製品ドキュメント
シトリックスクラウド™
PDFを表示

オンプレミスのCitrix GatewayをIDプロバイダーとしてCitrix Cloud™に接続する

August 3, 2026
寄稿者: 
C C

Citrix Cloudは、オンプレミスのCitrix GatewayをIDプロバイダーとして使用し、ストアにサインインするエンドユーザーを認証することをサポートしています。

Citrix Gateway認証を使用すると、次のことが可能になります。

  • 既存のCitrix Gatewayを介してユーザー認証を継続し、オンプレミスのVirtual Apps and Desktops展開のリソースにCitrix® StoreFront Cloudを介してアクセスできるようにします。
  • シトリックス ゲートウェイの認証、承認、および監査 (AAA) 機能をストアフロント クラウドで使用します。
  • パススルー認証、スマートカード、セキュアトークン、条件付きアクセスポリシー、フェデレーションなどの機能を使用し、StoreFront Cloudを介してユーザーが必要なリソースにアクセスできるようにします。

ヒント:

サポートされているIDプロバイダーの詳細については、Citrix Identity and Authenticationの概要教育コースを参照してください。「Citrix Identity and Access Managementの計画」モジュールには、このIDプロバイダーをCitrix Cloudに接続し、StoreFront Cloudの認証を有効にする方法を説明する短いビデオが含まれています。

サポートされているバージョン

Citrix Gateway認証は、以下のオンプレミス製品バージョンでの使用がサポートされています。

  • Citrix Gateway 12.1 54.13 アドバンストエディション以降
  • Citrix Gateway 13.0 41.20 アドバンストエディション以降

前提条件

クラウドコネクタ

Citrix Cloud Connector™ソフトウェアをインストールするためのサーバーが少なくとも2台必要です。これらのサーバーは、以下の要件を満たしている必要があります。

  • 「Cloud Connector のシステム要件」に記載されているシステム要件を満たしていること。
  • 他のCitrixコンポーネントがインストールされておらず、Active Directoryドメインコントローラーではなく、リソースロケーションインフラストラクチャにとって重要なマシンではないこと。
  • サイトが存在するドメインに参加していること。ユーザーが複数のドメインにあるサイトのアプリケーションにアクセスする場合、各ドメインに少なくとも2つのCloud Connectorをインストールする必要があります。
  • サイトに接続できるネットワークに接続されていること。
  • インターネットに接続されていること。詳細については、「システムおよび接続要件」を参照してください。
  • Citrix Cloudとの高可用性接続を確保するには、少なくとも2つのCloud Connectorが必要です。インストール後、Cloud ConnectorはCitrix Cloudがサイトを特定し、通信できるようにします。

Cloud Connectorのインストールについて詳しくは、「Cloud Connectorのインストール」を参照してください。

アクティブ ディレクトリ

Citrix Gateway認証を有効にする前に、次のタスクを実行します。

  • エンドユーザーがActive Directory (AD) にユーザーアカウントを持っていることを確認します。ADアカウントを持たないエンドユーザーは、ストアに正常にサインインできません。
  • エンドユーザーのADアカウントのユーザープロパティが入力されていることを確認します。Citrix Cloudは、エンドユーザーがサインインする際にユーザーコンテキストを確立するためにこれらのプロパティを必要とします。これらのプロパティが入力されていない場合、エンドユーザーはストアにサインインできません。これらのプロパティには以下が含まれます。
    • メールアドレス
    • 表示名
    • 共通名
    • SAMアカウント名
    • ユーザープリンシパル名
    • OID
    • SID
  • Active Directory (AD) を Citrix Cloud アカウントに接続します。このタスクでは、Cloud Connectors セクションで説明されているように、準備したサーバーに Cloud Connector ソフトウェアをインストールします。Cloud Connector を使用すると、Citrix Cloud はオンプレミス環境と通信できます。手順については、Active Directory を Citrix Cloud に接続する を参照してください。
  • Citrix Gateway 認証でフェデレーションを実行している場合は、AD ユーザーをフェデレーションプロバイダーに同期します。Citrix Cloud は、エンドユーザーが正常にサインインできるように、AD ユーザー属性を必要とします。

必要条件

シトリックス ゲートウェイ の高度なポリシー

クラシックポリシーの廃止に伴い、Citrix Gateway 認証ではオンプレミス Gateway で高度なポリシーを使用する必要があります。高度なポリシーは、ID プロバイダーチェーンなどのオプションを含め、Citrix Cloud の多要素認証 (MFA) をサポートします。現在クラシックポリシーを使用している場合は、Citrix Cloud で Citrix Gateway 認証を使用するために、新しい高度なポリシーを作成する必要があります。高度なポリシーを作成する際に、クラシックポリシーの Action 部分を再利用できます。

署名のための証明書

StoreFront Cloud へのエンドユーザー認証のために Gateway を構成する場合、Gateway は OpenID Connect プロバイダーとして機能します。Citrix Cloud と Gateway 間のメッセージは OIDC プロトコルに準拠しており、トークンのデジタル署名が含まれます。したがって、これらのトークンに署名するための証明書を構成する必要があります。この証明書は、公開認証局 (CA) から発行されている必要があります。プライベート CA によって発行された証明書の使用はサポートされていません。Citrix Cloud にプライベートルート CA 証明書を提供する方法がないためです。そのため、信頼の証明書チェーンを確立できません。署名用に複数の証明書を構成した場合、これらのキーはメッセージごとにローテーションされます。

キーは vpn global にバインドされている必要があります。これらのキーがないと、エンドユーザーはサインイン後にストアに正常にアクセスできません。

クロック同期

OIDC のデジタル署名されたメッセージにはタイムスタンプが含まれているため、Gateway は NTP 時刻に同期されている必要があります。クロックが同期されていない場合、Citrix Cloud はトークンの有効性を確認する際に、トークンが古くなっていると見なします。

タスクの概要

Citrix Gateway 認証を設定するには、次のタスクを実行します。

  1. 「IDおよびアクセス管理」で、Gatewayへの接続の構成を開始します。この手順で、GatewayのクライアントID、シークレット、およびリダイレクトURLを生成します。
  2. Gatewayで、Citrix Cloudから生成された情報を使用してOAuth IdP詳細ポリシーを作成します。これにより、Citrix CloudはオンプレミスのGatewayに接続できるようになります。手順については、以下の記事を参照してください。
  3. StoreFront Cloudで、エンドユーザーがCitrix Gateway認証を利用できるようにします。

エンドユーザー向けCitrix Gateway認証を有効にするには

  1. Citrix Cloudメニューから、［IDおよびアクセス管理］を選択します。
  2. 認証タブのCitrix Gatewayで、省略記号メニューをクリックし、接続を選択します。 (/ja-jp/citrix-cloud/media/id-access-mgmt-ad-gateway-connect-menu.png)
  3. オンプレミスGatewayのFQDNを入力し、検出をクリックします。 (/ja-jp/citrix-cloud/media/workspace-gateway-idp-detect-fqdn.png) Citrix Cloudが正常に検出したら、続行をクリックします。
  4. オンプレミスのGatewayとの接続を作成します。
    1. Citrix Cloudに表示されるクライアントID、シークレット、およびリダイレクトURLをコピーします。 Connection dialog with generated information また、この情報のコピーをダウンロードし、参照用にオフラインで安全に保存してください。この情報は、生成後はCitrix Cloudでは利用できません。
    2. Gatewayで、Citrix Cloudから取得したクライアントID、シークレット、およびリダイレクトURLを使用してOAuth IdP詳細ポリシーを作成します。手順については、以下の記事を参照してください。
    3. ［テストと完了］をクリックします。Citrix Cloudは、Gatewayに到達可能であり、正しく構成されていることを確認します。
  5. ストアのCitrix Gateway認証を有効にする:
    1. シトリックス クラウド メニューから、StoreFront Cloud を選択します。
    2. 認証タブから、Citrix Gatewayを選択します。
    3. エンドユーザーエクスペリエンスへの影響を理解していますを選択し、保存をクリックします。

トラブルシューティング

最初のステップとして、この記事の前提条件と要件のセクションを確認してください。オンプレミス環境に必要なすべてのコンポーネントがあり、必要なすべての構成が行われていることを確認してください。これらの項目のいずれかが不足しているか、誤って構成されている場合、Citrix Gatewayによるストア認証は機能しません。

Citrix CloudとオンプレミスGateway間の接続確立で問題が発生した場合は、次の項目を確認してください。

グローバルカタログサーバー

ユーザーアカウントの詳細を取得するだけでなく、Gateway はユーザーのドメイン名、AD NETBIOS 名、およびルート AD ドメイン名を取得します。AD NETBIOS 名を取得するために、Gateway はユーザーアカウントが存在する AD を検索します。NETBIOS 名はグローバルカタログサーバーにはレプリケートされません。

AD 環境でグローバルカタログサーバーを使用している場合、これらのサーバーで構成された LDAP アクションは Citrix Cloud では機能しません。代わりに、LDAP アクションで個々の AD を構成する必要があります。複数のドメインまたはフォレストがある場合は、複数の LDAP ポリシーを構成できます。

Kerberos または IdP チェーンによるシングルサインオンのための AD 検索

エンドユーザーのサインインに Kerberos または SAML または OIDC プロトコルを使用する外部 ID プロバイダーを使用している場合は、AD ルックアップが構成されていることを確認してください。Gateway は、エンドユーザーの AD ユーザープロパティと AD 構成プロパティを取得するために AD ルックアップを必要とします。

認証がサードパーティサーバーによって処理される場合でも、LDAP ポリシーが構成されていることを確認してください。これらのポリシーを構成するには、次のタスクを実行して、既存のログインスキーマプロファイルに第 2 認証要素を追加します。

  1. Active Directory から属性とグループの抽出のみを実行する LDAP 認証サーバーを作成します。
  2. LDAP 高度認証ポリシーを作成します。
  3. 認証ポリシーラベルを作成します。
  4. 認証ポリシーラベルを、プライマリ ID プロバイダーの次の要素として定義します。

LDAP を第 2 認証要素として追加するには

  1. LDAP 認証サーバーを作成します。
    1. 「システム > 認証 > 基本ポリシー > LDAP > サーバー > 追加」を選択します。
    2. 「認証LDAPサーバーの作成」ページで、次の情報を入力します。
      • 「サーバータイプの選択」で、LDAP を選択します。
      • Name に、サーバーのわかりやすい名前を入力します。
      • Server IP を選択し、LDAPサーバーのIPアドレスを入力します。
      • Security Type で、必要なLDAPセキュリティの種類を選択します。
      • 「サーバーの種類」で、「AD」を選択します。
      • Authentication では、チェックボックスを選択しないでください。この認証サーバーは、認証ではなく、Active Directoryからユーザー属性とグループを抽出するためのものであるため、このチェックボックスはオフにする必要があります。
    3. Other Settings で、次の情報を入力します。
      • 「サーバーログオン名属性」に、「UserPrincipalName」を入力します。
      • 「グループ属性」で、「memberOf」を選択します。
      • 「サブ属性名」で、「cn」を選択します。
  2. LDAP高度認証ポリシーを作成します。
    1. 「セキュリティ > AAA - アプリケーショントラフィック > ポリシー > 認証 > 高度なポリシー > ポリシー > 追加」を選択します。
    2. 「認証ポリシーの作成」ページで、次の情報を入力します。
      • Name に、ポリシーのわかりやすい名前を入力します。
      • 「アクションタイプ」で、「LDAP」を選択します。
      • Action で、以前に作成したLDAP認証サーバーを選択します。
      • 「式」に「TRUE」と入力します。
    3. 構成を保存するには、Create をクリックします。
  3. 認証ポリシーラベルを作成します。
    1. セキュリティ > AAA – アプリケーショントラフィック > ポリシー > 認証 > 高度なポリシー > ポリシーラベル > 追加 を選択します。
    2. 「Name」に、認証ポリシーラベルのわかりやすい名前を入力します。
    3. ログインスキーマで、LSCHEMA_INTを選択します。
    4. 「Policy Binding」の「Select Policy」で、以前作成したLDAP高度認証ポリシーを選択します。
    5. 「GoTo式」で「終了」を選択します。
    6. 構成を完了するには、Bind をクリックします。
  4. プライマリIDプロバイダーの後に、LDAP認証ポリシーラベルを次の要素として定義します。
    1. 「システム > セキュリティ > AAA - アプリケーション トラフィック > 仮想サーバー」の順に選択します。
    2. プライマリIDプロバイダーのバインディングを含む仮想サーバーを選択し、Edit を選択します。
    3. 「高度な認証ポリシー」で、既存の「認証ポリシー」バインディングを選択します。
    4. プライマリIDプロバイダーのバインディングを選択し、Edit Binding を選択します。
    5. 「Policy Binding」ページで、「Select Next Factor」に、以前作成したLDAP認証ポリシーラベルを選択します。
    6. 設定を保存するには、「バインド」をクリックします。

多要素認証のデフォルトパスワード

エンドユーザー向けに多要素認証 (MFA) を使用している場合、Gateway は最後の要素のパスワードをシングルサインオンのデフォルトパスワードとして使用します。このパスワードは、エンドユーザーがストアにサインインするときに Citrix Cloud に送信されます。環境で LDAP 認証の後に別の要素が続く場合、Citrix Cloud に送信されるデフォルトパスワードとして LDAP パスワードを設定する必要があります。LDAP 要素に対応するログインスキーマで SSOCredentials を有効にします。

詳細情報

Citrix Tech Zone: テックインサイト: 認証 - ゲートウェイ

オンプレミスのCitrix GatewayをIDプロバイダーとしてCitrix Cloud™に接続する
August 3, 2026
寄稿者: 
C C
August 3, 2026
寄稿者: 
C C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.