製品ドキュメント
Citrix Virtual Apps and Desktops
Current Release Service 2607 LTSR 2511 2507 LTSR 2503 2411 2407 2402 LTSR 2311 2203 LTSR
PDFを表示

Microsoft Entra シングルサインオン (プレビュー)

August 29, 2026
寄稿者: 
C

Microsoft Entra ハイブリッド参加セッションホストで仮想アプリケーションおよびデスクトップにアクセスするために Microsoft Entra ID 資格情報を使用する場合、シングルサインオン (SSO) を活用できます。

DaaS については、Microsoft Entra シングルサインオンを参照してください。

重要:

Citrix Virtual Apps and Desktops 向けの Microsoft Entra シングルサインオンは現在プレビュー段階です。この機能はサポートなしで提供されており、本番環境での使用はまだ推奨されません。

サポートされるインフラストラクチャ

以下は、Microsoft Entra シングルサインオンでサポートされるインフラストラクチャコンポーネントの概要です。

マシンID シトリックス DaaS CVAD オンプレミス シトリックス ワークスペース シトリックス ストアフロント シトリックス ゲートウェイ サービス ネットスケーラー ゲートウェイ
Microsoft Entra 参加済み はい いいえ はい いいえ はい はい
Microsoft Entra ハイブリッド参加済み はい はい はい はい はい はい

注:

StoreFront では、Microsoft Entra シングルサインオンはモダンUIエクスペリエンスでのみサポートされており、クラシックUIエクスペリエンスではサポートされていません。

サポートされているアクセス方法

Citrix環境で利用可能なアクセス方法は次のとおりです。

  • ネイティブアクセス: ネイティブのCitrix Workspaceアプリクライアントを使用してCitrix Storefrontにアクセスし、セッション接続を確立します。
  • ブラウザアクセス: ブラウザを介してCitrix Storefrontにアクセスし、Citrix Workspaceアプリ for HTML5クライアントを使用して仮想アプリまたはデスクトップセッションに接続します。
  • ハイブリッドアクセス: ブラウザを介してCitrix Storefrontにアクセスし、ネイティブのWorkspaceアプリクライアントを使用して仮想アプリまたはデスクトップセッションに接続します。

Microsoft Entraシングルサインオンでサポートされているアクセス方法の概要は次のとおりです。

アクセス方法 Windows Linux Mac クロームOS アンドロイド iOS
ネイティブ はい はい はい はい はい はい
ブラウザ はい はい はい はい はい はい
ハイブリッド はい はい はい いいえ いいえ いいえ

注：

シングルサインオンがブラウザおよびハイブリッドアクセスで機能するには、ポップアップを許可する必要があります。

システム要件

Microsoft Entraシングルサインオンを使用するためのシステム要件は次のとおりです。

注:

Citrix Web Extension は、ユーザーが Windows、Linux、または Mac デバイスでハイブリッドアクセスを利用する場合にのみ必要です。ユーザーがネイティブアクセスまたはブラウザアクセスを利用する場合は、Citrix Web Extension は必要ありません。

考慮事項

  • ユーザーがハイブリッドアクセスを利用する場合は、Microsoft Edge または Google Chrome のいずれかを使用し、Citrix Web Extension をインストールする必要があります。ハイブリッドアクセスでの Microsoft Entra シングルサインオンは、他のブラウザではサポートされていません。
  • Microsoft Entra シングルサインオンを使用してセッションにログオンする場合、自動クライアント再接続はサポートされません。このログオン方法を使用すると、この機能は自動的に無効になります。ネットワーク障害が発生した場合の自動再接続には、セッションの信頼性が引き続き利用できます。
  • 仮想デスクトップがロックされている場合、デフォルトの動作はWindowsロック画面を表示することです。認証要件によっては、セッションロックの動作を変更する必要がある場合があります。詳細については、セッションロックの動作を参照してください。
  • Microsoft Entra ハイブリッド参加済みセッションホストでは、ドメイン管理者などの特権グループのメンバーに対しては、デフォルトではシングルサインオンは機能しません。これを有効にするには、Microsoft Entra Kerberosアクセス用の読み取り専用ドメインコントローラー (RODC) の許可リストにグループまたはユーザーを追加します。詳細については、Microsoft Entra Kerberos TGTとActive Directoryアクセス制御を参照してください。
  • Microsoft Entra シングルサインオンでは、Windows設定のカスタムSSPとAPのLSASSへの読み込みを許可するが有効になっている必要があります (デフォルト)。Microsoft Intuneを介してWindows 10以降のセキュリティベースラインテンプレートを展開すると、この設定は自動的に無効になり、SSOがブロックされるため、Intuneデバイス構成ポリシーを更新して有効な状態を維持する必要があります。

Microsoft Entra シングルサインオンの構成方法

概要

Microsoft Entra シングルサインオンの構成は、次のステップで構成されます。

  1. AzureおよびMicrosoft Entra IDの構成。
    1. Citrixリソースおよびクライアントアプリケーションを登録する。
    2. CitrixリソースアプリケーションのMicrosoft Entra IDリモートデスクトップサービス認証プロトコルを有効にする。
    3. ユーザー同意プロンプトを非表示にする。
    4. クライアントアプリケーションを承認する。
    5. Kerberosサーバーオブジェクトを作成する (Microsoft Entra ハイブリッド参加環境のみ)。
    6. Microsoft Entra条件付きアクセス ポリシーを確認する。
  2. Citrixの構成。
    1. 必要なOSバージョン、IDタイプ、VDAバージョンでセッションホストをプロビジョニングします。
    2. StoreFrontを構成します。
    3. サイトでMicrosoft Entraシングルサインオンを有効にします。
    4. デリバリーグループでMicrosoft Entraシングルサインオンを有効にします。

AzureおよびMicrosoft Entra IDの構成

Microsoft Entraシングルサインオンを活用するには、まずMicrosoft Entra IDテナントでWindows用のMicrosoft Entra認証を許可する必要があります。これにより、Microsoft Entra参加済みおよびMicrosoft Entraハイブリッド参加済みのセッションホストにユーザーがサインインするために必要な認証トークンが発行されます。

Azure構成を行う担当者には、最低でも以下のいずれかのMicrosoft Entra組み込みロールまたは同等のロールが割り当てられている必要があります。

構成は、Azure Portal、Microsoft Graph PowerShell SDK、またはMicrosoft Graph APIを使用して完了できます。以下のセクションでは、Azure Portalを介して構成を完了するための詳細を説明します。Microsoft Graph PowerShell SDKまたはMicrosoft Graph APIの使用を希望する場合は、Microsoft EntraシングルサインオンAzure構成を参照してください。

Citrixアプリケーションを登録する

AzureテナントにマルチテナントのCitrixリソースアプリケーションを登録し、シングルテナントのクライアントアプリケーションを作成する必要があります。

まず、Citrixリソースアプリケーションを登録する必要があります。そのためには、以下のいずれかの同意URLを使用します。

  • 米国、EU、APS: https://login.microsoftonline.com/common/adminconsent?client_id=3a510bb1-e334-4298-831e-3eac97f8b26c
  • 日本: https://login.microsoftonline.com/common/adminconsent?client_id=0027603f-364b-40f2-98be-8ca4bb79bf8b

リソースアプリケーションが登録されたら、シングルテナントのクライアントアプリケーションを作成する必要があります。

シングルテナントのクライアントアプリケーションを作成する
  1. Azure Portalに移動します。
  2. Microsoft Entra ID > エンタープライズアプリケーションに移動します。
  3. 新しいアプリケーションを選択します。
  4. 独自のアプリケーションを作成するを選択します。
  5. アプリケーションの名前を入力し、Microsoft Entra IDと統合するアプリケーションを登録するを選択し、作成をクリックします。
  6. サポートされているアカウントの種類で、シングルテナントのみを選択し、登録をクリックします。
  7. Microsoft Entra ID > アプリの登録に移動し、すべてのアプリケーションを選択します。
  8. 作成したアプリケーションを検索してクリックします。
  9. リダイレクトURIの追加をクリックします。
  10. 3つのリダイレクトURIを追加する必要があります: Web、シングルページアプリケーション、およびモバイルおよびデスクトップアプリケーション。
    1. 各URIについて、リダイレクトURIの追加を選択します。

    2. リダイレクトURIを入力します。追加する内容の詳細については、以下の表を参照してください。

      プラットフォームの種類 リダイレクト URI 注記
      Web NetScaler ログイン URI (https://<URL>/oauth/login) NetScaler 認証 URL を入力します。例: https://nsg.mycitrix.com/oauth/login。
      モバイルおよびデスクトップアプリケーション ctxaadsso://citrix.aad.redirect この URI をそのまま正確に入力します。
      SPA アプリ (シングルページアプリケーション) NetScaler Gateway URL の後に StoreFront Store Web パスが続きます NetScaler Gateway URL + StoreFront Store のパスを入力します。たとえば、Store へのアクセスに使用する URL が https://access.mycitrix.com/Citrix/MyStoreWeb で、NetScaler Gateway URL が https://nsg.mycitrix.com の場合、SPA リダイレクト URI は https://nsg.mycitrix.com/Citrix/MyStoreWeb である必要があります。環境内に複数の Store がある場合は、すべての Store に対して SPA リダイレクト URI エントリを追加する必要があります。
    3. [構成] を選択します。
  11. すべてのリダイレクト URI が追加されたら、クライアントアプリケーションに API 権限を追加する必要があります。
    1. 左側のペインの [管理] の下にある [API のアクセス許可] を選択します。
    2. [アクセス許可の追加] を選択します。
    3. 「組織が使用するAPI」を選択します。
    4. Citrix Resourceアプリケーション（Citrix-Workspace-Resource）を選択します。
    5. 権限のリストで、user_impersonationをチェックします。
    6. 「アクセス許可の追加」を選択します。
  12. 左側のペインで「概要」を選択し、割り当てられたアプリケーションIDをメモします。
クライアントアプリケーションを登録する

アプリケーションが作成および構成されたら、アプリケーションのアクセス許可に同意する必要があります。

Azure portal内でアプリケーションのアクセス許可に同意できます。

  1. Microsoft Entra ID > エンタープライズアプリケーションに移動します。
  2. クライアントアプリケーションを検索して選択します。
  3. 左側のペインの「セキュリティ」の下にある「アクセス許可」を選択します。
  4. 「<tenantName>の管理者の同意を付与」をクリックします。
  5. アクセス許可に同意します。

または、管理者同意URLを使用することもできます: https://login.microsoftonline.com/<EntraTenantID>/adminconsent?client_id=<clientAppID>

注:

<EntraTenantID> を Entra テナントの ID に、<clientAppID> をクライアントアプリケーションのアプリケーション ID に置き換える必要があります。

Citrix リソースアプリケーションのアクセス許可

以下は、アプリケーションのアクセス許可です。

API名 クレーム値 アクセス許可 種類
マイクロソフト グラフ User.Read サインインしてユーザープロファイルを読み取る 委任

米国、EU、およびAPSの場合、アプリケーションは Citrix-Workspace-Resource (アプリケーションID 3a510bb1-e334-4298-831e-3eac97f8b26c) と呼ばれます。

日本の場合、アプリケーションは Citrix-Workspace-Resource-JP (アプリケーションID 0027603f-364b-40f2-98be-8ca4bb79bf8b) と呼ばれます。

Citrix クライアントアプリケーションのアクセス許可

以下は、アプリケーションのアクセス許可です。

API名 要求値 アクセス許可 種類
シトリックス ワークスペース リソース
シトリックス ワークスペース リソース-JP		 user_impersonation
シトリックス Entra ID SSO
委任
マイクロソフト グラフ User.Read サインインしてユーザープロファイルを読み取る 委任済み

Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にする

Citrix Resource アプリケーションで Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にする必要があります。そのためには、次の手順を実行します。

  1. Azure Portal で、Microsoft Entra ID > Devices > Manage > Remote connection configuration に移動します。

    Entra アプリ構成 1

  2. Citrix-Workspace-Resource を選択します。

  3. Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にします。

    Entra アプリ構成 2

  4. ユーザー同意プロンプトを非表示にするに進みます。

ユーザー同意プロンプトダイアログを非表示にする

デフォルトでは、Microsoft Entra シングルサインオンが有効な Microsoft Entra 参加済みまたは Microsoft Entra ハイブリッド参加済みのセッションホストに接続する際、ユーザーはリモートデスクトップ接続を許可するよう求められ、シングルサインオンを許可するためにはいを選択する必要があります。Microsoft Entra は、再度プロンプトを表示するまで、最大15個の一意のセッションホストを30日間記憶します。

ターゲットデバイスのリストを構成することで、このダイアログを非表示にできます。デバイスのリストを構成するには、Microsoft Entra ID で Microsoft Entra 参加済みおよび/または Microsoft Entra ハイブリッド参加済みのセッションホストを含む1つ以上のグループを作成し、その後、リソースアプリケーションでそのグループを承認する必要があります（最大10グループまで）。

Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にし、グループが作成されたら、次の手順を実行します。

  1. ターゲットデバイスグループを追加するためのリンクをクリックし、適切なグループを選択します。

    Entra アプリ構成 3

注

グループのメンバーシップ管理を簡素化するために、動的グループを作成することを強くお勧めします。動的グループは通常5～10分以内に更新されますが、大規模なテナントでは最大24時間かかる場合があります。

動的グループには、Microsoft Entra ID P1ライセンスまたはIntune for Educationライセンスが必要です。詳細については、グループの動的メンバーシップルールを参照してください。

  1. クライアントアプリケーションの承認に進みます。

クライアントアプリケーションを承認する

Citrix Resourceアプリケーションで、Citrix Clientアプリケーションを承認済みクライアントとして明示的に追加する必要があります。

  1. リンクをクリックして、信頼できるクライアントアプリケーションを追加します。

    Entra アプリ構成 4

  2. Citrix Clientアプリケーションを選択します。

    Entra アプリ構成 5

  3. 保存を選択して、Citrix Resourceアプリケーションに構成の変更を適用します。

    Entra アプリ構成 6

  4. Kerberosサーバーオブジェクトの作成に進みます。

Kerberosサーバーオブジェクトを作成する

セッションホストがMicrosoft Entraハイブリッド参加している場合、ユーザーアカウントとコンピューターアカウントが存在するActive DirectoryドメインにKerberosサーバーオブジェクトを構成する必要があります。詳細については、Kerberosサーバーオブジェクトを作成するを参照してください。

Microsoft Entra 条件付きアクセス ポリシーの確認

Microsoft Entra 条件付きアクセス ポリシーを使用している、または使用する予定がある場合は、ユーザーが意図したサインインエクスペリエンスを得られるように、Citrix リソースアプリケーション に適用されている構成を確認してください。

DaaS 用の Microsoft Entra シングルサインオンを使用する際の条件付きアクセスの構成に関する詳細なガイダンスについては、Microsoft ドキュメント を参照してください。必要な条件付きアクセス設定は、Microsoft アプリケーションではなく、Citrix Resource application に適用する必要があることに注意してください。

Citrix の構成

Citrix セッションホスト

セッションホストのシステム要件が満たされていることを確認してください。

  1. セッションホストが Microsoft Entra ハイブリッド参加済みであることを確認します。
  2. システム要件で指定されている必要なオペレーティングシステムのバージョンとビルドをインストールします。
  3. システム要件で指定されている必要なVDAバージョンをインストールします。
Microsoft Entra ハイブリッド参加済みセッションホスト

Citrix Machines Creation Services、Citrix Provisioning、または Windows 365 を使用して Microsoft Entra ハイブリッド参加済みセッションホストを展開する場合は、次のセクションに進んでください。他のツールまたは方法を使用して Microsoft Entra ハイブリッド参加済みホストをプロビジョニングする場合は、セッションホストに次のレジストリ値を追加する必要があります。

  • キー: HKLM\SYSTEM\CurrentControlSet\Control\Citrix
  • 値の型: DWORD
  • 値の名前: AzureADJoinType
  • データ: 1
セッションロックの動作

仮想デスクトップがロックされている場合、デフォルトの動作はWindowsロック画面を表示することです。この時点でのデスクトップのロック解除にサポートされている認証方法は、ユーザー名とパスワードまたはスマートカードです。

ユーザーがパスワードを知らないパスワードレス展開の場合、ロック画面を表示する代わりにセッションを切断するようにセッションロックの動作を構成することをお勧めします。

この動作は、Intuneまたはグループポリシーを通じて「Microsoft IDプラットフォーム認証のロック時にリモートセッションを切断する」設定を有効にすることで構成できます。詳細な手順については、「Azure Virtual Desktopのセッションロック動作を構成する」を参照してください。

Citrixアクセスおよびコントロールプレーン

StoreFrontの構成

StoreFrontでMicrosoft Entraシングルサインオンを有効にするには、StoreFrontドキュメントの「Entra IDシングルサインオン」を参照してください。

Web StudioでMicrosoft Entraシングルサインオンを有効にする

サイトでMicrosoft Entraシングルサインオンを有効にするには、クライアントおよびリソースアプリケーションの詳細とリダイレクトURIを追加する必要があります。詳細については、「設定」ドキュメントを参照してください。

デリバリーグループのMicrosoft Entraシングルサインオンを有効にする
Web Studioの使用
  1. Web Studioでデリバリーグループに移動し、デリバリーグループの作成をクリックします。
  2. ユーザーページで、IDの種類としてMicrosoft Entraハイブリッド参加済みを選択します。
  3. 次のページで構成を完了します。参照については、「デリバリーグループの作成」を参照してください。
PowerShellの使用
  1. 新しいデリバリーグループを作成し、VDAをデリバリーグループに追加します。ユーザー（ADアカウント）をVDAに割り当てます。

  2. デリバリーグループの MachineLogonType を HybridAzureAd に設定します。例：

    Get-BrokerDesktopGroup -Name <dgName> | Set-BrokerDesktopGroup -MachineLogOnType "HybridAzureAd"
<!--NeedCopy-->

  3. XMLサービスを信頼します。

    Add-PSSnapin Citrix.Broker.Admin.V2
Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true
<!--NeedCopy-->

  4. SSOパラメーターを設定します（ガイダンスについては以下の表を参照してください）。

    Set-BrokerSite -AzureGlobalCloudId "B16898C6-A148-4967-9171-64D755DA8520" -AzureSSOnAuthorizeUrl "<URL>" -AzureSSOnClientId "<clientAppID>" -AzureSSOnRedirectUrl "<URL>" -AzureSSOnResourceAppId "<resourceAppID>"
<!--NeedCopy-->

    次の表に、パラメーターとそのデフォルト値の詳細を示します。

    パラメーター デフォルト値 説明
    AzureGlobalCloudId B16898C6-A148-4967-9171-64D755DA8520 Entra認証に使用されるWindows WebアカウントマネージャーのデフォルトGUID。
    AzureSSOnAuthorizeUrl https://login.microsoftonline.com/common/ 初期ログインURL。これは、Entraテナントが存在するAzureクラウド（例：Azure CommercialとAzure Gov）によって決定されます。
    AzureSSOnClientId デフォルトなし クライアントアプリケーションのアプリケーションID。
    AzureSSOnRedirectUrl デフォルトなし 認証後のリダイレクトURI。クライアントアプリケーションでリダイレクトURIとして構成されているURLである必要があります。
    AzureSSOnResourceAppId

    		citrix.cloud.com/<resourceApplicationID>

    		CitrixリソースアプリケーションのアプリケーションID。
  5. 米国、EU、APS: citrix.cloud.com/3a510bb1-e334-4298-831e-3eac97f8b26c
  6. 日本: citrix.cloud.com/0027603f-364b-40f2-98be-8ca4bb79bf8b
    		7.

クライアントデバイス

クライアントデバイスのシステム要件が満たされていることを確認してください。

  1. システム要件に指定されているCitrix Workspaceアプリの必須バージョンをインストールします。
  2. ユーザーがハイブリッドアクセスを利用する場合は、Citrix Web Extensionがインストールされていることを確認してください。ユーザーがネイティブアクセスまたはブラウザアクセスを使用する場合は、Citrix Web Extensionは必要ありません。

トラブルシューティング

  • StoreFrontの問題のトラブルシューティングについては、診断ログを参照してください。
  • StoreFrontから次のエラーが表示される場合: There was a failure with the mapped account : それは、同期された/バックアップのADアカウントを持たない、純粋なEntraユーザーである可能性があります。
  • 起動時にICAファイルを取得する前にすぐにエラーが発生する場合: Xmlサービスを信頼するように設定したことを確認してください。
  • 登録中にVDAが「Initializing」で停止する場合: VDAが実際にEntraと同期されているOUに移動されていることを確認してください。

シングルサインオンが失敗する場合

仮想デスクトップまたはアプリケーションへのアクセス時にシングルサインオンが失敗した場合は、次のように進めます。

  1. StoreFrontでMicrosoft Entraシングルサインオンが有効になっていることを確認します。

  2. サイトでMicrosoft Entraシングルサインオンが有効になっていることを確認します。

  3. デリバリーグループでMicrosoft Entraシングルサインオンが有効になっていることを確認します。

  4. ユーザーが利用しているアクセス方法がサポートされていることを確認します。

  5. ユーザーがハイブリッドアクセスを利用している場合は、Citrix Web Extensionがインストールされていることを確認します。

  6. クライアントデバイスが必要なCitrix Workspaceアプリのバージョンを実行していることを確認します。

  7. セッションホストが必要なWindowsビルドを実行していることを確認します。

  8. セッションホストが必要なVDAバージョンを実行していることを確認します。

  9. セッションホストでWindows設定 Always prompt for password upon connection が有効になっていないことを確認します。この設定はデフォルトで無効になっており、Computer Configuration\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security の下にあるグループポリシーまたはIntuneを通じて構成できます。レジストリで設定が有効になっているかどうかは、HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services の下にある値 fPromptForPassword を探すことで確認できます。値が 1 に設定されている場合、設定は有効になっており、シングルサインオンは利用できません。値がないか、0 に設定されている場合、設定は無効になっています。

  10. セッションホストでWindows設定 Allow Custom SSPs and APs to be loaded into LSASS が有効になっていることを確認します。この設定はデフォルトで有効になっており、Computer Configuration\System\Local Security Authority の下にあるグループポリシーまたはIntuneを通じて構成できます。

  11. セッションホストで AzureADJoinType 設定が正しく構成されていることを確認します。
    • キー: HKLM\SYSTEM\CurrentControlSet\Control\Citrix
    • 値の型: DWORD
    • 値の名前: AzureADJoinType
    • 値のデータ: 1 (Microsoft Entra ハイブリッド参加済み)

  12. Citrix Studioで、仮想デスクトップまたはアプリケーションがEntra ID IDではなくActive Directory IDに割り当てられていることを確認します。

  13. 以下のPowerShellコマンドを実行して、デリバリーグループのログオンタイプが正しく構成されていることを確認します。

    Get-BrokerDesktopGroup -Name <deliveryGroupName>
<!--NeedCopy-->

    Microsoft Entra ハイブリッド参加済みセッションホストの場合、MachineLogOnType は HybridAzureAd に設定する必要があります。

  14. Citrix ResourceアプリケーションとシングルテナントクライアントアプリケーションがMicrosoft Entraテナントに登録されていることを確認します。

  15. Citrix ResourceアプリケーションでMicrosoft Entra ID RDS認証プロトコルが有効になっていることを確認します。

  16. Citrixリソースアプリケーションにクライアントアプリケーションが承認済みクライアントアプリケーションとして追加されていることを確認してください。

  17. セッションホストがMicrosoft Entraハイブリッド参加している場合、ユーザーアカウントとコンピューターアカウントが存在するActive DirectoryドメインにKerberosサーバーオブジェクトが作成されていることを確認してください。

  18. Microsoft Entra条件付きアクセスポリシーを確認してください。シングルサインオンエクスペリエンスに影響を与えるようなポリシーが、Citrixリソースアプリケーションとクライアントアプリケーション、またはセッションホストに適用されていないことを確認してください。
Microsoft Entra シングルサインオン (プレビュー)
August 29, 2026
寄稿者: 
C
August 29, 2026
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.