9行目で、
SpokeCustomerIDをスポークアカウントの顧客IDに置き換えます。 - スクリプトを実行します。
- 追加のアカウントをスポークとしてリンクするには、手順3～5を繰り返します。
Citrix Cloudアカウントのリンクを解除するには
- PowerShell ISEを開きます。PowerShell ISEがすでに開いている場合は、作業ペインをクリアします。
-
以下のスクリプトを作業ペインに貼り付けます。
$headers = @{} $headers.Add("Accept","application/json") $headers.Add("Content-Type","application/json") $headers.Add("Authorization","CWSAuth bearer=XXXXXXX") $uri = "https://trust.citrixworkspacesapi.net/HubCustomerID/links/SpokeCustomerID" $resp = Invoke-WebRequest -Method Delete -Uri $uri -Headers $headers Write-Host "Response: $($resp.RawContent)" <!--NeedCopy--> - 4行目で、
CWSAuth bearer=xxxxxxx1をCWSAuth値（例:CWSAuth bearer=AbCdef123Ghik…）に置き換えます。この値は、証明書キーに似た長いハッシュです。 - 6行目で、
HubCustomerIDをハブアカウントの顧客IDに置き換えます。 - 6行目で、
SpokeCustomerIDをスポークアカウントの顧客IDに置き換えます。 - スクリプトを実行します。
- 追加のアカウントのリンクを解除するには、手順4～6を繰り返します。