Microsoft Entra シングルサインオン
Microsoft Entra ID 資格情報を使用して、Microsoft Entra 参加済みまたは Microsoft Entra ハイブリッド参加済みセッションホスト上の仮想アプリケーションとデスクトップにアクセスする場合、シングルサインオン (SSO) を活用できます。
サポートされるインフラストラクチャ
以下は、Microsoft Entra シングルサインオンでサポートされるインフラストラクチャコンポーネントの概要です。
| マシンID | シトリックス DaaS | シトリックス DaaS ローカル | シトリックス ストアフロント クラウド | シトリックス ストアフロント | シトリックス ゲートウェイ サービス | ネットスケーラー ゲートウェイ |
|---|---|---|---|---|---|---|
| Microsoft Entra 参加済み | はい | いいえ | はい | いいえ | はい | はい |
| Microsoft Entra ハイブリッド参加済み | はい | はい | はい | はい | はい | はい |
注：
サポートされているIDプロバイダー
Microsoft Entra シングルサインオンでサポートされている Workspace IDプロバイダーの概要を次に示します。
| マシンID | エントラ ID | アクティブディレクトリ | Active Directory + トークン | オクタ | SAML | ネットスケーラー ゲートウェイ | 適応型認証 |
|---|---|---|---|---|---|---|---|
| Microsoft Entra参加済み | はい | いいえ | いいえ | いいえ | はい | いいえ | いいえ |
| Microsoft Entra ハイブリッド参加済み | はい | いいえ | いいえ | いいえ | はい | いいえ | いいえ |
注
SAML を IdP として使用する予定がある場合は、SAML プロバイダーが Entra ベースの認証をサポートするように適切に構成されていることを確認する必要があります。「ワークスペース認証用の Microsoft Entra ID および Microsoft Entra ID を使用した SAML」を参照してください。
サポートされているアクセス方法
Citrix 環境で利用できるアクセス方法は次のとおりです。
- ネイティブアクセス: ネイティブの Citrix Workspace アプリクライアントを使用してストアにアクセスし、セッション接続を確立します。
- ブラウザアクセス: ブラウザを介してストアにアクセスし、Citrix Workspace アプリ for HTML5 クライアントを使用して仮想アプリまたはデスクトップセッションに接続します。
- ハイブリッドアクセス: ブラウザを介してストアにアクセスし、ネイティブのWorkspaceアプリクライアントを使用して仮想アプリまたはデスクトップセッションに接続します。
Microsoft Entraシングルサインオンでサポートされているアクセス方法の概要を次に示します。
| アクセス方法 | ウィンドウズ | リナックス | Mac | クローム オーエス | アンドロイド | iOS |
|---|---|---|---|---|---|---|
| ネイティブ | はい | はい | はい | はい | はい | はい |
| ブラウザ | はい | はい | はい | はい | はい | はい |
| ハイブリッド | はい | はい | はい | いいえ | いいえ | いいえ |
システム要件
Microsoft Entraシングルサインオンを使用するためのシステム要件は次のとおりです。
- コントロールプレーン: Citrix DaaS
- Citrix Cloud Commercial (米国、EU、およびAPS)
- Citrix Cloud 日本
- ユーザーポータル: Citrix® StoreFront Cloud
- 仮想デリバリーエージェント (VDA)
- Windows: バージョン2507以降
- Citrix Workspaceアプリ
- Windows: バージョン2507以降
- Linux: バージョン2508以降 (ハイブリッドアクセスにはバージョン2601以降が必要)
- Mac: バージョン2508以降 (ハイブリッドアクセスにはバージョン2511以降が必要)
- HTML5: バージョン2511以降
- Chrome OS: バージョン2511以降
- Android: バージョン2511以降
- iOS: バージョン 2511 以降
- Citrix Web 拡張機能
- セッションホストOS:
- Windows 11 バージョン 24H2、2025-09 Cumulative Updates for Windows 11 (KB5065789) 以降がインストールされていること (ビルド 26100.6725)
- Windows Server 2025、2026-01 Cumulative Updates for Windows Server 2025 (KB5073379) 以降がインストールされていること (ビルド 26100.32230)
注
Citrix Web Extension は、ユーザーが Windows、Linux、または Mac デバイスでハイブリッドアクセスを利用する場合にのみ必要です。ユーザーがネイティブアクセスまたはブラウザアクセスを利用する場合は、Citrix Web Extension は必要ありません。
考慮事項
- ユーザーがハイブリッドアクセスを利用する場合は、Microsoft Edge または Google Chrome を使用し、Citrix Web Extension をインストールする必要があります。ハイブリッドアクセスでの Microsoft Entra シングルサインオンは、他のブラウザではサポートされていません。
- Microsoft Entra シングルサインオンを使用してセッションにログオンする場合、Auto Client Reconnect はサポートされません。このログオン方法が使用されると、この機能は自動的に無効になります。ネットワーク障害が発生した場合の自動再接続には、Session Reliability が引き続き利用可能です。
- 仮想デスクトップがロックされると、デフォルトの動作として Windows ロック画面が表示されます。認証要件によっては、セッションロックの動作を変更する必要がある場合があります。詳細については、セッションロックの動作 を参照してください。
- Microsoft Entra ハイブリッド参加セッションホストを使用している場合、Domain Admins などの特権グループのメンバーに対しては、デフォルトではシングルサインオンは機能しません。これを有効にするには、Microsoft Entra Kerberos アクセス用の読み取り専用ドメインコントローラー (RODC) 許可リストにグループまたはユーザーを追加します。詳細については、Microsoft Entra Kerberos TGT と Active Directory アクセス制御 を参照してください。
- 現時点では、Microsoft Entra External ID はサポートされていません。ゲストユーザーにアクセスを提供する必要がある場合は、ワークスペース認証用のゲストおよび B2B ID に Entra ID を使用した SAML を参照してください。
- Microsoft Entra シングルサインオンでは、Windows の設定 Allow Custom SSPs and APs to be loaded into LSASS を有効にする必要があります (既定)。Microsoft Intune を介して Security Baseline for Windows 10 and later テンプレートを展開する場合、この設定は自動的に無効になり、SSO がブロックされるため、Intune デバイス構成ポリシーを更新して有効な状態を維持する必要があることに注意してください。
Microsoft Entra シングルサインオンの構成方法
概要
Microsoft Entra シングルサインオンの構成は、次の手順で構成されます。
- Azure および Microsoft Entra ID の構成
- Citrix リソースおよびクライアントアプリケーションを登録する(#register-citrix-applications)。
- Citrix リソースアプリケーションに対して Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にする。
- ユーザーの同意プロンプトを非表示にする。
- クライアントアプリケーションを承認する。
- Kerberos サーバーオブジェクトを作成する (Microsoft Entra ハイブリッド参加環境のみ)。
- Microsoft Entra 条件付きアクセス ポリシーを確認する。
- Citrix の構成
- 必要な OS バージョン、ID タイプ、および VDA バージョンで セッションホスト をプロビジョニングします。
- Citrix® StoreFront Cloud を構成する:
- 適切な ID プロバイダー を構成します。
- Microsoft Entraシングルサインオンを有効にする](#enabling-microsoft-entra-single-sign-on-in-workspace)
- 必要に応じて、デリバリーグループのログオンタイプを構成する。
各構成ステップの詳細は、以下のセクションで説明します。
AzureとMicrosoft Entra IDの構成
Microsoft Entraシングルサインオンを利用するには、まずMicrosoft Entra IDテナントでWindows用のMicrosoft Entra認証を許可する必要があります。これにより、Microsoft Entra参加済みおよびMicrosoft Entraハイブリッド参加済みのセッションホストにユーザーがサインインするために必要な認証トークンが発行されます。
Azure構成を行う担当者には、最低でも以下のいずれかのMicrosoft Entra組み込みロールまたは同等のロールが割り当てられている必要があります。
構成は、Azure Portal、Microsoft Graph PowerShell SDK、またはMicrosoft Graph APIを使用して完了できます。以下のセクションでは、Azure Portalを介して構成を完了するための詳細を説明します。Microsoft Graph PowerShell SDKまたはMicrosoft Graph APIの使用を希望する場合は、Microsoft EntraシングルサインオンのAzure構成を参照してください。
Citrixアプリケーションの登録
Microsoft Entraシングルサインオンには、Entra IDリソースアプリケーションとEntra IDクライアントアプリケーションが必要です。リソースアプリケーションは、RDPアクセストークンを要求する際にWindows OSを表します。クライアントアプリケーションは、Citrix Workspaceアプリを表します。
CitrixリソースアプリケーションとCitrixクライアントアプリケーションは、Citrix Cloudポータルから登録できます。
-
左上隅のメニューを開き、
Identity and access managementを選択します。 -
Authenticationページで、Microsoft Entraシングルサインオンを有効にしたいMicrosoft Entra ID IDプロバイダーを探します。 -
オプションメニューを開き、
Set up Microsoft Entra SSOを選択します。
-
「リソースアプリケーションの登録」の横にある
Registerをクリックします。
-
Citrix リソースアプリケーションに要求されたアクセス許可を承諾します。
-
「クライアントアプリケーションの登録」の横にある
Registerをクリックします。
-
Citrix クライアントアプリケーションに要求されたアクセス許可を承諾します。
または、以下の同意URLを使用してアプリケーションを登録できます。まずリソースアプリを登録し、次にクライアントアプリを登録してください。
- シトリックスクラウド 米国、EU、APS
- リソースアプリ:
https://login.microsoftonline.com/common/adminconsent?client_id=3a510bb1-e334-4298-831e-3eac97f8b26c - クライアントアプリ:
https://login.microsoftonline.com/common/adminconsent?client_id=85651ebe-9a8e-49e4-aaf2-9274d9b6499f
- リソースアプリ:
- シトリックスクラウド 日本
- リソースアプリ:
https://login.microsoftonline.com/common/adminconsent?client_id=0027603f-364b-40f2-98be-8ca4bb79bf8b - クライアントアプリ:
https://login.microsoftonline.com/common/adminconsent?client_id=0fa97bc0-059c-4c10-8c54-845a1fd5a916
- リソースアプリ:
アプリケーションのアクセス許可は次のとおりです。
Citrix リソースアプリケーション
サービスプリンシパルは、次のアクセス許可で作成されます。
| API名 | 要求値 | アクセス許可 | 種類 |
|---|---|---|---|
| マイクロソフト グラフ | User.Read | サインインしてユーザープロファイルを読み取る | 委任 |
Citrix Cloud US、EU、およびAPSの場合、アプリケーションはCitrix-Workspace-Resource（アプリケーションID 3a510bb1-e334-4298-831e-3eac97f8b26c）と呼ばれます。
Citrix Cloud Japanの場合、アプリケーションはCitrix-Workspace-Resource-JP（アプリケーションID 0027603f-364b-40f2-98be-8ca4bb79bf8b）と呼ばれます。
Citrix クライアントアプリケーション
サービスプリンシパルは、以下の権限で作成されます。
| API名 | クレーム値 | 権限 | タイプ |
|---|---|---|---|
| シトリックス-ワークスペース-リソース
シトリックス-ワークスペース-リソース-JP |
user_impersonation
|
シトリックス Entra ID SSO
|
委任
|
| マイクロソフト Graph | User.Read | サインインしてユーザープロファイルを読み取る | 委任 |
Citrix Cloud US、EU、APS の場合、アプリケーションは Citrix-Workspace (アプリケーション ID 85651ebe-9a8e-49e4-aaf2-9274d9b6499f) と呼ばれます。
Citrix Cloud Japan の場合、アプリケーションは Citrix-Workspace-JP (アプリケーション ID 0fa97bc0-059c-4c10-8c54-845a1fd5a916) と呼ばれます。
Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にする
Citrix Resource アプリケーションで Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にする必要があります。これを行うには：
-
Azure Portal で、
Microsoft Entra ID>Devices>Manage>Remote connection configurationの順に移動します。
-
Citrix-Workspace-Resource を選択します。
-
Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にします。
-
ユーザーの同意プロンプトを非表示にするに進みます。
ユーザーの同意プロンプトダイアログを非表示にする
既定では、Microsoft Entra シングルサインオンが有効な Microsoft Entra 参加済みまたは Microsoft Entra ハイブリッド参加済みのセッションホストに接続する際、ユーザーはリモートデスクトップ接続を許可するよう求められ、シングルサインオンを許可するために [はい] を選択する必要があります。Microsoft Entra は、再度プロンプトを表示するまで、最大 15 の一意のセッションホストを 30 日間記憶します。
ターゲットデバイスのリストを構成することで、このダイアログを非表示にできます。デバイスのリストを構成するには、Microsoft Entra ID で Microsoft Entra 参加済みおよび/または Microsoft Entra ハイブリッド参加済みのセッションホストを含む 1 つ以上のグループを作成し、リソースアプリケーションでそのグループを承認する必要があります（最大 10 グループ）。
Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にし、グループが作成されたら:
-
ターゲットデバイスグループを追加するためのリンクをクリックし、適切なグループを選択します。
注
グループのメンバーシップ管理を簡素化するために、動的グループを作成することを強くお勧めします。動的グループは通常5～10分以内に更新されますが、大規模なテナントでは最大24時間かかる場合があります。
動的グループには、Microsoft Entra ID P1 ライセンスまたは Intune for Education ライセンスが必要です。詳細については、グループの動的メンバーシップルールを参照してください。
クライアントアプリケーションを承認する
Citrix Resource アプリケーションで、Citrix Client アプリケーションを承認済みクライアントとして明示的に追加する必要があります。
-
信頼済みクライアントアプリケーションを追加するためのリンクをクリックします。
-
Citrix Client アプリケーションを選択します。
-
保存を選択して、Citrix Resource アプリケーションに構成の変更を適用します。
Kerberos サーバーオブジェクトを作成する
セッションホストがMicrosoft Entraハイブリッド参加済みである場合、ユーザーアカウントとコンピューターアカウントが存在するActive DirectoryドメインにKerberosサーバーオブジェクトを構成する必要があります。詳細については、「Kerberosサーバーオブジェクトの作成」を参照してください。
Microsoft Entra条件付きアクセス ポリシーの確認
Microsoft Entra条件付きアクセス ポリシーを使用している、または使用する予定がある場合は、これらをCitrix Resourceアプリケーションに適用する必要があります。
DaaSでMicrosoft Entraシングルサインオンを使用する際の条件付きアクセスの構成に関する詳細なガイダンスについては、Microsoftドキュメントを参照してください。必要な条件付きアクセス設定は、Citrix ClientアプリケーションやMicrosoftアプリケーションではなく、Citrix Resourceアプリケーションに適用する必要があることに注意してください。
Citrixの構成
Citrixセッションホスト
セッションホストのシステム要件が満たされていることを確認してください。
- セッションホストがMicrosoft Entra参加済みまたはMicrosoft Entraハイブリッド参加済みであることを確認します。
- システム要件で指定されている必要なオペレーティングシステムのバージョンとビルドをインストールします。
- システム要件で指定されている必要なVDAバージョンをインストールします。
Microsoft Entraハイブリッド参加済みセッションホスト
Citrix Machines Creation Services、Citrix Provisioning、またはWindows 365を使用してMicrosoft Entraハイブリッド参加済みセッションホストを展開している場合は、次のセクションに進むことができます。その他のツールまたは方法を使用してMicrosoft Entraハイブリッド参加済みホストをプロビジョニングしている場合は、次のレジストリ値をセッションホストに追加する必要があります。
- キー:
HKLM\SYSTEM\CurrentControlSet\Control\Citrix - 値の型: DWORD
- 値の名前:
AzureADJoinType - データ:
1
セッションロックの動作
仮想デスクトップがロックされると、デフォルトの動作としてWindowsのロック画面が表示されます。この時点では、デスクトップのロック解除にサポートされている認証方法は、ユーザー名とパスワード、またはスマートカードです。
注
Citrix Webサインイン（プレビュー）を使用すると、WebベースのEntra認証を使用してデスクトップのロックを解除できます。詳細については、「Webサインイン」を参照してください。
ユーザーがパスワードを知らないパスワードレス展開を使用している場合、ロック画面を表示する代わりに、セッションロックの動作をセッションの切断に構成することをお勧めします。
-
マルチセッションセッションホスト
この動作は、Intuneまたはグループポリシーを通じて、Microsoft IDプラットフォーム認証のロック時にリモートセッションを切断する設定を有効にすることで構成できます。詳細な手順については、「Azure Virtual Desktopのセッションロック動作を構成する」を参照してください。
-
シングルセッションセッションホスト
VDAバージョン2603以降を使用している場合、この動作は、Intuneまたはグループポリシーを通じて、Microsoft IDプラットフォーム認証のロック時にリモートセッションを切断する設定を有効にすることで構成できます。詳細な手順については、「Azure Virtual Desktopのセッションロック動作を構成する」を参照してください。
VDAバージョン2511以前を使用している場合、Microsoft IDプラットフォーム認証のロック時にリモートセッションを切断する設定はサポートされていません。ただし、Windowsのタスクスケジューラタスクを作成することで、同じ動作を実現できます。
次のスクリプト例は、デスクトップがロックされたときに
cmd.exe /c tsdisconを実行するタスクスケジューラタスクをシングルセッションホスト上に作成します。# Create the TaskService COM object $service = New-Object -ComObject "Schedule.Service" $service.Connect() # Get the root folder and create a new task definition $rootFolder = $service.GetFolder("\") $taskDef = $service.NewTask(0) # Registration info $taskDef.RegistrationInfo.Description = "Disconnect session when workstation is locked" # Principal (Users group, least privilege) $principal = $taskDef.Principal $principal.GroupId = "S-1-5-32-545" $principal.RunLevel = 0 # 0 = LeastPrivilege # Settings $settings = $taskDef.Settings $settings.Enabled = $true $settings.AllowDemandStart = $true $settings.DisallowStartIfOnBatteries = $false $settings.StopIfGoingOnBatteries = $false $settings.AllowHardTerminate = $false $settings.StartWhenAvailable = $false $settings.RunOnlyIfNetworkAvailable = $false $settings.IdleSettings.StopOnIdleEnd = $true $settings.IdleSettings.RestartOnIdle = $false $settings.Hidden = $false $settings.RunOnlyIfIdle = $false $settings.DisallowStartOnRemoteAppSession = $false $settings.UseUnifiedSchedulingEngine = $true $settings.WakeToRun = $false $settings.ExecutionTimeLimit = "PT0S" # Unlimited $settings.Priority = 7 $settings.MultipleInstances = 1 # IgnoreNew # Trigger: SessionLock $trigger = $taskDef.Triggers.Create(11) # 11 = TASK_TRIGGER_SESSION_STATE_CHANGE $trigger.StateChange = 7 # 7 = SessionLock $trigger.Enabled = $true # Action: tsdiscon $action = $taskDef.Actions.Create(0) # 0 = Exec $action.Path = "cmd.exe" $action.Arguments = "/c tsdiscon" # Register the task $rootFolder.RegisterTaskDefinition( "Disconnect on Lock", # Task name $taskDef, 6, # TASK_CREATE_OR_UPDATE $null, $null, # No specific user/password 3 # TASK_LOGON_GROUP ) | Out-Null <!--NeedCopy-->後でタスクスケジューラタスクを削除する必要がある場合は、次のコマンドを実行できます。
Unregister-ScheduledTask -TaskName "Disconnect on Lock" -Confirm:$false <!--NeedCopy-->
Citrixアクセスおよびコントロールプレーン
Workspace認証
Citrix® StoreFront Cloud を、IdP として Microsoft Entra ID または SAML を使用するように構成する必要があります。詳細については、Citrix® StoreFront Cloud のドキュメント を参照してください。
注
SAML を IdP として使用する予定がある場合は、SAML プロバイダーが Entra ベースの認証をサポートするように適切に構成されていることを確認する必要があります。Microsoft Entra ID と Microsoft Entra ID を使用した SAML 認証 を参照してください。
Workspace アクセスの管理
ユーザーが Web ブラウザー経由でストアにアクセスする場合、追加の構成は不要です。ネイティブアクセスを強制する場合は、ストアのアクセス構成 で Citrix® StoreFront Cloud を Require end users to access their store from the Citrix client app に構成できます。
Workspace での Microsoft Entra シングルサインオンの有効化
認証を構成した後、Microsoft Entra シングルサインオンの使用を有効にする必要があります。
- Citrix Cloud でサービスプリンシパルを作成します。
- [ID およびアクセス管理] > [API アクセス] > [サービスプリンシパル] に移動します。
- [サービスプリンシパルの作成] をクリックします。
- サービスプリンシパルの名前を入力し、[次へ] をクリックします。
- サービスプリンシパルのアクセスを設定します。
- [フルアクセス] を選択するか、
- [カスタムアクセス] > [一般] > [Citrix® StoreFront Cloud] を選択し、[次へ] をクリックします。
- シークレットの有効期限を設定し、[次へ] をクリックします。
- 「完了」をクリックします。
- シークレットとIDの両方を保存します。
- ダウンロードし、Citrix® StoreFront Cloud PowerShellモジュールをワークステーション、または管理目的で使用できる任意のコンピューターに抽出します。
- Citrix® StoreFront Cloud PowerShellモジュールをダウンロードしたマシンでPowerShellを開きます。
-
次のコマンドを実行します。
Import-Module -Name “<extractedPath>\Citrix.Workspace.StoreConfigs.psm1” Set-StoreConfigurations -StoreUrl "https://<yourPrimaryStore>.cloud.com" -ClientId "<clientId>" -ClientSecret "<clientSecret>" -AzureAdSsoEnabled $True <!--NeedCopy-->「注：」:
これは、Citrix Cloudテナント内のすべてのストアに適用されるグローバル設定です。現時点では、コマンドで指定されたストアURLに基づいて、特定のストアでこの設定を有効または無効にすることはできません。
-
設定が正しく構成されたことを確認するには、次のコマンドを実行します。
Get-StoreConfigurations -StoreUrl "https://<yourPrimaryStore>.cloud.com" -ClientId "<clientId>" -ClientSecret "<clientSecret>" <!--NeedCopy-->
デリバリーグループの構成
- セッションホストがMicrosoft Entraハイブリッド参加済みである場合は、仮想アプリやデスクトップを適切なMicrosoft Entraユーザーまたはグループに割り当てます。既存のActive Directoryユーザーまたはグループへの割り当ては削除できますが、必須ではありません。
- Citrix Machine Creation Services、Citrix Provisioning、またはWindows 365以外の方法でMicrosoft Entra参加済みセッションホストをプロビジョニングしている場合は、デリバリーグループのログオンタイプを構成する必要があります。Microsoft Entraハイブリッド参加済みセッションホストを使用している場合は、プロビジョニング方法に関係なく、デリバリーグループのログオンタイプを構成する必要があります。
- Citrix Remote PowerShell SDKがまだインストールされていない場合は、ダウンロードして、ワークステーション、または管理目的で使用できる任意のコンピューターにインストールします。
- Citrix Remote PowerShell SDKをインストールしたマシンでPowerShellプロンプトを開きます。
-
次のコマンドを実行します。
「Microsoft Entra参加済み」
asnp citrix* Get-XDAuthentication Get-BrokerDesktopGroup -Name <dgName> | Set-BrokerDesktopGroup -MachineLogOnType "AzureAd" <!--NeedCopy-->Microsoft Entra ハイブリッド参加済み
asnp citrix* Get-XDAuthentication Get-BrokerDesktopGroup -Name <dgName> | Set-BrokerDesktopGroup -MachineLogOnType "HybridAzureAd" <!--NeedCopy-->
VDA での Microsoft Entra シングルサインオンの構成
既定では、VDA で Microsoft Entra シングルサインオンが有効になっています。セッションホストのサブセットに対してこの機能を有効または無効にするには、Microsoft Entra シングルサインオンポリシー設定を使用します。
クライアントデバイス
クライアントデバイスのシステム要件が満たされていることを確認してください。
- システム要件に記載されている必要なCitrix Workspaceアプリのバージョンをインストールします。
- ユーザーがハイブリッドアクセスを利用する場合は、Citrix Web Extensionがインストールされていることを確認してください。ユーザーがネイティブアクセスまたはブラウザアクセスを使用する場合は、Citrix Web Extensionは不要です。
トラブルシューティング
既知の問題
- Microsoft Entra シングルサインオンを有効にした後、ユーザーが仮想デスクトップを起動する際に、Microsoft エラー AADSTS293005 が発生し、
RDP protocol is not enabled for the requested resource application. Please configure the RemoteDesktopSecurityConfiguration property on resource service principal to enable RDP protocol.と表示されることがあります。この問題を解決するには、Citrix Workspace アプリを再起動してください。 - Citrix Workspace アプリが Microsoft Entra シングルサインオンをサポートしていない場合、または Citrix Web Extension なしでハイブリッドアクセスを使用している場合、セッションの起動時に30秒の遅延が発生することがあります。
- Citrix® StoreFront Cloud で Microsoft Entra シングルサインオンが有効になっており、必要な Azure 構成が完了していない場合、セッションの起動時に30秒の遅延が発生することがあります。
- 自動クライアント再接続認証設定が有効になっている場合、シングルサインオンは失敗します。回避策として、関連するセッションホストでこの設定を無効にしてください。
- Entra ID で [サインインしたままにする (KMSI)] が無効になっている場合、Linux および macOS クライアントデバイスではシングルサインオンが失敗します。
シングルサインオンが失敗する場合
仮想デスクトップまたはアプリケーションへのアクセス時にシングルサインオンが失敗した場合は、次のように進めます。
-
Microsoft EntraシングルサインオンがCitrix® StoreFront Cloudで有効になっていることを確認します。
-
ユーザーが利用しているアクセス方法がサポートされていることを確認します。
-
ユーザーがハイブリッドアクセスを利用している場合は、Citrix Web Extensionがインストールされていることを確認します。
-
クライアントデバイスが必要なCitrix Workspaceアプリのバージョンを実行していることを確認します。
-
セッションホストが必要なWindowsビルドを実行していることを確認します。
-
セッションホストが必要なVDAバージョンを実行していることを確認します。
-
セッションホストでWindows設定
Always prompt for password upon connectionが有効になっていないことを確認します。この設定はデフォルトで無効になっており、グループポリシーまたはIntuneの
Computer Configuration\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Securityで構成できます。レジストリで、
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Servicesの下にある値fPromptForPasswordを探すことで、設定が有効になっているか確認できます。値が1に設定されている場合、設定は有効であり、シングルサインオンは利用できません。値がないか、0に設定されている場合、設定は無効です。 -
セッションホストでWindows設定
Allow Custom SSPs and APs to be loaded into LSASSが有効になっていることを確認します。この設定はデフォルトで有効になっており、グループポリシーまたはIntuneのComputer Configuration\System\Local Security Authorityで構成できます。 - セッションホストで
AzureADJoinType設定が正しく構成されていることを確認します。- キー:
HKLM\SYSTEM\CurrentControlSet\Control\Citrix - 値の型: DWORD
- 値の名前:
AzureADJoinType - 値データ:
1(Microsoft Entra ハイブリッド参加済み);2(Microsoft Entra 参加済み)
- キー:
-
Citrix Studio で、仮想デスクトップまたはアプリケーションがActive Directory IDではなくMicrosoft Entra IDに割り当てられていることを確認してください。
-
次のPowerShellコマンドを実行して、デリバリーグループのログオンの種類が正しく構成されていることを確認してください。
Get-BrokerDesktopGroup -Name <deliveryGroupName> <!--NeedCopy-->Microsoft Entra 参加済みセッションホストの場合、
MachineLogOnTypeはAzureAdに設定する必要があります。 Microsoft Entra ハイブリッド参加済みセッションホストの場合、MachineLogOnTypeはHybridAzureAdに設定する必要があります。 -
SAML IdPを使用している場合は、必要な構成 が実装されていることを確認してください。
-
CitrixリソースおよびクライアントアプリケーションがMicrosoft Entraテナントに登録 されていることを確認してください。
-
Citrixリソースアプリケーションで、Microsoft Entra ID RDS認証プロトコルが有効 になっていることを確認してください。
-
Citrixリソースアプリケーションに、Citrixクライアントアプリケーションが承認済み クライアントアプリケーションとして追加されていることを確認してください。
-
セッションホストがMicrosoft Entraハイブリッド参加済みの場合、ユーザーアカウントとコンピューターアカウントが存在するActive DirectoryドメインにKerberosサーバーオブジェクトが作成 されていることを確認してください。
- Microsoft Entra条件付きアクセス ポリシーを確認してください。Citrixクライアントアプリケーションにポリシーが適用されていないこと、およびCitrixリソースアプリケーションまたはセッションホストに適用されるポリシーが、シングルサインオンエクスペリエンスに影響を与えないように適切に構成されていることを確認してください。