製品ドキュメント
シトリックスクラウド™
PDFを表示

ストア認証のためのEntra IDおよびEntra IDユーザーIDを使用したSAML

August 3, 2026
Author:  Mark Dear

この記事では、AD IDの代わりにEntra ID IDを使用してストア認証用のSAMLを構成する方法について説明します。Entra IDユーザーがデフォルトのSAML動作でストアにサインインした後、Windows 365 Cloud PCまたはEntra IDドメイン参加済みVDAを列挙できない場合に、この構成を使用します。構成が完了すると、ユーザーはSAML認証を使用してストアにサインインし、Citrix DaaS™を介したHDXアプリとデスクトップ、およびAzureを介したWindows 365 Cloud PCの両方にアクセスできるようになります。

Citrix Cloud™およびCitrix® StoreFront CloudへのSAML認証のデフォルトの動作は、ADユーザーIDに対してアサートすることです。この記事で説明する構成では、Entra ID Connectを使用してAD IDをEntra IDにインポートする必要があります。AD IDにはユーザーのSIDが含まれており、StoreFront CloudはこれをCitrix DaaSに送信して、HDXリソースの列挙と起動を可能にします。ユーザーのIDのEntra IDバージョンが使用されるため、ユーザーはStoreFront Cloud内からWindows 365 Cloud PCなどのAzureリソースを列挙および起動することもできます。

重要:

列挙とは、ユーザーがストアにサインインした後に表示されるリソースのリストを指します。特定のユーザーがアクセスを許可されているリソースは、そのユーザーのIDと、Citrix DaaSでそのIDに関連付けられているリソースによって異なります。ストアへの認証のためのSAMLプロバイダーとしてEntra IDとAD IDを利用する方法に関する手順を提供する関連記事があります。詳細な手順は、ストア認証にEntra IDとAD IDを使用するSAMLで確認できます。

機能の範囲

この記事は、Citrix CloudとAzureの以下の機能の組み合わせを使用するユーザーに適用されます。

  • ストア認証用のSAML
  • ADドメイン参加済みVDAを使用して公開されたリソースのCitrix DaaSおよびHDX™リソース列挙
  • Entra IDドメイン参加済みVDAリソース列挙
  • Azureハイブリッドドメイン参加済みVDAリソース列挙
  • W365 Cloud PCの列挙と起動

重要:

このME-ID SAMLフローをCitrix CloudへのSAMLログインに使用しないでください。これは、Citrix Cloud管理者ユーザーがADグループのメンバーである必要があり、したがってADユーザーIDを使用する必要があるためです。詳細な手順は、ストア認証にEntra IDとAD IDを使用するSAMLで確認できます。

AD IDとEntra ID、どちらのIDが最適か

ストアユーザーがSAML AD IDまたはSAML Entra IDのいずれかを使用して認証する必要があるかどうかを判断するには、次の手順を実行します。

  1. ストアのユーザーに提供するリソースの組み合わせを決定します。

  2. 次の表を使用して、各リソースタイプに適したユーザーIDのタイプを判断します。

    リソースタイプ (VDA) ストアにサインインするときのユーザーID Entra IDを使用したSAML IDが必要ですか？ FASはVDAへのシングルサインオン (SSO) を提供しますか？
    AD参加済み AD、ADからインポートされたEntra ID (SIDを含む) いいえ。デフォルトのSAMLを使用します。 はい
    ハイブリッド参加済み AD、ADからインポートされたEntra ID (SIDを含む) いいえ。デフォルトのSAMLを使用します。 はい、IDプロバイダーとしてADを使用する場合。VDAにEntra IDが選択されている場合、FASは不要です。
    Entra参加済み Entra IDネイティブユーザー、ADからインポートされたEntra ID (SIDを含む) はい、Entra ID経由でSAMLを使用します。 いいえ
    ウィンドウズ 365 クラウドPC Entra IDネイティブユーザー、ADからインポートされたEntra ID (SIDを含む) はい、Entra ID経由でSAMLを使用します。 いいえ
    AD参加済み、Entra ID参加済み、Windows 365 クラウドPC ADからインポートされたEntra ID (SIDを含む) はい、Entra ID経由でSAMLを使用します。 はい、AD参加済みの場合。いいえ、Entra ID参加済みおよびWindows 365 Cloud PCの場合。

詳細情報

必要条件

  • Entra ID テナントは Citrix Cloud テナントに接続されている必要があります。Citrix Cloud コンソールで、[ID およびアクセス管理] > [認証] を選択すると、既存の Entra ID 接続を見つけることができます。

または、

[ID およびアクセス管理] > [認証] –> [ID プロバイダーの追加] –> [Entra ID の選択] を選択して、新しい Entra ID ディレクトリ接続を作成できます。

接続状態が強調表示された Entra ID プロバイダー(/ja-jp/citrix-cloud/media/iam-aad-connected.png)

重要:

ME-ID ID を使用する新しい SAML アプリケーションを作成する予定の Entra ID テナントと同じテナントを接続する必要があります。

  • ストア認証方法は SAML 2.0 に設定する必要があります。認証方法として Entra ID を使用しないでください。ストア認証方法を変更するには、Citrix Cloud コンソールで [StoreFront Cloud] > [認証] に移動します。
  • UPN サフィックス @yourdomain.com は、カスタムドメイン名として Entra ID 内でインポートおよび検証されている必要があります。Azure portal では、これは [Entra ID] > [カスタムドメイン名] の下にあります。
  • Entra ID ユーザー ID は、Microsoft Entra ID Connect を使用して AD からインポートする必要があります。これにより、ユーザー ID が正しくインポートされ、正しい UPN サフィックスが設定されます。@yourtenant.onmicrosoft.com UPN サフィックスを持つ Entra ID ユーザーはサポートされていません。
  • Citrix FAS は、Citrix Cloud テナントおよびリソースの場所に展開され、接続されている必要があります。FAS は、StoreFront Cloud から起動される HDX デスクトップおよびアプリケーションへのシングルサインオンを提供します。AD と Entra ID の両方のユーザー ID の UPN user@customerdomain が一致する必要があるため、AD シャドウアカウントを構成する必要はありません。FAS は、正しい UPN を持つ必要なユーザー証明書を生成し、HDX リソースが起動されるときにスマートカードサインインを実行します。

カスタム Entra ID エンタープライズ SAML アプリケーションを構成する

デフォルトでは、ストアへのSAMLサインインの動作は、ADユーザーIDに対してアサートすることです。cip_directory SAML属性は、すべてのエンドユーザーで同じハードコードされた文字列値であり、スイッチとして機能します。Citrix CloudとStoreFront Cloudは、サインイン中にこの属性を検出し、SAMLがユーザーIDのEntra IDバージョンに対してアサートするようにトリガーします。この属性でazureadパラメーターを使用すると、デフォルトのSAML動作が上書きされ、ストアユーザーはAD IDではなくEntra ID IDを使用して認証されます。

このセクションの手順はEntra IDに関するものですが、同じタスクを実行すれば、別のSAML 2.0プロバイダー（ADFS、Duo、Okta、OneLogin、PingOneSSOなど）を使用して同様のSAMLアプリケーションを作成できます。SAMLプロバイダーは、SAMLアプリケーション内でハードコードされたSAML属性（cip_directory = azuread）を構成できる必要があります。このセクションで説明されているのと同じSAML属性マッピングを作成するだけです。

  1. Azureポータルにサインインします。
  2. ポータルメニューから、Entra IDを選択します。
  3. 左ペインの管理の下にあるエンタープライズアプリケーションを選択します。
  4. 作業ペインのコマンドバーから、新しいアプリケーションを選択します。
  5. コマンドバーから、独自のアプリケーションを作成を選択します。Citrix Cloud SAML SSOエンタープライズアプリケーションテンプレートは使用しないでください。このテンプレートでは、クレームとSAML属性のリストを変更できません。
  6. アプリケーションの名前を入力し、ギャラリーで見つからないその他のアプリケーションを統合する（非ギャラリー）を選択します。作成をクリックします。アプリケーションの概要ページが表示されます。
  7. 左ペインからシングルサインオンを選択します。作業ペインからSAMLを選択します。
  8. 基本SAML構成セクションで、編集を選択し、次の設定を構成します。
    1. 識別子（エンティティID）セクションで、識別子の追加を選択し、Citrix Cloudテナントが存在するリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.comと入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jpと入力します。
      • シトリックス クラウド ガバメント リージョンの場合は、https://saml.cloud.usを入力します。
    2. 応答URL（アサーションコンシューマーサービスURL）セクションで、応答URLの追加を選択し、Citrix Cloudテナントが存在するリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部地域の場合、https://saml.cloud.com/saml/acs を入力します。
      • 日本地域の場合、https://saml.citrixcloud.jp/saml/acs を入力します。
      • Citrix Cloud Government の地域においては、https://saml.cloud.us/saml/acs を入力してください。
    3. ログアウト URL (オプション) セクションで、Citrix Cloud テナントが配置されている地域に関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部地域の場合、https://saml.cloud.com/saml/logout/callback を入力します。
      • 日本地域の場合、https://saml.citrixcloud.jp/saml/logout/callback を入力します。
      • Citrix Cloud Government の地域においては、https://saml.cloud.us/saml/logout/callback を入力してください。
    4. コマンドバーから、保存を選択します。
  9. 属性と要求セクションで、編集を選択して次の要求を構成します。これらの要求は、SAML 応答内の SAML アサーションに表示されます。
    1. 一意のユーザー識別子 (名前 ID) 要求の場合、デフォルト値を user.localuserprincipalname に更新します。
    2. コマンドバーから、新しい要求の追加を選択します。
    3. 名前に「cip_directory」と入力します。
    4. ソースで、属性が選択されたままにします。

    5. ソース属性に「azuread」と入力します。この値は、入力後に引用符で囲まれて表示されます。

      ソース属性エントリを含む要求の管理画面(/ja-jp/citrix-cloud/media/saml-idp-aad-manage-claim-azuread-value.png)

    6. コマンドバーから、保存を選択します。

    7. 名前フィールドとソース属性フィールドに以下の値を持つ追加のクレームを作成します。

      名前 ソース属性
      シップフェッドUPN ユーザー.ローカルユーザープリンシパル名
      表示名 ユーザー.表示名
      下の名前 ユーザー.名
      ファミリーネーム ユーザー.姓

      UPN値を持つクレーム管理画面(/ja-jp/citrix-cloud/media/manage-claims-screen-with-upn-value.png)

      重要:

      これらの追加クレームは、各クレームに対して手順b～fを繰り返すか、上記の表に記載されているソース属性をすでに持つ追加クレームセクションのデフォルトクレームを変更することで作成できます。デフォルトクレームには、名前空間http://schemas.xmlsoap.org/ws/2005/05/identity/claimsが含まれます。

      デフォルトのクレームを変更する場合は、各クレームから名前空間を削除する必要があります。新しいクレームを作成する場合は、名前空間を含むクレームを削除する必要があります。この名前空間を持つクレームが結果のSAMLアサーションに含まれている場合、アサーションは無効になり、誤ったSAML属性名が含まれます。

    8. 「追加クレーム」セクションで、http://schemas.xmlsoap.org/ws/2005/05/identity/claims名前空間を持つ残りのクレームについて、省略記号（…）ボタンをクリックし、「削除」をクリックします。

      削除メニューが強調表示されています(/ja-jp/citrix-cloud/media/saml-idp-aad-delete-schema-claims.png)

    完了すると、「属性とクレーム」セクションは以下に示すように表示されます。

    Entra IDの属性とクレームが完了しました(/ja-jp/citrix-cloud/media/azure-ad-completed-attributes-and-claims.png)

  10. このサードパーティのオンラインツールを使用して、Citrix Cloud SAML署名証明書のコピーを取得します。

  11. URLフィールドにhttps://saml.cloud.com/saml/metadataを入力し、「読み込み」をクリックします。

    メタデータ証明書の抽出(/ja-jp/citrix-cloud/media/saml-meta-cert.png)

  12. ページの下部までスクロールし、「ダウンロード」をクリックします。

    ダウンロード(/ja-jp/citrix-cloud/media/saml-certi-download.png)

    ダウンロードされたファイル(/ja-jp/citrix-cloud/media/saml-certi-file.png)

  13. Entra ID SAMLアプリケーションの署名設定を構成します。
  14. 手順10で取得した本番SAML署名証明書をEntra ID SAMLアプリケーション内にアップロードします。
    • 「検証証明書を要求する」を有効にします。

    検証証明書(/ja-jp/citrix-cloud/media/saml-verify-certi.png)

    サムル証明書

トラブルシューティング

  1. SAML-tracerブラウザ拡張機能などのSAMLネットワークツールを使用して、SAMLアサーションに正しいユーザー属性が含まれていることを確認します。

  2. 黄色で表示されているSAML応答を見つけ、この例と比較してください。

    ネットワークツールからのSAML応答の例

  3. 下部ペインのSAMLタブをクリックして、SAML応答をデコードし、XMLとして表示します。

  4. 応答の最後までスクロールし、SAMLアサーションに正しいSAML属性とユーザー値が含まれていることを確認します。

    SAMLアサーション値が強調表示されたXMLファイル

エンドユーザーがストアにサインインできない場合は、Citrixサポートに連絡し、以下の情報を提供してください。

  • SAMLトレーサーキャプチャ
  • ストアへのサインインが失敗した日時
  • 影響を受けたユーザー名
  • ストアへのサインインに使用したクライアントコンピューターの発信元IPアドレス。このIPアドレスを取得するには、https://whatismyip.comのようなツールを使用できます。

シトリックス クラウド SAML 接続を構成する

すべてのCitrixログオンフローは、ストアURLまたはCitrix Cloud GO URLのいずれかを使用して、サービスプロバイダーによって開始される必要があります。

「ID およびアクセス管理 > 認証 > ID プロバイダーの追加 > SAML」内の SAML 接続に、デフォルトの推奨値を使用します。

Citrix Cloud に入力するために、Entra ID ポータルから Entra ID SAML アプリケーションの SAML エンドポイントを取得します。

AAD SAML エンドポイント(/ja-jp/citrix-cloud/media/aad-saml-endpoints.png)

シトリックス クラウド SAML 接続内で使用する Entra ID SAML エンドポイントの例

重要:

EntraID SSO およびログアウト SAML エンドポイントは同じ URL です。

Citrix Cloud のこのフィールドで この値を入力します
エンティティ ID https://sts.windows.net/<yourEntraIDTenantID>
認証リクエストに署名 はい
エスエスオーサービスユーアールエル https://login.microsoftonline.com/<yourEntraIDTenantID>/saml2
SSO バインディングメカニズム HTTP ポスト
SAML レスポンス 応答またはアサーションのいずれかに署名
認証コンテキスト 未指定、正確
ログアウト URL https://login.microsoftonline.com/<yourEntraIDTenantID>/saml2
ログアウト要求に署名 はい
SLO バインディングメカニズム HTTP ポスト
ストア認証のためのEntra IDおよびEntra IDユーザーIDを使用したSAML
August 3, 2026
Author:  Mark Dear
August 3, 2026
Author:  Mark Dear

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.