グーグル クラウド アイデンティティ を ID プロバイダーとして シトリックス クラウド™ に接続する
Citrix Cloud は、Google Cloud Identity を ID プロバイダーとして使用し、ストアにサインインするエンドユーザーを認証することをサポートしています。組織の Google アカウントを Citrix Cloud に接続することで、Citrix® StoreFront Cloud および Google リソースへのアクセスに統合されたサインインエクスペリエンスを提供できます。
ドメイン参加済みおよびドメイン非参加構成の要件
ドメイン参加済みまたはドメイン非参加のマシンを使用して、Citrix Cloud で Google Cloud Identity を ID プロバイダーとして構成できます。
- ドメイン参加済みとは、マシンがオンプレミスの Active Directory (AD) のドメインに参加しており、認証にはそこに保存されているユーザープロファイルが使用されることを意味します。
- ドメイン非参加とは、マシンが AD ドメインに参加しておらず、認証には Google Workspace ディレクトリに保存されているユーザープロファイル (Google ネイティブユーザーとも呼ばれます) が使用されることを意味します。
次の表に、各構成タイプの要件を示します。
| 必要条件 | ドメイン参加済み | ドメイン非参加 | 詳細情報 |
|---|---|---|---|
| オンプレミス AD | はい | いいえ | この記事の アクティブディレクトリとシトリックスクラウドコネクタの準備 を参照してください。 |
| リソースの場所に展開されたシトリックスクラウドコネクタ | はい | いいえ。ドメインに参加していないマシンにアクセスするためにCloud Connectorは必要ありません。 | この記事で、アクティブディレクトリとシトリックス クラウド コネクタの準備 |
| グーグル クラウドとのアクティブディレクトリ同期 | Gatewayサービスとその他のサービスを使用しない場合にのみオプションです。それ以外の場合、このタスクは必須です。 | いいえ | この記事のアクティブディレクトリをGoogle Cloud Identityと同期するを参照してください。 |
| Google Cloud Platformコンソールにアクセスできる開発者アカウント。サービスアカウントとキーの作成、およびAdmin SDK APIの有効化に使用されます。 | はい | はい | この記事の「サービスアカウントの作成」、「サービスアカウントキーの作成」、および「ドメイン全体の委任の構成」を参照してください。 |
| Google Workspace管理コンソールにアクセスできる管理者アカウント。ドメイン全体の委任と読み取り専用APIユーザーアカウントの構成に使用されます。 | はい | はい | この記事のドメイン全体の委任を構成すると読み取り専用APIユーザーアカウントを追加するを参照してください。 |
複数のCitrix Cloudアカウントでの認証
この記事では、Google Cloud IdentityをIDプロバイダーとして単一のCitrix Cloudアカウントに接続する方法について説明します。複数のCitrix Cloudアカウントをお持ちの場合、同じサービスアカウントと読み取り専用APIユーザーアカウントを使用して、それぞれを同じGoogle Cloudアカウントに接続できます。Citrix Cloudにサインインし、顧客ピッカーから適切な顧客IDを選択するだけです。
アクティブディレクトリとシトリックスクラウドコネクタの準備
Google Cloud Identityでドメイン参加済みマシンを使用している場合は、このセクションを使用してオンプレミスADを準備します。ドメインに参加していないマシンを使用している場合は、このタスクをスキップし、この記事のサービスアカウントを作成するに進んでください。
Citrix Cloud Connectorソフトウェアをインストールするには、Active Directoryドメイン内に少なくとも2台のサーバーが必要です。Cloud Connectorは、Citrix Cloudとリソースの場所間の通信を可能にするために必要です。Citrix Cloudとの高可用性接続を確保するには、少なくとも2台のCloud Connectorが必要です。これらのサーバーは、以下の要件を満たしている必要があります。
- Cloud Connectorのシステム要件に記載されている要件を満たしていること。
- 他のCitrix®コンポーネントがインストールされておらず、Active Directoryドメインコントローラーではなく、リソースの場所のインフラストラクチャにとって重要ではないマシンであること。
- Active Directory (AD) ドメインに参加していること。ストアのリソースとユーザーが複数のドメインに存在する場合、各ドメインに少なくとも2つのCloud Connectorをインストールする必要があります。詳細については、Active DirectoryにおけるCloud Connectorの展開シナリオを参照してください。
- ユーザーがクラウドストアを介してアクセスするリソースに接続できるネットワークに接続されていること。
- インターネットに接続されていること。詳細については、システムおよび接続要件を参照してください。
Cloud Connectorのインストールに関する詳細については、Cloud Connectorのインストールを参照してください。
アクティブディレクトリとグーグルクラウドアイデンティティの同期
Google Cloud Identityでドメイン参加済みマシンを使用している場合は、このセクションを使用してオンプレミスADを準備します。ドメインに参加していないマシンを使用している場合は、このタスクをスキップし、この記事のサービスアカウントを作成するに進んでください。
Citrix Gatewayサービスのみを使用し、他のサービスを有効にしていない場合、ADとGoogle Cloud Identityの同期はオプションです。これらのサービスのみの場合、ADと同期する必要なく、Googleネイティブユーザーを使用できます。
他のCitrix Cloudサービスを使用している場合、ADとGoogle Cloud Identityの同期が必要です。Google Cloudは、以下のADユーザー属性をCitrix Cloudに渡す必要があります。
- セキュリティ識別子 (SID)
- オブジェクトGUID
- ユーザープリンシパル名 (UPN)
アクティブディレクトリをGoogle Cloudと同期するには
- GoogleウェブサイトからGoogle Cloud Directory Syncユーティリティをダウンロードしてインストールします。このユーティリティの詳細については、GoogleウェブサイトのGoogle Cloud Directory Syncドキュメントを参照してください。
- ユーティリティのインストール後、コンフィグレーションマネージャーを起動します（スタート > コンフィグレーションマネージャー）。
- ユーティリティドキュメントのConfiguration Managerで同期を設定するに記載されているように、Googleドメイン設定とLDAP設定を指定します。
- General Settingsで、Custom Schemasを選択します。デフォルトの選択は変更しないでください。
- すべてのユーザーアカウントに適用するカスタムスキーマを設定します。このセクションで指定されているとおりの正確な大文字/小文字とスペルを使用して、必要な情報を入力します。
- カスタムスキーマタブを選択し、次にスキーマの追加を選択します。
- 「ユーザーアカウント」で定義されたルールを使用するを選択します。
- 「スキーマ名」に「citrix-schema」と入力します。
-
Add Fieldを選択し、以下の情報を入力します。
- 「スキーマフィールドテンプレート」の下にある「スキーマフィールド」で、「userPrincipalName」を選択します。
- 「Google フィールドの詳細」の「フィールド名」に「UPN」と入力します。
- ステップ4を繰り返して、以下のフィールドを作成します。
- objectGUID: 「スキーマフィールドテンプレート」で「objectGUID」を選択します。「Google フィールドの詳細」で「objectGUID」と入力します。
- SID: 「スキーマフィールドテンプレート」で「Custom」を選択します。「Google フィールドの詳細」で「SID」と入力します。
- objectSID: 「スキーマフィールドテンプレート」で「Custom」を選択します。「Google フィールドの詳細」で「objectSID」と入力します。
- 「OK」を選択してエントリを保存します。
- 組織の残りの設定を完了し、ユーティリティドキュメントのConfiguration Manager との同期を設定するに記載されている同期設定を確認します。
- 「変更を同期して適用」を選択して、Active Directory を Google アカウントと同期します。
同期が完了すると、Google Cloud のユーザー情報セクションにユーザーの Active Directory 情報が表示されます。
サービスアカウントを作成する
このタスクを完了するには、Google Cloud Platform 開発者アカウントが必要です。
- (https://console.cloud.google.com) にサインインします。
- ダッシュボードのサイドバーから「IAM と管理」を選択し、次に「サービスアカウント」を選択します。
- 「サービスアカウントを作成」を選択します。
- 「サービスアカウントの詳細」で、サービスアカウント名とサービスアカウント ID を入力します。
- 「完了」を選択します。
サービスアカウントキーを作成する
- サービスアカウントページで、作成したばかりのサービスアカウントを選択します。
- キータブを選択し、「キーを追加 > 新しいキーを作成」を選択します。
- デフォルトのJSONキータイプオプションが選択されたままにします。
- 「作成」を選択します。キーは、後でアクセスできる安全な場所に保存してください。Google Cloud IdentityをIDプロバイダーとして接続するときに、Citrix Cloudコンソールで秘密キーを入力します。
ドメイン全体の委任を構成する
- Admin SDK API を有効にしてください:
- Google Cloud Platformメニューから、「APIとサービス > 有効なAPIとサービス」を選択します。
- コンソールの上部にある「APIとサービスを有効にする」を選択します。APIライブラリのホームページが表示されます。
- 「Admin SDK API」を検索し、結果リストから選択します。
- 「有効にする」を選択します。
- サービスアカウントのAPIクライアントを作成する:
- Google Cloud Platformメニューから、「IAMと管理 > サービスアカウント」を選択し、以前に作成したサービスアカウントを選択します。
- サービスアカウントの詳細タブから、「詳細設定」を展開します。
- 「ドメイン全体の委任」の下で、クライアントIDをコピーし、「Google Workspace管理コンソールを表示」を選択します。
- 該当する場合は、使用するGoogle Workspace管理者アカウントを選択します。Google管理コンソールが表示されます。
- Google管理サイドバーから、「セキュリティ > アクセスとデータ管理 > APIコントロール」を選択します。
- 「ドメイン全体の委任」の下で、「ドメイン全体の委任を管理」をクリックします。
- 「新規追加」を選択します。
- 「クライアントID」に、ステップCでコピーしたサービスアカウントのクライアントIDを貼り付けます。
-
「OAuthスコープ」に、以下のスコープを単一のカンマ区切り行で入力します。
https://www.googleapis.com/auth/admin.directory.user.readonly,https://www.googleapis.com/auth/admin.directory.group.readonly,https://www.googleapis.com/auth/admin.directory.domain.readonly <!--NeedCopy--> - 「承認」を選択します。
読み取り専用APIユーザーアカウントを追加する
このタスクでは、Citrix Cloudの読み取り専用APIアクセス権を持つGoogle Workspaceユーザーアカウントを作成します。このアカウントは他の目的には使用されず、他の特権もありません。
- Google管理メニューから、「ディレクトリ > ユーザー」を選択します。
- 「新しいユーザーを追加」を選択し、適切なユーザー情報を入力します。
- 「新しいユーザーを追加」を選択して、アカウント情報を保存します。
- 読み取り専用ユーザーアカウントのカスタムロールを作成します。
- Google管理メニューから、「アカウント > 管理者ロール」を選択します。
- 「新しいロールを作成」を選択します。
- 新しいロールの名前を入力します。例: API-ReadOnly
- 「続行」を選択します。
- 「管理者API権限」の下で、次の権限を選択します:
- ユーザー > 読み取り
- グループ > 読み取り
- ドメイン管理
- 「続行」を選択し、次に「ロールを作成」を選択します。
- 以前に作成した読み取り専用ユーザーアカウントにカスタムロールを割り当てます:
- カスタムロールの詳細ページで、「管理者」ペインの「ユーザーを割り当てる」を選択します。
- 読み取り専用ユーザーアカウントの名前を入力し始め、ユーザーリストから選択します。
- 「ロールを割り当てる」を選択します。
- ロールの割り当てを確認するには、ユーザーページ（ディレクトリ > ユーザー）に戻り、読み取り専用ユーザーアカウントを選択します。カスタムロールの割り当ては、「管理者ロールと権限」の下に表示されます。
グーグル クラウド アイデンティティをシトリックス クラウドに接続する
- Citrix Cloudにサインインします: (https://citrix.cloud.com)。
- Citrix Cloudメニューから、IDおよびアクセス管理を選択します。
- Google Cloud Identityを見つけて、省略記号メニューから接続を選択します。
- プロンプトが表示されたら、会社の短くURLフレンドリーな識別子を入力し、保存して続行を選択します。選択した識別子は、Citrix Cloud内でグローバルに一意である必要があります。
- ファイルのインポートを選択し、サービスアカウントのキーを作成したときに保存したJSONファイルを選択します。この操作により、プライベートキーと、作成したGoogle Cloudサービスアカウントのメールアドレスがインポートされます。
- 偽装ユーザーに、読み取り専用APIユーザーアカウントの名前を入力します。
- 次へを選択します。Citrix CloudはGoogleアカウントの詳細を確認し、接続をテストします。
- リストされている関連ドメインを確認します。正しければ、確認を選択して構成を保存します。
Citrix Cloudに管理者を追加する
Google Cloudを通じて、個々のCitrix Cloud管理者および管理者グループを追加できます。詳細については、以下の記事を参照してください。
- 個々の管理者向け: Citrix Cloudへの管理者アクセスを管理する
- 管理者グループ向け: 管理者グループを管理する
Citrix Cloudに管理者を追加した後、以下のいずれかの方法でサインインできます。
- Google CloudをIDプロバイダーとして最初に構成したときに設定した管理者サインインURLに移動します。例:
https://citrix.cloud.com/go/mycompany - Citrix Cloudサインインページから、会社の資格情報でサインインを選択し、会社の固有の識別子（例: 「mycompany」）を入力して、続行をクリックします。
ストア認証のためにGoogle Cloud Identityを有効にする
- シトリックス クラウド メニューから、ストアフロント クラウド > 認証を選択します。
- 「Google Cloud Identity」を選択します。プロンプトが表示されたら、「エンドユーザーエクスペリエンスへの影響を理解しています」を選択し、「保存」をクリックします。