認証について

事前入力されたユーザー名でCitrix®セキュリティを強化

バージョン2411以降、管理者はモバイルデバイス管理 (MDM) を使用して、特定の形式でユーザー名を管理対象デバイスにプッシュできます。Citrix Workspace™アプリはこの構成を読み取り、ユーザー名を取得し、認証プロンプト内に事前入力して読み取り専用にします。これにより、Macが登録されているエンドユーザーのみが、その特定のデバイスでCitrix Workspaceアプリに認証できるようになります。この機能はサインインセキュリティを強化し、管理者に認証に対するより優れた制御を提供します。

この機能は、以下の設定を使用してMDM経由で構成できます。

 <array>
    <dict>
        <key>LockUserName</key>
        <true/>
        <key>CitrixUserName</key>
        <string>UserNameValue</string>
    </dict>
 </array>

<!--NeedCopy-->

制限事項:

• このソリューションは、基本認証を使用するオンプレミスストアでのみ機能します。
• SAML (WebView) 認証とは互換性がありません。
• 範囲はCitrix Workspaceアプリに限定されており、ブラウザベースのログインは管理されません。

MDMの使用方法の詳細については、「モバイルデバイス管理」を参照してください。

エンドユーザーに、ネイティブアプリを介したアプリとデスクトップへの認証とアクセスを義務付ける

バージョン2411以降、管理者はMacデバイスのユーザーに対し、Citrix Workspaceアプリへのアクセスをネイティブアプリ経由のみに義務付けることができます。この機能が有効になっている場合、ストアURLやサードパーティ製ブラウザにアクセスしようとするユーザーは、自動的にCitrix Workspaceアプリにリダイレクトされます。これにより、ユーザーはネイティブアプリのすべての機能を活用し、シームレスなユーザーエクスペリエンスを享受できます。また、ブラウザ経由で接続し、HDX™エンジンを呼び出すユーザーには、将来のアクセスに備えてストアをネイティブクライアントに追加するよう促されます。この機能は、認証プロセスをネイティブアプリ内に保持することで、管理者にユーザー環境に対するより優れた制御を提供し、ICAファイルのダウンロードの必要性を排除することでセキュリティを強化します。

管理者はCitrix Cloudアカウントを使用してこの機能を有効にできます。この機能は現在、Cloudストアでのみサポートされています。詳細については、「エンドユーザーにネイティブアプリ経由でのアプリとデスクトップの認証とアクセスを義務付ける」を参照してください。

スマートカードリーダー認証の機能強化

バージョン2409以降、Citrix Workspaceアプリはスマートカードリーダーのプラグアンドプレイ機能をサポートしています。この機能により、ユーザーはICA®セッションを起動する前にリーダーを手動で接続することなく、スマートカードを便利に使用できます。スマートカードが挿入されると、システムはリーダーを自動的に検出し、初期化します。

また、Citrix Workspaceアプリは、同時スマートカードコマンド要求をより効率的に処理します。Virtual Delivery Agent (VDA) 上の複数のプロセスがスマートカードを同時に読み取ると、リダイレクト速度が向上します。

これらの機能強化により、スマートカードリーダーを認証に使用する際のユーザーエクスペリエンスがよりスムーズになります。

高速スマートカードのサポート

バージョン2409以降、Citrix Workspaceアプリは高速スマートカード機能をサポートします。高速スマートカードは、既存のHDX PC/SCベースのスマートカードリダイレクトを改善したものです。高遅延WAN環境でスマートカードを使用する場合、パフォーマンスが大幅に向上します。

Citrix Workspaceアプリでの高速スマートカードログオンの有効化

この機能を有効にするには、Citrix Workspaceアプリの設定でスマートカード設定のPKCS#11ライブラリファイルの場所を指定する必要があります。詳細については、「スマートカード認証用のPKCS#11モジュールの指定」を参照してください。

Citrix Workspaceアプリでの高速スマートカードログオンの無効化

Citrix Workspaceアプリで高速スマートカードログオンを無効にするには、Citrix Workspaceアプリの環境設定で「PKCS#11モジュール」を「選択なし」に設定します。

注：

• 高速スマートカードログオンは、VDAではデフォルトで有効になっており、Citrix Workspaceアプリではデフォルトで無効になっています。
• 以前のバージョンのCitrix Workspaceアプリ for Macでは、スマートカードのリダイレクトと認証に依存するのではなく、SSL接続を確立するためにPKCS#11モジュールが使用されていました。現在、Citrix Workspaceアプリ for Macの高速スマートカードは、RSAアルゴリズムを使用するカードのみをサポートしています。互換性のないPKCS#11モジュールを構成しようとすると、認証の失敗につながる可能性があります。

スマートカード

Citrix Workspaceアプリ for Macは、以下の構成でスマートカード認証をサポートしています。

• ワークスペース for Web または ストアフロント 3.12 以降へのスマートカード認証。

• シトリックス バーチャル アプリケーションズ アンド デスクトップ™ 7 2203 以降。

• ゼナップおよびゼンスクトップ 7.15 以降。

• 仮想デスクトップまたはアプリケーションセッションで利用可能なドキュメントにデジタル署名したり暗号化したりできる、Microsoft OutlookやMicrosoft Officeなどのスマートカード対応アプリケーション。

• Mac向けCitrix Workspaceアプリは、1枚のスマートカードまたは複数のスマートカードで複数の証明書を使用することをサポートしています。ユーザーがスマートカードをカードリーダーに挿入すると、証明書はMac向けCitrix Workspaceアプリを含む、デバイス上で実行されているすべてのアプリケーションで利用可能になります。

• ダブルホップセッションの場合、Mac向けCitrix Workspaceアプリとユーザーの仮想デスクトップの間でさらに接続が確立されます。

Citrix Gatewayへのスマートカード認証について

スマートカードを使用して接続を認証する場合、複数の使用可能な証明書があります。Mac向けCitrix Workspaceアプリは、証明書を選択するように求めます。証明書を選択すると、Mac向けCitrix Workspaceアプリはスマートカードのパスワードを入力するように求めます。認証が完了すると、セッションが起動します。

スマートカード上に適切な証明書が1つしかない場合、Mac向けCitrix Workspaceアプリはその証明書を使用し、選択を促しません。ただし、接続を認証し、セッションを開始するには、スマートカードに関連付けられたパスワードを入力する必要があります。

スマートカード認証用のPKCS#11モジュールの指定

注：

PKCS#11モジュールのインストールは必須ではありません。このセクションはICAセッションにのみ適用されます。スマートカードが必要なCitrix GatewayまたはStoreFrontへのCitrix Workspaceアクセスには適用されません。

スマートカード認証用のPKCS#11モジュールを指定するには：

1. Mac向けCitrix Workspaceアプリで、［環境設定］を選択します。
2. 「セキュリティとプライバシー」をクリックします。
3. 「セキュリティとプライバシー」セクションで、「スマートカード」をクリックします。
4. ［PKCS#11］フィールドで、適切なモジュールを選択します。目的のモジュールが一覧にない場合は、［Other］をクリックしてPKCS#11モジュールの場所を参照します。
5. 適切なモジュールを選択した後、追加をクリックします。

サポートされているリーダー、ミドルウェア、およびスマートカードプロファイル

Mac向けCitrix Workspaceアプリは、ほとんどのmacOS互換スマートカードリーダーと暗号化ミドルウェアをサポートしています。Citrixは、以下のものとの動作を検証済みです。

サポートされているリーダー：

• 一般的なUSB接続スマートカードリーダー

サポートされているミドルウェア：

• 明確化
• ActivIdentityクライアントバージョン
• Charismathicsクライアントバージョン

サポートされているスマートカード：

• PIVカード
• 共通アクセスカード (CAC)
• ジェムアルト ドットネット カード

ユーザーデバイスを構成するには、ベンダーが提供するmacOS互換スマートカードリーダーおよび暗号化ミドルウェアの指示に従ってください。

制限事項

• 証明書はスマートカードに保存する必要があり、ユーザーデバイスには保存できません。
• Citrix Workspaceアプリ for Macは、ユーザーの証明書の選択を保存しません。
• Citrix Workspaceアプリ for Macは、ユーザーのスマートカードPINを保存しません。OSがPINの取得を処理し、独自のキャッシュメカニズムを持つ場合があります。
• スマートカードが挿入されても、Citrix Workspaceアプリ for Macはセッションを再接続しません。
• スマートカード認証でVPNトンネルを使用するには、Citrix Gateway Plug-inをインストールし、Webページからログオンする必要があります。各ステップでスマートカードとPINを使用して認証します。Citrix Gateway Plug-inを使用したStoreFrontへのパススルー認証は、スマートカードユーザーには利用できません。

アジュール アクティブ ディレクトリによる条件付きアクセス

この認証方法は、現在Citrix Workspaceアプリ for Macではサポートされていません。

ユーザーエージェント

Citrix Workspaceアプリは、ネットワークリクエストでユーザーエージェントを送信します。これは、認証を他のIDプロバイダー（IdP）にリダイレクトすることを含む認証ポリシーを構成するために使用できます。

注：

ポリシーを構成する際にバージョン番号を記載しないでください。

パスワードレス認証のためのFIDO2

Mac版Citrix Workspaceアプリは、クラウドストアに接続する場合、またはHDXセッション内で、FIDO2セキュリティキーを使用したパスワードレス認証をサポートしています。FIDO2セキュリティキーは、企業従業員がユーザー名やパスワードを入力することなく、FIDO2をサポートするアプリやデスクトップにシームレスに認証するための方法を提供します。この機能は現在、PINコードとTouch IDを備えたローミング認証器（USBのみ）をサポートしています。この機能はmacOS 12以降のバージョンでサポートされています。

FIDO2の詳細については、FIDO2認証を参照してください。

この機能の前提条件と使用方法については、FIDO2を使用したローカル認証と仮想認証を参照してください。

クラウドおよびオンプレミスストアへの接続時のFIDO2ベース認証

Citrix Workspaceアプリは、クラウドおよびオンプレミスストアに接続する際、FIDO2認証（Web認証）にユーザーのデフォルトブラウザを使用します。管理者は、Citrix Workspaceアプリへの認証に使用するブラウザの種類を設定できます。Webブラウザの設定の詳細については、Global App Configuration serviceのドキュメントを参照してください。

次の設定により、エンドユーザーをCitrix Workspaceアプリに認証するために使用されるブラウザの種類を選択できます。

設定された設定をプッシュするには、モバイルデバイス管理（MDM）、Global App Configurationサービス（GACS）、またはコマンドラインインターフェイスの方法を使用して、次のコマンドを実行します。

• MDMを使用したFIDO2の有効化: MDMを介した認証を有効にするには、管理者は次の設定を使用する必要があります。

  <key>WebBrowserForAuthentication</key><string>System</string>

MDM の使用方法の詳細については、Mobile Device Management を参照してください。

• GACS を使用して FIDO2 を有効にする: GACS を介した認証を有効にするには、管理者は次の設定を使用する必要があります。

{
    "serviceURL": {
      "url": "https://serviceURL:443"
    },
    "settings": {
      "name": "Web browser for Authenticating into Citrix Workspace",
      "description": "Allows admin to select the type of browser used for authenticating an end user into Citrix Workspace app",
      "useForAppConfig": true,
      "appSettings": {
        "macos": [
          {
            "assignedTo": [
              "AllUsersNoAuthentication"
            ],
            "category": "authentication",
            "settings": [
              {
                "name": "web browser for authentication",
                "value": "SystemWithPrivateSession"
              }
            ],
            "userOverride": false
          }
        ]
      }
    }
  }

<!--NeedCopy-->

• コマンドラインインターフェイスを使用して FIDO2 を有効にする: コマンドラインインターフェイスを使用して認証を有効にするには、管理者は次のコマンドを実行する必要があります。

  defaults write com.citrix.receiver.nomas WebBrowserForAuthentication System

HDXセッション内でのFIDO2ベースの認証

HDXセッション内で認証するようにFIDO2セキュリティキーを構成できます。この機能は現在、PINコード付きのローミング認証器（USBのみ）をサポートしています。

FIDO2をサポートするアプリまたはWebサイトにアクセスすると、セキュリティキーへのアクセスを要求するプロンプトが表示されます。以前にPIN（最小4文字、最大64文字）でセキュリティキーを登録している場合は、サインイン時にPINを入力する必要があります。

以前にPINなしでセキュリティキーを登録している場合は、セキュリティキーに触れるだけでサインインできます。

この機能は、Citrix Workspaceアプリ2307およびそれ以降のリリースでデフォルトで有効になっています。Mobile Device Management (MDM) またはコマンドラインインターフェイスの方法を使用して、次のコマンドを実行することでFIDO2認証を無効にできます。

• MDM を使用して FIDO2 ベースの認証を無効にする: MDM を介してこの機能を無効にするには、管理者は次の設定を使用する必要があります。

  <key>Fido2Enabled</key><false/>

MDM の使用方法の詳細については、Mobile Device Management を参照してください。

• コマンドラインインターフェイスを使用して FIDO2 ベースの認証を無効にする: この機能を無効にするには、コマンドラインインターフェイスの方法で次のコマンドを実行します。

  defaults write com.citrix.receiver.nomas Fido2Enabled -bool NO

FIDO2パスワードレス認証のためのデバイスTouch IDのサポート

以前は、Citrix Workspaceアプリは、PINコードとタッチによるローミング認証器（USBのみ）を介したFIDO2パスワードレス認証をサポートしていました。

バージョン2405以降、Citrix WorkspaceアプリはFIDO2パスワードレス認証のためのデバイスTouch IDをサポートし、ユーザーのサインインエクスペリエンスを向上させます。この機能により、ユーザーはデバイスTouch IDを使用してCitrix Workspaceアプリに構成されたストアに安全にサインインでき、パスコードやパスワードは不要になります。この機能は、macOSユーザー向けのCitrix Workspaceアプリの使いやすさとセキュリティの両方を向上させます。この機能はデフォルトで有効になっています。

証明書ベースの認証のサポート

バージョン2305以降、Workspace管理者は、Citrix Workspaceアプリに認証するユーザーに対して、Azure Active Directoryの条件付きアクセスポリシーを構成および適用できます。

条件付きアクセスを使用して認証を有効にするには、次の方法を使用できます。

• モバイルデバイス管理 (MDM)
• グローバルアプリ構成サービス (GACS)

Citrix Workspaceアプリが読み取るフラグ値は、次の順序で優先されます。

• モバイルデバイス管理 (MDM)
• グローバルアプリ構成サービス (GACS)

MDMを介した条件付きアクセスによる認証の有効化

MDMを介してAzure ADで条件付きアクセスを使用した認証を有効にするには、管理者は次の設定を使用する必要があります。

<key>enableAAD</key> <true/>

この設定はブール値をサポートします。値はデフォルトでfalseに設定されています。キー値が利用できない場合、デフォルト値が考慮されます。

MDM の使用方法の詳細については、「モバイルデバイス管理」を参照してください。

GACS を介した条件付きアクセスによる認証の有効化

GACS を介して Azure AD と条件付きアクセスを使用した認証を有効にするには、管理者は次の設定を使用する必要があります。

enable conditional AAD

詳細については、GACS ドキュメントの macOS 用「プラットフォームごとのサポートされる設定とその値」を参照してください。

オンプレミスストアへの認証の簡素化

バージョン 2505 以降、管理者は Mac 用 Citrix Workspace アプリの [パスワードを記憶する] チェックボックスの動作を制御できます。

管理者は、MDM ベースのキーと値のペアを使用してこの機能を構成できます。

key: SaveCredentials

value type: Boolean

StoreFront™ の構成と SaveCredentials MDM キーの有無に基づいて、[パスワードを記憶する] チェックボックスの動作は次のロジックによって決定されます。

• StoreFront で SaveCredential が設定されていない場合:
  • システムはユーザーに [パスワードを記憶する] チェックボックスを表示します。
  • MDM キー SaveCredentials が存在する場合:
    • SaveCredentials = true の場合: システムはチェックボックスを選択して無効にするため、ユーザーはその状態を変更できません。
    • SaveCredentials = falseの場合：システムはチェックボックスのチェックを外し、無効にし、ロックします。
  • MDMキーが存在しない場合：StoreFrontの設定のみがチェックボックスの動作を制御します。

• StoreFrontでSaveCredentialがFalseに設定されている場合：

  • システムはユーザーにパスワードを記憶するチェックボックスを表示しません。
  • MDMキーが設定されている場合、システムはその値に従って資格情報をディスクに保存しますが、チェックボックスは非表示のままです。

注：

• MDMキーが存在する場合、それはチェックボックスに対するユーザーの操作を上書きします。
• UI要素が非表示であっても、MDMポリシーは資格情報を管理します。

制限事項

このソリューションは、Citrix Workspaceアプリがユーザー名とパスワード認証方法のみを使用してStoreFrontに直接アクセスできるオンプレミス環境にのみ適用されます。

Entra ID シングルサインオン (SSO) のサポート

バージョン2508以降、Mac版Citrix WorkspaceアプリはMicrosoft Entra IDとのシングルサインオン (SSO) をサポートしています。

Microsoft Entra ID を使用したシングルサインオン

ユーザーはMicrosoft Entra IDの資格情報を使用してCitrix Workspaceアプリにサインインし、SSOでCitrix Virtual Apps and Desktopsをシームレスに起動できます。これにより、繰り返しのプロンプトが減り、全体的なサインインエクスペリエンスが向上します。

詳細な構成手順については、Entra ID SSO 構成ガイドを参照してください。

デフォルトの認証動作

デフォルトの認証フローでは、ユーザーは最初のセッション起動時に一度認証を行います。それ以降のセッションでは、自動的にシングルサインオン (SSO) が使用されます。

この認証方法は、オンプレミス展開とクラウド展開の両方をサポートしています。

システムブラウザ認証の動作

システムブラウザ認証を使用すると、macOS は以下の内容を示すモーダルダイアログを表示します。

• 認証中のドメイン。
• 認証を続行するためのプロンプト。

システムブラウザ認証は、MDM または GACS を介して有効にできます。

• GACS の構成: 認証カテゴリで、[Web Browser For Authentication] を [System] に設定します。詳細については、「プラットフォームごとのサポートされる設定とその値」を参照してください。
• MDM の構成: 次の設定を使用します。

<key>WebBrowserForAuthentication</key><string>System</string>
<!--NeedCopy-->

注:

• システムブラウザ認証は、オンプレミスストアをサポートしていません。
• SystemWithPrivateSession オプションを使用する場合、ブラウザはクッキーやデータを保存しないプライベートセッションで動作するため、SSO はサポートされません。

Entra ID サポートの無効化

Citrix Workspace アプリ for MAC の Entra ID サポートを無効にするには、次のコマンドを実行します。

defaults write com.citrix.receiver.nomas UseLegacyTermsrvResourceUri -bool YES
<!--NeedCopy-->

パスキー (FIDO2) 認証のサポート

バージョン2603以降、Mac向けCitrix Workspaceアプリは、外部のセキュリティキーに加えて、TouchIDまたはパスワードを使用したPassKey (FIDO2)認証をサポートします。PassKeyはローカルのmacOSユーザープロファイルに固有のものであり、Secure Enclaveに保存され、Citrix Viewerのみがアクセスできます。この機能は、Secure Enclaveを搭載したMacでサポートされています。

注：

• Mac向けCitrix WorkspaceアプリはPassKeyを作成および管理します。これはアクティブなセッション内でのみ有効です。
• 組織が認定された認証システムを必要とする場合は、管理者に連絡してください。