製品ドキュメント
Citrix DaaS
PDFを表示

Azure ADサービスアカウント

September 15, 2025
寄稿者: 
C

Azure ADサービスアカウントは、Azure ADに参加しているデバイスまたはMicrosoft Intuneに登録されたデバイスを管理するための、十分な権限を持つAzure ADサービスプリンシパルのアプリケーションIDとシークレットを格納するコンテナです。 MCSは、このサービスアカウントを使用して、プロビジョニングされたマシンのライフサイクル中に生成された古いAzure ADまたはMicrosoft Intuneデバイスを自動的にクリーンアップできます。

Azure ADサービスプリンシパルに必要な権限

サービスアカウントで使用されるAzure ADサービスプリンシパルに必要な権限は、サービスアカウントで有効になっている機能によって異なります。

  • Azure AD参加デバイス管理機能を備えたサービスアカウントの場合、Azure ADサービスプリンシパルにはAzure ADテナントのdevice.readwrite.all権限が必要です。
  • Microsoft Intune登録デバイス管理機能を備えたサービスアカウントの場合、Azure ADサービスプリンシパルにはAzure ADテナントのDeviceManagementManagedDevices.ReadWrite.All権限が必要です。
  • Azure AD参加セキュリティグループ管理機能を備えたサービスアカウントの場合、Azure ADサービスプリンシパルにはAzure ADテナントのGroup.ReadWrite.AllおよびGroupMember.ReadWrite.All権限が必要です。

制限事項

Azure ADの役割ベースのアクセス制御は現在サポートされていません。 そのため、Azure AD権限をサービスプリンシパルに直接割り当ててください。

Azure ADサービスアカウントの作成

StudioまたはPowerShellを使用してAzure ADサービスアカウントを作成します。

前提条件

Azure ADサービスアカウントを作成するには、必ず次のタスクを完了してください：

  • サービスアカウントを有効にする機能に基づく、十分な権限を持つAzure ADプリンシパルをAzure ADテナントに作成します。

Studioの使用

  1. ［DaaS］ タイルで、［管理］ をクリックします。
  2. 左側ペインで ［管理者］ を選択します。
  3. ［Service Accounts］タブで、［Create Service Account］をクリックします。
  4. ［Identity Type］ページで、［Azure Active Directory］を選択します。 トラフィックをルーティングするための新しいオプションが有効になりました。
    1. ［Citrix Cloud Connector経由のトラフィックをルーティングする］チェックボックスを選択します。
    2. トラフィックをルーティングするために使用できるゾーンを選択し、［次へ］をクリックします。
  5. ［資格情報］ページで、Azure ADテナントID、アプリケーションID、クライアントシークレットを入力し、資格情報の有効期限を設定します。
  6. サービスアカウントの機能を選択します。
  7. サービスアカウントのスコープを1つ以上選択します。
  8. サービスアカウントのフレンドリ名と説明（オプション）を入力します。
  9. ［完了］をクリックして作成 を完了します。

注

  • Azure AD参加デバイス管理機能はデフォルトで選択されており、選択を解除することはできません。
  • テナントに招待されたマルチテナントのAzure ADアプリケーションを使用するには、入力したAzure ADテナントIDが、アプリケーションのホームテナントIDではなく、独自のテナントIDである必要があります。

PowerShellの使用

または、PowerShell コマンドを使用して Azure AD サービスアカウントを作成することもできます。 次に例を示します：

  $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationSecret = xxxxxxxxxxxxxxx
  $credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

  New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Azure AD tenant'
<!--NeedCopy-->

Azure ADに参加したデバイス管理をサービスアカウントに移行

以前、Citrixは、Microsoft Azure Resource Managerへのホスト接続を作成または編集するときに、Azure AD参加デバイス管理を有効にするオプションを提供していました。 MCSは、ホスト接続とともに保存されているAzure ADサービスプリンシパル（プロビジョニングSPN）の権限を使用して、古いAzure AD参加デバイスを管理しました。 サービスアカウントでは、サービスアカウントとともに保存されている専用のAzure ADサービスプリンシパル（ID管理SPN）を使用して、Azure ADに参加しているデバイスやMicrosoft Intuneに登録されているデバイスを管理できます。

Citrixでは、プロビジョニングSPNとID管理SPNの責任を分離するために、ホスト接続によるデバイス管理からサービスアカウントによるデバイス管理に移行することをお勧めします。

Azure AD参加デバイス管理で既に有効になっている既存の接続については、次のように無効にできます：

  1. Studioの左側ペインで ［ホスト］ を選択します。
  2. 接続を選択し、操作バーの ［接続の編集］ を選択します。
  3. ［接続のプロパティ］ページで、［Azure AD参加済みデバイスの管理を有効にする］チェックボックスをオフにします。
  4. ［保存］をクリックして変更を適用します。

注

現在、新しいホスト接続を作成するときにAzure AD参加デバイス管理を有効にすることはできません。

次の手順

Azure ADサービスアカウント
September 15, 2025
寄稿者: 
C
September 15, 2025
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.