Citrix Cloudを介したAzure Active Directoryでの認証
Citrix Endpoint Managementでは、Citrix Cloudを介したAzure Active Directory（Azure AD）の資格情報による認証をサポートしています。この認証方法は、Citrix WorkspaceアプリまたはCitrix Secure Hubを介してMDMに登録するユーザーのみが利用できます。Citrix Endpoint ManagementでWorkspaceが有効になっている場合、ユーザーはCitrix Workspaceアプリからリソースにアクセスします。Citrix WorkspaceとCitrix Endpoint Managementの統合を有効にしない場合、ユーザーはCitrix Secure Hubからリソースにアクセスします。
Citrix Secure HubをMDM+MAMで使用するには、Citrix Endpoint ManagementでMAM登録にCitrix Gatewayを使用するよう構成します。詳しくは、「Citrix GatewayとCitrix Endpoint Management」を参照してください。
Citrix Endpoint Managementは、Citrix CloudサービスであるCitrix IDを使用して、Azure Active Directoryへのフェデレーションを行います。Azure Active Directoryに直接接続するのではなく、Citrix IDプロバイダーを使用することをお勧めします。
Citrix Endpoint Managementは、次のプラットフォームでAzure ADによる認証をサポートしています：
- Apple Business ManagerまたはApple School Managerに登録されていないiOSおよびmacOSデバイス
- Apple Business Managerに登録されているiOSおよびmacOSデバイス
- Android Enterpriseデバイス（プレビュー）、BYOD（Bring Your Own Device）および完全管理モード用
Citrix Cloudを介したAzure ADによる認証には、次の制限があります：
- Citrix Endpoint Managementローカルアカウントでは使用できません。
- 登録招待状のAzure ADによる認証をサポートしていません。登録URLを含む登録招待状をユーザーに送信する場合は、ユーザーはAzure ADの代わりにLDAPを使用して認証します。
前提条件
- Azure Active Directoryユーザーの資格情報
- Active Directoryのユーザーグループは、Azure Active Directoryのユーザーグループと一致する必要があります。
- Active Directoryのユーザー名とメールアドレスは、Azure Active Directoryのものと一致する必要があります。
- ディレクトリサービスの同期のためにCitrix Cloud ConnectorがインストールされたCitrix Cloudアカウント
- Citrix Gateway。完全なシングルサインオンエクスペリエンスを実現するには、証明書ベースの認証かAzure ADのいずれかを有効にすることをCitrixではお勧めします。モバイルアプリケーション管理（MAM：Mobile Application Management）登録のために、Citrix GatewayでLDAP認証を使用する場合、登録中にエンドユーザーには二重認証プロンプトが表示されます。詳しくは、「クライアント証明書、または証明書とドメイン認証の組み合わせ」を参照してください。
- Citrix Endpoint ManagementでWorkspaceが有効になっていない場合はCitrix Secure Hub。
- Citrix Endpoint ManagementでWorkspaceが有効になっている場合はCitrix Workspaceアプリ。Citrix Workspace統合を有効にする方法について詳しくは、「ワークスペースの構成」を参照してください。
- Android Enterpriseの登録プロファイルで、［ユーザーにデバイス管理の許否を許可］ を ［オフ］ にする必要があります。ユーザーがデバイス管理を拒否した場合、登録の際にIDプロバイダーを使用して認証することができなくなります。詳しくは、「登録セキュリティ」を参照してください。
この機能は、Workspaceを有効にしているかどうかに関係なく構成できます。
Citrix Endpoint ManagementでWorkspaceが有効になっている場合の構成
Citrix Endpoint ManagementをCitrix Workspaceと統合する場合、Citrix Cloudを介してAzure ADで認証を構成する一般的な手順は次のとおりです：
- Azure ADをIDプロバイダーとして使用するようにCitrix Cloudを構成する。
- Citrix Workspaceの認証方法としてAzure ADを構成する。
Citrix Endpoint ManagementでWorkspaceが有効になっていない場合の構成
Citrix WorkspaceがCitrix Endpoint Managementで有効になっていない場合、Citrix Cloudを介してAzure ADで認証を構成する一般的な手順は次のとおりです：
- Azure ADをIDプロバイダーとして使用するようにCitrix Cloudを構成する。
- Citrix IDをCitrix Endpoint ManagementのIDPタイプとして構成する。
この構成後、ドメインに参加しているCitrix Secure Hubユーザーは、Citrix Secure Hubを使用してAzure AD資格情報でサインオンできます。Citrix Secure Hubでは、MAMデバイスのクライアント証明書認証を使用します。
Azure Active DirectoryをIDプロバイダーとして使用するようにCitrix Cloudを構成する
Citrix WorkspaceアプリとCitrix Secure Hubで使用するためにこのサービスをセットアップするには、Citrix CloudでAzure Active Directoryを構成します。
-
https://citrix.cloud.comでCitrix Cloudアカウントにサインインします。
-
Citrix Cloudメニューから ［IDおよびアクセス管理］ ページに移動し、Azure Active Directoryに接続します。
-
管理者のサインインURLを入力し、［接続］ をクリックします。
-
サインインすると、Azure Active DirectoryアカウントがCitrix Cloudに接続されます。［IDおよびアクセス管理］>［認証］ ページに、Citrix CloudアカウントとAzure ADアカウントへのサインインに使用するアカウントが表示されます。
-
Citrix WorkspaceアプリよびCitrix Secure Hubを介して登録するユーザーのAzure ADによる認証を有効にするには、［ワークスペース構成］>［認証］ で、［Azure Active Directory］ を選択します。構成が完了したら、Citrix WorkspaceアプリおよびCitrix Secure Hubからユーザーデバイスを登録できます。
Citrix IDをCitrix Endpoint ManagementのIDPタイプとして構成する
この構成は、Citrix Secure Hubを介して登録するユーザーにのみ適用されます。Citrix CloudでAzure Active Directoryを構成したら、次のようにCitrix Endpoint Managementを構成します。
-
Citrix Endpoint Managementコンソールで ［設定］>［IDプロバイダー（IDP）］ に移動し、［追加］ をクリックします。
-
［IDプロバイダー（IDP）］ ページで、次の項目を構成します：
- IDP名： 作成するIDP接続を識別できる一意の名前を入力します。
- IDPの種類： ［Citrix IDプラットフォーム］ を選択します。
- 認証ドメイン： ［Azure Active Directory］ を選択します。このドメインは、Citrix Cloudの ［ワークスペース構成］>［認証］ ページのIDプロバイダードメインに対応しています。
-
［次へ］ をクリックします。［IDPクレームの使用状況］ ページで、次の項目を構成します：
- ユーザー識別子の種類： このフィールドは、デフォルトでは ［userPrincipalName］ に設定されています。オンプレミスのActive DirectoryとAzure Active Directoryの両方で、すべてのユーザーが同じ識別子で構成されていることを確認してください。Citrix Endpoint Managementは、この識別子を使用して、IDプロバイダーのユーザーをオンプレミスのActive Directoryユーザーにマップします。
- ユーザー識別子の文字列： このフィールドは自動入力されます。
-
［次へ］ を選択して ［概要］ ページを確認し、［保存］ をクリックします。
これで、Citrix Secure Hubユーザー、Citrix Endpoint Managementコンソール、Self Help PortalユーザーがAzure Active Directoryの資格情報を使用してサインインできるようになります。
Citrix Secure Hubの認証フロー
Citrix Endpoint Managementは次のフローにより、Citrix Secure Hubを介して登録されたデバイス上のIDプロバイダーとしてAzure ADを使用してユーザーを認証します：
- Citrix Secure Hubを起動します。
- Citrix Secure Hubが認証要求をCitrix IDに渡し、Citrix IDがこの要求をAzure Active Directoryに渡します。
- ユーザーは、Azure Active Directoryのユーザー名とパスワードを入力します。
- Azure Active Directoryがユーザーを検証し、Citrix IDにコードを送信します。
- Citrix IDがコードをCitrix Secure Hubに送信し、Citrix Secure HubがコードをCitrix Endpoint Managementサーバーに送信します。
- Citrix Endpoint Managementがコードとシークレットを使用してIDトークンを取得し、IDトークンに含まれるユーザー情報を検証します。Citrix Endpoint ManagementはセッションIDを返送します。