Citrix Workspaceアプリへのシングルサインオンの構成
Azure Active Directoryを使用したシングルサインオン
このセクションでは、ハイブリッド環境またはAAD登録済みエンドポイントのドメイン参加済みワークロードで、IDプロバイダーとしてAzure Active Directory (AAD) を使用してシングルサインオン (SSO) を実装する方法について説明します。この構成により、AADに登録されているエンドポイントでWindows HelloまたはFIDO2を使用してWorkspaceに認証できます。
注:
Windows Helloをスタンドアロン認証として使用する場合、Citrix Workspaceアプリへのシングルサインオンを実現できます。ただし、公開された仮想アプリまたはデスクトップにアクセスする際に、ユーザー名とパスワードの入力を求められます。回避策として、Federated Authentication Service (FAS) の実装を検討してください。
-
前提条件
-
Citrix CloudへのアクティブなAzure Active Directory接続。詳細については、「Azure Active DirectoryをCitrix Cloudに接続する」を参照してください。
-
Azure Active Directory Workspace認証。詳細については、「ワークスペースのAzure AD認証を有効にする」を参照してください。
-
Azure AD Connectが構成されていることを確認します。詳細については、「エクスプレス設定を使用したAzure AD Connectの概要」を参照してください。
-
Azure AD Connectでパススルー認証をアクティブ化します。また、シングルサインオンとパススルーオプションがAzureポータルで機能することを確認します。詳細については、「Azure Active Directoryパススルー認証：クイックスタート」を参照してください。
-
構成
- デバイスでSSOを構成するには、次の手順を実行します。
- 1. `includeSSON` オプションを使用して、Windows コマンドラインからCitrix Workspaceアプリをインストールします。
[[CODE_BLOCK_0]]
-
デバイスを再起動します。
-
gpedit.mscを実行して、Citrix Workspaceアプリのグループポリシーオブジェクト管理用テンプレートを開きます。
-
- 管理用テンプレート > Citrix Components > Citrix Workspace > ユーザー認証 > ローカルユーザー名とパスワード に移動します。
-
- パススルー認証を有効にする を選択します。構成とセキュリティ設定に応じて、パススルー認証を機能させるために すべてのICA®でパススルー認証を許可する オプションを選択します。
-
Internet Explorerでユーザー認証設定を変更します。設定を変更するには：
- コントロールパネルから インターネットのプロパティ を開きます。
-
全般プロパティ > ローカルイントラネット に移動し、サイト をクリックします。
-
ローカルイントラネット ウィンドウで、詳細設定 をクリックし、次の信頼済みサイトを追加して 閉じる をクリックします。
https://aadg.windows.net.nsatc.nethttps://autologon.microsoftazuread-sso.comテナントの名前（例：https://xxxtenantxxx.cloud.com）
-
テナントの
prompt=login属性を無効にすることで、追加の認証プロンプトを無効にします。詳細については、「フェデレーション認証プロバイダーを使用する際にWorkspace URLで追加の資格情報を求められる」を参照してください。シングルサインオンを正常に構成するには、Citrixテクニカルサポートに連絡して、テナントのprompt=login属性を無効にすることができます。 -
Citrix Workspaceアプリクライアントでドメインパススルー認証を有効にします。詳細については、「ドメインパススルー認証」を参照してください。
-
変更を有効にするには、Citrix Workspaceアプリを再起動します。
OktaとFederated Authentication Serviceを使用したシングルサインオン
このセクションでは、IDプロバイダーとしてOktaを使用し、ドメイン参加済みデバイスとFederated Authentication Service (FAS) を使用してシングルサインオン (SSO) を実装する方法について説明します。この構成により、Oktaを使用してWorkspaceに認証し、シングルサインオンを有効にして2回目のログオンプロンプトを防ぐことができます。この認証メカニズムを機能させるには、Citrix Federated Authentication ServiceをCitrix Cloudで使用する必要があります。詳細については、「Citrix Federated Authentication ServiceをCitrix Cloudに接続する」を参照してください。
前提条件
-
Cloud Connector。Cloud Connectorのインストールに関する詳細については、「Cloud Connectorのインストール」を参照してください。
-
Oktaエージェント。Oktaエージェントのインストールに関する詳細については、「Okta Active Directoryエージェントのインストール」を参照してください。また、Windowsドメイン参加済みデバイスからログインするようにOkta IWA Webエージェントを構成することもできます。詳細については、「デスクトップシングルサインオン用のOkta IWA Webエージェントのインストールと構成」を参照してください。
-
Citrix CloudへのアクティブなAzure Active Directory接続。詳細については、「Azure Active DirectoryをCitrix Cloudに接続する」を参照してください。
-
Federated Authentication Service。詳細については、「Federated Authentication Serviceのインストール」を参照してください。
構成
デバイスでSSOを構成するには、次の手順を実行します。
Citrix Cloud™をOkta組織に接続する:
-
Okta Active Directoryエージェントをダウンロードしてインストールします。詳細については、「Okta Active Directoryエージェントのインストール」を参照してください。
-
https://citrix.cloud.comでCitrix Cloudにサインインします。 -
Citrix Cloudメニューから、IDおよびアクセス管理 を選択します。
-
Oktaを見つけ、省略記号メニューから 接続 を選択します。
-
Okta URL に、Oktaドメインを入力します。
-
Okta APIトークン に、Okta組織のAPIトークンを入力します。
-
クライアントID と クライアントシークレット に、以前に作成したOIDC Webアプリ統合のクライアントIDとシークレットを入力します。これらの値をOktaコンソールからコピーするには、アプリケーション を選択し、Oktaアプリケーションを見つけます。クライアント資格情報 の下で、各値の クリップボードにコピー ボタンを使用します。
-
テストと完了 をクリックします。Citrix CloudはOktaの詳細を確認し、接続をテストします。
ワークスペースのOkta認証を有効にする:
-
Citrix Cloudメニューから、ワークスペース構成 > 認証 を選択します。
-
Okta を選択します。プロンプトが表示されたら、サブスクライバーエクスペリエンスへの影響を理解しています を選択します。
-
同意 をクリックして、アクセス許可要求を受け入れます。
Federated Authentication Serviceを有効にする:
-
Citrix Cloudメニューから、ワークスペース構成 を選択し、次に 認証 を選択します。
-
FASを有効にする をクリックします。この変更がサブスクライバーセッションに適用されるまでに最大5分かかる場合があります。
![[FASを有効にする] ボタンが強調表示されたWorkspace Configurationページ](/en-us/citrix-workspace/media/workspace-config-fas-disabled.png)
その後、Citrix Workspaceからのすべての仮想アプリおよびデスクトップの起動に対して、Federated Authentication Serviceがアクティブになります。
サブスクライバーがワークスペースにサインインし、FASサーバーと同じリソースの場所にある仮想アプリまたはデスクトップを起動すると、資格情報の入力を求められることなくアプリまたはデスクトップが起動します。
注:
リソースロケーション内のすべてのFASサーバーがダウンしているか、メンテナンスモードの場合、アプリケーションの起動は成功しますが、シングルサインオンはアクティブになりません。サブスクライバーは、各アプリケーションまたはデスクトップにアクセスするためにAD資格情報の入力を求められます。