製品ドキュメント
シトリックスクラウド™
PDFを表示

ストア認証のためのEntra IDとAD IDを使用したSAML

August 3, 2026
Author:  Mark Dear

この記事では、Active Directory (AD) IDを使用してストア認証のためにSAMLを構成する方法について説明します。Citrix Cloud™およびクラウドストアまたはCitrix CloudへのSAML認証のデフォルトの動作は、使用されるSAMLプロバイダーに関係なく、ADユーザーIDに対してアサートすることです。この記事で説明されている構成では、Entra ID Connectを使用してAD IDをEntra IDにインポートする必要があります。

重要:

エンドユーザーにとって適切なSAMLフローを決定することは、サインインプロセスとリソースの可視性に直接影響するため、非常に重要です。選択されたIDは、ストアのエンドユーザーがアクセスできるリソースの種類に影響を与えます。 ME-ID IDを使用してストアに認証するためのSAMLプロバイダーとしてEntra IDを利用する手順を提供する関連記事があります。詳細な手順は、Microsoft Entra IDとME-ID IDを使用したストア認証のためのSAMLで確認できます。 通常、エンドユーザーはADドメイン参加済みVDAによって提供されるアプリとデスクトップを開く必要があります。組織にとって最も適切なSAMLフローを決定する前に、両方の記事で概説されているユースケースを慎重に確認することが不可欠です。不明な場合は、Citrix®は最も一般的なDaaSシナリオと一致するため、AD SAMLフローを使用し、この記事の手順に従うことを推奨します。

機能範囲

この記事は、Citrix CloudとAzureの以下の機能の組み合わせを使用するユーザーに適用されます。

  • AD IDを使用したストア認証のためのSAML
  • AD IDを使用したCitrix Cloud管理者ログインのためのSAML
  • ADドメイン参加済みVDAを使用して公開されたリソースのCitrix DaaS™およびHDXリソース列挙
  • ADドメイン参加済みVDAリソース列挙

AD IDとEntra ID、どちらが最適か

ストアユーザーがSAML ADまたはSAML Entra ID IDのいずれかを使用して認証すべきかどうかを判断するには：

  1. ユーザーのストアで利用可能にするリソースの組み合わせを決定します。

  2. 以下の表を使用して、各リソースタイプに適切なユーザーIDの種類を決定します。

    リソースタイプ (VDA) ストアにサインインする際のユーザーID Entra ID を使用した SAML ID が必要ですか？ FAS は VDA へのシングルサインオン (SSO) を提供しますか？
    AD参加済み AD、ADからインポートされたEntra ID（SIDを含む） いいえ。デフォルトのSAMLを使用します。 はい

カスタムのEntra IDエンタープライズSAMLアプリケーションを構成する

デフォルトでは、ストアへのSAMLサインインの動作は、ADユーザーIDに対してアサートすることです。

  1. Azureポータルにサインインします。
  2. ポータルメニューから、Entra IDを選択します。
  3. 左ペインの管理の下で、エンタープライズアプリケーションを選択します。
  4. 作業ペインのコマンドバーから、新しいアプリケーションを選択します。
  5. コマンドバーから、独自のアプリケーションを作成を選択します。Citrix Cloud SAML SSOエンタープライズアプリケーションテンプレートは使用しないでください。このテンプレートでは、クレームとSAML属性のリストを変更できません。
  6. アプリケーションの名前を入力し、ギャラリーで見つからないその他のアプリケーションを統合 (非ギャラリー) を選択します。作成をクリックします。アプリケーションの概要ページが表示されます。
  7. 左ペインから、シングルサインオンを選択します。作業ペインから、SAMLを選択します。
  8. 基本的なSAML構成セクションで、編集を選択し、次の設定を構成します。
    1. 識別子 (エンティティID) セクションで、識別子の追加を選択し、Citrix Cloudテナントが所在するリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.comを入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jpを入力します。
      • Citrix Cloud Government リージョンの場合は、https://saml.cloud.usを入力してください。
    2. 応答URL (アサーションコンシューマーサービスURL) セクションで、応答URLの追加を選択し、Citrix Cloudテナントが所在するリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com/saml/acsを入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jp/saml/acsを入力します。
      • Citrix Cloud Government リージョンの場合は、https://saml.cloud.us/saml/acsを入力してください。
    3. ログアウトURL (オプション) セクションで、Citrix Cloudテナントが所在するリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com/saml/logout/callbackを入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jp/saml/logout/callbackを入力します。
      • シトリックス クラウド ガバメント リージョンについては、https://saml.cloud.us/saml/logout/callbackを入力します。
    4. コマンドバーから、保存を選択します。

  9. 「属性とクレーム」セクションで、「編集」をクリックして、次のクレームを構成します。これらのクレームは、SAML応答内のSAMLアサーションに表示されます。SAMLアプリの作成後、次の属性を構成します。

    1. 一意のユーザー識別子 (Name ID) クレームの場合、デフォルト値を user.localuserprincipalname に更新します。
    2. cip_upn クレームの場合、デフォルト値を user.localuserprincipalname に更新します。

    クレームの管理

    1. displayName の場合、デフォルト値 user.displayname をそのままにします。
    2. givenName クレームの場合、デフォルト値を user.givenname に更新します。
    3. familyName クレームの場合、デフォルト値を user.surname に更新します。
    4. 「追加クレーム」セクションで、http://schemas.xmlsoap.org/ws/2005/05/identity/claims 名前空間を持つ残りのクレームについては、省略記号 (…) ボタンをクリックし、「削除」をクリックします。これらのクレームは上記のユーザー属性の重複であるため、含める必要はありません。

    完了すると、「属性とクレーム」セクションは以下のように表示されます。

    強調表示された削除メニュー

  10. このサードパーティのオンラインツールを使用して、Citrix Cloud SAML署名証明書のコピーを取得します。
    1. URLフィールドに https://saml.cloud.com/saml/metadata を入力し、「読み込み」をクリックします。

    強調表示された削除メニュー

    1. ページの下部までスクロールし、「ダウンロード」をクリックします。

    メタデータ証明書のダウンロード

    「証明書のダウンロード」(/ja-jp/citrix-cloud/media/certificate_download.png)

  11. Entra ID SAMLアプリケーションの署名設定を構成します。
    1. ステップ9で取得した本番SAML署名証明書を、Entra ID SAMLアプリケーション内にアップロードします。
    2. 検証証明書を要求するを有効にします。

    「検証証明書」(/ja-jp/citrix-cloud/media/verification_cert.png)

    「検証証明書」(/ja-jp/citrix-cloud/media/saml_certificate.png)

トラブルシューティング

  1. SAML-tracerブラウザ拡張機能などのSAMLネットワークツールを使用して、SAMLアサーションに正しいユーザー属性が含まれていることを確認します。

「SAML-tracerブラウザ拡張機能」(/ja-jp/citrix-cloud/media/saml-tracer-browser-ext.png)

  1. 黄色で表示されているSAML応答を見つけ、この例と比較します。

    「ネットワークツールからのSAML応答の例」(/ja-jp/citrix-cloud/media/saml-idp-aad-saml-tool-response.png)

  2. 下部ペインのSAMLタブをクリックして、SAML応答をデコードし、XMLとして表示します。

  3. 応答の最後までスクロールし、SAMLアサーションに正しいSAML属性とユーザー値が含まれていることを確認します。

    「SAMLアサーション値が強調表示されたXMLファイル」(/ja-jp/citrix-cloud/media/saml-idp-aad-assertion-values.png)

エンドユーザーがストアにサインインできない場合、またはCitrix HDX™ Plus for Windows 365デスクトップが表示されない場合は、Citrixサポートに連絡し、次の情報を提供してください。

  • SAML-トレーサー キャプチャ
  • Citrix® StoreFront Cloud へのサインインが失敗した日時
  • 影響を受けたユーザー名
  • ストアへのサインインに使用したクライアントコンピューターの発信元IPアドレス。このIPアドレスを取得するには、https://whatismyip.comのようなツールを使用できます。

シトリックスクラウドSAML接続を構成する

すべてのCitrixログオンフローは、ストアURLまたはCitrix Cloud GO URLのいずれかを使用して、サービスプロバイダーによって開始される必要があります。

[IDとアクセス管理] > [認証] > [IDプロバイダーの追加] > [SAML] 内のSAML接続には、デフォルトで推奨される値を使用してください。

Citrix Cloudに入力するために、Entra IDポータルからEntra ID SAMLアプリケーションのSAMLエンドポイントを取得します。

AAD SAMLエンドポイント

Citrix Cloud SAML接続内で使用されるEntra ID SAMLエンドポイントの例

重要:

EntraID SSOとログアウトSAMLエンドポイントは同じURLです。

Citrix Cloudのこのフィールドで この値を入力
エンティティID https://sts.windows.net/<yourEntraIDTenantID>
認証リクエストに署名 はい
シングルサインオンサービスURL https://login.microsoftonline.com/<yourEntraIDTenantID>/saml2
SSOバインディングメカニズム HTTPポスト
SAML レスポンス 応答またはアサーションのいずれかに署名
認証コンテキスト 未指定、正確
ログアウトURL https://login.microsoftonline.com/<yourEntraIDTenantID>/saml2
ログアウトリクエストに署名 はい
SLOバインディングメカニズム HTTP ポスト
ストア認証のためのEntra IDとAD IDを使用したSAML
August 3, 2026
Author:  Mark Dear
August 3, 2026
Author:  Mark Dear

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.