ストア認証用のSAMLプロバイダーとしてOktaを構成する
この記事では、Okta SAMLアプリケーションを構成し、Citrix Cloud™とSAMLプロバイダー間の接続を設定するために必要な手順について説明します。これらの手順の一部は、SAMLプロバイダーの管理コンソールで実行するアクションについて説明しています。
前提条件
この記事のタスクを完了する前に、以下の前提条件を満たしていることを確認してください。
- CitrixサポートがCitrix CloudでSendNameIDPolicyInSAMLRequest機能を有効にしていること。この機能はリクエストに応じて有効になります。これらの機能の詳細については、「Oktaを使用したSAMLに必要なクラウド機能」を参照してください。
- 以下のいずれかのOktaドメインを使用するOkta組織があること。
- オクタ・ドット・コム
- オクタ・イーユー・ドット・コム
- オクタプレビュー・ドットコム
- ご自身のActive Directory (AD) をOkta組織と同期済みであること。
- Okta組織で認証リクエストの署名が有効になっていること。
- Citrix CloudとOkta SAMLアプリケーションの両方でIdentity Provider Single Logout (SLO)が構成されていること。SLOが構成されている場合、エンドユーザーがストアからサインアウトすると、OktaおよびOkta SAMLアプリケーションを共有する他のすべてのサービスプロバイダーからもサインアウトします。
- Citrix Cloud内でIDプロバイダーのサインアウト (SLO) リクエストの署名が有効になっていること。
- IDプロバイダーログアウトバインディング (SLO) は、Citrix CloudではHTTP Post方式です。
ログアウトバインディング署名設定(/ja-jp/citrix-cloud/media/logout-binding-signing-settings.png)
Okta を使用した SAML に必要なクラウド機能
この記事のタスクを完了する前に、Citrixサポートに連絡して、SendNameIDPolicyInSAMLRequest機能を有効にする必要があります。この機能により、Citrix Cloud は SAML リクエストで SAML プロバイダーに NameID ポリシーを Unspecified として提供できます。この機能は Okta でのみ使用できます。
これらの機能は、Citrixアカウントにサインインし、CitrixサポートWebサイト を通じてチケットを開くことでリクエストできます。
必要条件
この記事には、(#configure-an-okta-saml-application-for-store-authentication) を作成するタスクが含まれています。このアプリケーションには、Citrix Cloud リージョン用の SAML 署名証明書が必要です。
この証明書は、お使いのリージョンのCitrix Cloud SAML メタデータから、https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract にあるような抽出ツールを使用して抽出できます。Citrix Cloud SAML 証明書は、必要に応じて提供できるように、事前に取得しておくことをお勧めします。
このセクションの手順では、https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract にある抽出ツールを使用して、署名証明書を取得する方法について説明します。
お使いのリージョンの Citrix Cloud メタデータを取得するには：
-
選択した抽出ツールで、Citrix Cloud リージョンのメタデータ URL を入力します。
- 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、
https://saml.cloud.com/saml/metadataを入力します。 - 日本リージョンの場合は、
https://saml.citrixcloud.jp/saml/metadataを入力します。 - シトリックス クラウド ガバメント リージョンでは、
https://saml.cloud.us/saml/metadataを入力します。
- 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、
- Load をクリックします。入力した URL の下に抽出された証明書が表示されます。
- Download をクリックして、証明書を PEM 形式でダウンロードします。
Okta AD エージェントとアカウントを同期する
OktaをSAMLプロバイダーとして使用するには、まずオンプレミスのADをOktaと統合する必要があります。これを行うには、Okta ADエージェントをドメインにインストールし、ADをOkta組織に追加します。Okta ADエージェントの展開に関するガイダンスについては、Okta WebサイトのActive Directory統合の開始を参照してください。
その後、ADユーザーとグループをOktaにインポートします。インポート時には、ADアカウントに関連付けられている次の値を含めます。
- メール
- SID
- UPN
- OID
ADユーザーとグループをOkta組織と同期するには：
- Okta ADエージェントをインストールして構成します。詳細な手順については、Okta Webサイトの次の記事を参照してください。
- 手動インポートまたは自動インポートを実行して、ADユーザーとグループをOktaに追加します。Oktaのインポート方法と手順の詳細については、Okta WebサイトのActive Directoryユーザーとグループの管理を参照してください。
ストア認証用のOkta SAMLアプリケーションを構成する
- SAMLアプリケーションを追加および構成する権限を持つ管理者アカウントを使用して、Okta組織にサインインします。
-
管理コンソールで、アプリケーション > アプリケーション > アプリ統合の作成 を選択し、次に SAML 2.0 を選択します。次へ を選択します。
SAMLがサインイン方法として選択されたOktaコンソール(/ja-jp/citrix-cloud/media/saml-okta-console-sign-in-method.png)
-
App Nameに、アプリケーションのわかりやすい名前を入力します。Nextを選択します。
アプリ名フィールドが強調表示されたSAML統合構成画面の作成(/ja-jp/citrix-cloud/media/saml-okta-console-saml-integration-screen.png)
-
SAML Settingsセクションで、Citrix Cloudサービスプロバイダー (SP) 接続を構成します。
-
シングルサインオンURL に、Citrix Cloudのお客様のCitrix Cloudリージョンに対応するURLを入力します。
- お客様IDが欧州連合、米国、またはアジア太平洋南部リージョンにある場合は、
https://saml.cloud.com/saml/acsを入力します。 - お客様IDが日本リージョンにある場合は、
https://saml.citrixcloud.jp/saml/acsを入力します。 - お客様IDがCitrix Cloud Governmentリージョンにある場合は、
https://saml.cloud.us/saml/acsを入力します。
- お客様IDが欧州連合、米国、またはアジア太平洋南部リージョンにある場合は、
- 受信者と宛先URLにこれを使用するを選択します。
-
オーディエンスURI（SPエンティティID） に、Citrix Cloudのお客様のCitrix Cloudリージョンに対応するURLを入力します。
- お客様IDが欧州連合、米国、またはアジア太平洋南部リージョンにある場合は、
https://saml.cloud.comを入力します。 - お客様IDが日本リージョンにある場合は、
https://saml.citrixcloud.jpを入力します。 - お客様IDがCitrix Cloud Governmentリージョンにある場合は、
https://saml.cloud.usを入力します。
- お客様IDが欧州連合、米国、またはアジア太平洋南部リージョンにある場合は、
- Name ID Formatで、Unspecifiedを選択します。Citrix CloudがSAMLリクエスト内で送信するNameIDポリシーは、Okta SAMLアプリケーション内で指定されたNameID形式と一致する必要があります。これらの項目が一致しない場合、Sign Authentication Requestを有効にするとOktaからエラーが発生します。
-
「アプリケーションユーザー名」で、「Oktaユーザー名」を選択します。
この構成の例として、次の図は、米国、EU、およびアジア太平洋南部リージョンの正しい構成を示しています。
OktaコンソールでのSAML設定（設定済み）(/ja-jp/citrix-cloud/media/saml-okta-console-app-configuration-complete.png)
重要:
Name ID設定はUnspecifiedとして構成する必要があります。この設定に異なる値を使用すると、SAMLサインインが失敗します。
-
Show Advanced Settingsをクリックし、次の設定を構成します。
- 「Response」の項目で、「Signed」を選択します。
- アサーション署名で、署名済みを選択します。
- 署名アルゴリズムで、RSA-SHA256を選択します。
- 「アサーションの暗号化」で、「暗号化なし」を選択します。
- Signature Certificateで、Citrix Cloudリージョン用のSAML署名証明書をPEM形式でアップロードします。SAML署名証明書の取得方法については、この記事の要件を参照してください。
- 「シングルログアウトを有効にする」で、「アプリケーションによるシングルログアウトの開始を許可」を選択します。
- 「シングルログアウトURL」に、シトリックス クラウド リージョンに対応するURLを入力します。
- 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、
https://saml.cloud.com/saml/logout/callbackを入力します。 - 日本リージョンの場合は、
https://saml.citrixcloud.jp/saml/saml/logout/callbackを入力します。 - シトリックス クラウド ガバメントの場合は、
https://saml.cloud.us/saml/logout/callbackを入力します。
- 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、
- SP Issuerに、以前Audience URI (SP Entity ID)に入力した値（このタスクのステップ4c）を入力します。
-
「署名済みリクエスト」で、「署名証明書でSAMLリクエストを検証」を選択します。
次の画像は、米国、EU、およびアジア太平洋南部リージョンの正しい構成を示しています。
-
残りのすべての詳細設定については、デフォルト値を受け入れます。
-
シングルサインオンURL に、Citrix Cloudのお客様のCitrix Cloudリージョンに対応するURLを入力します。
-
「属性ステートメント（オプション）」の下で、次の表に示すように、「名前」、「名前形式」、および「値」の値を入力します。
名前 名前の形式 値 シーアイピーアンダーバーユーピーエヌ 指定なし user.cip_upn 表示名 指定なし ユーザー表示名 ファーストネーム 未指定 ユーザー.ギブンネーム ラストネーム 未指定 ユーザーの姓 
-
Nextを選択します。Okta構成ステートメントが表示されます。
- お客様またはパートナーですか？で、私は内部アプリを追加するOktaのお客様ですを選択します。
- アプリの種類で、これは当社が作成した内部アプリですを選択します。
- 構成を保存するには、Finishを選択します。SAMLアプリケーションのプロファイルページが表示され、Sign Onタブの内容が表示されます。
構成後、Assignmentsタブを選択し、ユーザーとグループをSAMLアプリケーションに割り当てます。
シトリックスクラウド SAML 接続を構成する
すべてのCitrixログオンフローは、ストアURLまたはCitrix Cloud GO URLのいずれかを使用して、サービスプロバイダーによって開始される必要があります。
IDおよびアクセス管理 → 認証 → IDプロバイダーの追加 → SAML 内のSAML接続には、デフォルトの推奨値を使用します。
Oktaポータルから、Citrix Cloudに入力するOkta SAMLアプリケーションのSAMLエンドポイントを取得します。
サインオンタブ(/ja-jp/citrix-cloud/media/prod-external-okta-saml.png)
Oktaエンドポイント(/ja-jp/citrix-cloud/media/okta-endpoints.png)
重要:
Oktaはスコープ付きエンティティIDを必要としません。このドキュメントでは、スコープ付きエンティティIDが無効になっていることを前提としています。スコープ付きエンティティIDとは何か、およびいつ必要になるかについては、スコープ付きエンティティIDに関するCitrixドキュメントを参照してください。デフォルトのCitrix Cloud SAML接続設定を使用し、スコープ付きエンティティIDを無効のままにします。
Oktaスコープ付きエンティティIDが無効(/ja-jp/citrix-cloud/media/okta-scoped-entityid-disabled.png)
| Citrix Cloud のこのフィールドで | この値を入力 |
|---|---|
| エンティティID | http://www.okta.com/<oktaSAMLappID> |
| 認証リクエストに署名 | はい |
| SSOサービスアドレス | https://<youroktatenant>.okta.com/app/<oktatenantname>_<samlappname>/<samlappID>/sso/saml |
| SSOバインディングメカニズム | HTTP ポスト |
| SAML レスポンス | 応答またはアサーションのいずれかに署名 |
| 認証コンテキスト | 未指定、正確 |
| ログアウトURL | https://<youroktatenant>.okta.com/app/<oktatenantname>_<samlappname>/<samlappID>/slo/saml |
| ログアウト要求に署名 | はい |
| SLOバインディングメカニズム | HTTP ポスト |