Citrix Workspaceアプリへのシングルサインオンの構成
Azure Active Directoryを使用したシングルサインオン
このセクションでは、ハイブリッドまたはAAD登録済みエンドポイントのドメイン参加済みワークロードで、IDプロバイダーとしてAzure Active Directory (AAD) を使用してシングルサインオン (SSO) を実装する方法について説明します。この構成により、AADに登録されているエンドポイントでWindows HelloまたはFIDO2を使用してWorkspaceに認証できます。
注:
Windows Helloをスタンドアロン認証として使用する場合、Citrix Workspaceアプリへのシングルサインオンを実現できます。ただし、公開された仮想アプリまたはデスクトップにアクセスする際に、ユーザー名とパスワードの入力を求められます。回避策として、フェデレーション認証サービス (FAS) の実装を検討してください。
-
前提条件
-
Citrix CloudへのアクティブなAzure Active Directory接続。詳細については、「Citrix CloudへのAzure Active Directoryの接続」を参照してください。
-
Azure Active Directory Workspace認証。詳細については、「ワークスペースのAzure AD認証の有効化」を参照してください。
-
Azure AD Connectが構成されていることを確認します。詳細については、「エクスプレス設定を使用したAzure AD Connectの概要」を参照してください。
-
Azure AD Connectでパススルー認証をアクティブ化します。また、シングルサインオンとパススルーオプションがAzureポータルで機能することを確認します。詳細については、「Azure Active Directoryパススルー認証：クイックスタート」を参照してください。
-
構成
デバイスでSSOを構成するには、次の手順を実行します。
- 1. `includeSSON`オプションを使用してWindowsコマンドラインからCitrix Workspaceアプリをインストールします。
- `CitrixWorkspaceApp.exe /includeSSON`
- 1. デバイスを再起動します。
Windows向けCitrix Workspace™アプリバージョン2503以降では、システムはデフォルトでSSONを休止モードでインストールします。インストール後にグループポリシーオブジェクト (GPO) ポリシーを使用してSSONを有効にできます。有効にするには、**［ユーザー認証］>［ローカルユーザー名とパスワード］** に移動し、**［パススルー認証を有効にする］** チェックボックスをオンにします。
> **注:**
>
> SSON設定を有効にするには、GPOポリシーを更新した後、システムを再起動する必要があります。
-
-
gpedit.mscを実行して、Citrix Workspaceアプリのグループポリシーオブジェクト管理用テンプレートを開きます。
-
-
- ［管理用テンプレート］>［Citrixコンポーネント］>［Citrix Workspace］>［ユーザー認証］>［ローカルユーザー名とパスワード］ に移動します。
-
［パススルー認証を有効にする］ を選択します。構成とセキュリティ設定に応じて、パススルー認証を機能させるには、［すべてのICA®でパススルー認証を許可する］ オプションを選択します。
-
Internet Explorerのユーザー認証設定を変更します。設定を変更するには：
- コントロールパネルから［インターネットオプション］ を開きます。
-
［全般プロパティ］>［ローカルイントラネット］ に移動し、［サイト］ をクリックします。
-
［ローカルイントラネット］ ウィンドウで、［詳細設定］ をクリックし、信頼済みサイトを追加して、次の信頼済みサイトを追加し、［閉じる］ をクリックします。
https://aadg.windows.net.nsatc.nethttps://autologon.microsoftazuread-sso.comテナントの名前（例：https://xxxtenantxxx.cloud.com）
-
テナントで
prompt=login属性を無効にすることで、追加の認証プロンプトを無効にします。詳細については、「フェデレーション認証プロバイダーを使用している場合にWorkspace URLで追加の資格情報を求められる」を参照してください。シングルサインオンを正常に構成するには、Citrixテクニカルサポートに連絡して、テナントのprompt=login属性を無効にすることができます。 -
Citrix Workspaceアプリクライアントでドメインパススルー認証を有効にします。詳細については、「ドメインパススルー認証」を参照してください。
-
変更を有効にするには、Citrix Workspaceアプリを再起動します。
Oktaとフェデレーション認証サービスを使用したシングルサインオン
このセクションでは、ドメイン参加済みデバイスとフェデレーション認証サービス (FAS) を使用して、IDプロバイダーとしてOktaを使用してシングルサインオン (SSO) を実装する方法について説明します。この構成により、Oktaを使用してWorkspaceに認証し、シングルサインオンを有効にして2回目のログオンプロンプトを防ぐことができます。この認証メカニズムを機能させるには、Citrix CloudでCitrixフェデレーション認証サービスを使用する必要があります。詳細については、「Citrixフェデレーション認証サービスをCitrix Cloudに接続する」を参照してください。
前提条件
-
Cloud Connector。Cloud Connectorのインストールについて詳しくは、「Cloud Connectorのインストール」を参照してください。
-
Oktaエージェント。Oktaエージェントのインストールについて詳しくは、「Okta Active Directoryエージェントのインストール」を参照してください。また、Windowsドメイン参加済みデバイスからログインするようにOkta IWA Webエージェントを構成することもできます。詳しくは、「デスクトップシングルサインオン用のOkta IWA Webエージェントのインストールと構成」を参照してください。
-
Citrix CloudへのアクティブなAzure Active Directory接続。詳細については、「Citrix CloudへのAzure Active Directoryの接続」を参照してください。
-
フェデレーション認証サービス。詳細については、「フェデレーション認証サービスのインストール」を参照してください。
構成
デバイスでSSOを構成するには、次の手順を実行します。
Citrix Cloud™をOkta組織に接続する:
-
Okta Active Directoryエージェントをダウンロードしてインストールします。詳細については、「Okta Active Directoryエージェントのインストール」を参照してください。
-
https://citrix.cloud.comでCitrix Cloudにサインインします。 -
Citrix Cloudメニューから、［IDおよびアクセス管理］ を選択します。
-
Oktaを見つけて、省略記号メニューから［接続］ を選択します。
-
［Okta URL］ に、Oktaドメインを入力します。
-
［Okta APIトークン］ に、Okta組織のAPIトークンを入力します。
-
［クライアントID］ と ［クライアントシークレット］ に、以前に作成したOIDC Webアプリ統合のクライアントIDとシークレットを入力します。これらの値をOktaコンソールからコピーするには、［アプリケーション］ を選択し、Oktaアプリケーションを見つけます。［クライアント資格情報］ で、各値の［クリップボードにコピー］ ボタンを使用します。
-
［テストして完了］ をクリックします。Citrix CloudはOktaの詳細を確認し、接続をテストします。
ワークスペースのOkta認証を有効にする:
-
Citrix Cloudメニューから、［Workspace構成］>［認証］ を選択します。
-
［Okta］ を選択します。プロンプトが表示されたら、［サブスクライバーエクスペリエンスへの影響を理解しています］ を選択します。
-
［同意する］ をクリックして、権限リクエストを受け入れます。
フェデレーション認証サービスを有効にする:
-
Citrix Cloudメニューから、［Workspace構成］ を選択し、次に［認証］ を選択します。
-
［FASを有効にする］ をクリックします。この変更がサブスクライバーセッションに適用されるまで、最大5分かかる場合があります。
その後、Citrix Workspace から起動されるすべての仮想アプリおよびデスクトップで、フェデレーション認証サービスがアクティブになります。
サブスクライバーがワークスペースにサインインし、FASサーバーと同じリソースの場所にある仮想アプリまたはデスクトップを起動すると、資格情報の入力を求められることなくアプリまたはデスクトップが起動します。
注:
リソースの場所にあるすべてのFASサーバーがダウンしているかメンテナンスモードの場合、アプリケーションの起動は成功しますが、シングルサインオンはアクティブになりません。サブスクライバーは、各アプリケーションまたはデスクトップにアクセスするためにAD資格情報の入力を求められます。