Citrix Workspaceアプリへのシングルサインオンの構成
Azure Active Directoryを使用したシングルサインオン
このセクションでは、ハイブリッド環境またはAAD登録済みエンドポイントのドメイン参加済みワークロードで、Azure Active Directory（AAD）をIDプロバイダーとして使用して、シングルサインオン（SSO）を実装する方法について説明します。この構成により、AADに登録されているエンドポイントでWindows HelloまたはFIDO2を使用してWorkspaceに認証できます。
注：
Windows Helloをスタンドアロン認証として使用する場合、Citrix Workspaceアプリへのシングルサインオンを実現できます。ただし、公開された仮想アプリまたはデスクトップにアクセスする際に、ユーザー名とパスワードの入力を求められます。回避策として、Federated Authentication Service（FAS）の実装を検討してください。
-
前提条件
-
Citrix CloudへのアクティブなAzure Active Directory接続。詳細については、「Citrix CloudへのAzure Active Directoryの接続」を参照してください。
-
Azure Active Directoryワークスペース認証。詳細については、「ワークスペースのAzure AD認証の有効化」を参照してください。
-
Azure AD Connectが構成されていることを確認します。詳細については、「エクスプレス設定を使用したAzure AD Connectの概要」を参照してください。
-
Azure AD Connectでパススルー認証をアクティブ化します。また、シングルサインオンとパススルーオプションがAzureポータルで機能することを確認します。詳細については、「Azure Active Directoryパススルー認証：クイックスタート」を参照してください。
-
構成
デバイスでSSOを構成するには、次の手順を実行します。
- 1. `includeSSON`オプションを使用して、WindowsコマンドラインからCitrix Workspaceアプリをインストールします。
- [[CODE_BLOCK_0]]
- 1. デバイスを再起動します。
Windows版Citrix Workspace™アプリバージョン2503以降、システムはSSONをデフォルトで休止モードでインストールします。インストール後にグループポリシーオブジェクト（GPO）ポリシーを使用してSSONを有効にできます。有効にするには、**［ユーザー認証］>［ローカルユーザー名とパスワード］** に移動し、**［パススルー認証を有効にする］** チェックボックスをオンにします。
> **注：**
>
> SSON設定を有効にするには、GPOポリシーを更新した後、システムを再起動する必要があります。
-
-
gpedit.mscを実行して、Citrix Workspaceアプリのグループポリシーオブジェクト管理用テンプレートを開きます。
-
-
- ［管理用テンプレート］>［Citrixコンポーネント］>［Citrix Workspace］>［ユーザー認証］>［ローカルユーザー名とパスワード］ の順に移動します。
-
［パススルー認証を有効にする］ を選択します。構成とセキュリティ設定に応じて、パススルー認証が機能するように ［すべてのICA®でパススルー認証を許可する］ オプションを選択します。
-
Internet Explorerでユーザー認証設定を変更します。設定を変更するには：
- コントロールパネルから ［インターネットのプロパティ］ を開きます。
-
［全般プロパティ］>［ローカルイントラネット］ に移動し、［サイト］ をクリックします。
-
［ローカルイントラネット］ ウィンドウで、［詳細設定］ をクリックし、信頼済みサイトを追加して、次の信頼済みサイトを追加し、［閉じる］ をクリックします。
https://aadg.windows.net.nsatc.nethttps://autologon.microsoftazuread-sso.comテナントの名前（例：https://xxxtenantxxx.cloud.com）
-
テナントで
prompt=login属性を無効にすることで、追加の認証プロンプトを無効にします。詳細については、「フェデレーション認証プロバイダーを使用している場合にWorkspace URLで追加の資格情報を求められる」を参照してください。シングルサインオンを正常に構成するには、Citrixテクニカルサポートに連絡して、テナントのprompt=login属性を無効にすることができます。 -
Citrix Workspaceアプリクライアントでドメインパススルー認証を有効にします。詳細については、「ドメインパススルー認証」を参照してください。
-
変更を有効にするには、Citrix Workspaceアプリを再起動します。
OktaとFederated Authentication Serviceを使用したシングルサインオン
このセクションでは、OktaをIDプロバイダーとして使用し、ドメイン参加済みデバイスとFederated Authentication Service（FAS）を使用してシングルサインオン（SSO）を実装する方法について説明します。この構成により、Oktaを使用してWorkspaceに認証し、シングルサインオンを有効にして2回目のログオンプロンプトを防ぐことができます。この認証メカニズムが機能するには、Citrix Federated Authentication ServiceをCitrix Cloudで使用する必要があります。詳細については、「Citrix Federated Authentication ServiceをCitrix Cloudに接続する」を参照してください。
前提条件
-
Cloud Connector。Cloud Connectorのインストールについて詳しくは、「Cloud Connectorのインストール」を参照してください。
-
Oktaエージェント。Oktaエージェントのインストールについて詳しくは、「Okta Active Directoryエージェントのインストール」を参照してください。また、Windowsドメイン参加済みデバイスからログインするようにOkta IWA Webエージェントを構成することもできます。詳細については、「デスクトップシングルサインオン用のOkta IWA Webエージェントのインストールと構成」を参照してください。
-
Citrix CloudへのアクティブなAzure Active Directory接続。詳細については、「Citrix CloudへのAzure Active Directoryの接続」を参照してください。
-
Federated Authentication Service。詳細については、「Federated Authentication Serviceのインストール」を参照してください。
構成
デバイスでSSOを構成するには、次の手順を実行します。
Citrix Cloud™をOkta組織に接続する：
-
Okta Active Directoryエージェントをダウンロードしてインストールします。詳細については、「Okta Active Directoryエージェントのインストール」を参照してください。
-
https://citrix.cloud.comでCitrix Cloudにサインインします。 -
Citrix Cloudメニューから、［IDおよびアクセス管理］ を選択します。
-
Oktaを見つけて、省略記号メニューから ［接続］ を選択します。
-
［Okta URL］ に、Oktaドメインを入力します。
-
［Okta APIトークン］ に、Okta組織のAPIトークンを入力します。
-
［クライアントID］ と ［クライアントシークレット］ に、以前に作成したOIDC Webアプリ統合のクライアントIDとシークレットを入力します。これらの値をOktaコンソールからコピーするには、［アプリケーション］ を選択し、Oktaアプリケーションを見つけます。［クライアント資格情報］ で、各値の ［クリップボードにコピー］ ボタンを使用します。
-
［テストして完了］ をクリックします。Citrix CloudはOktaの詳細を確認し、接続をテストします。
ワークスペースのOkta認証を有効にする：
-
Citrix Cloudメニューから、［ワークスペース構成］>［認証］ を選択します。
-
［Okta］ を選択します。プロンプトが表示されたら、［サブスクライバーエクスペリエンスへの影響を理解しています］ を選択します。
-
［同意する］ をクリックして、権限要求を承認します。
Federated Authentication Serviceを有効にする：
-
Citrix Cloudメニューから、［ワークスペース構成］ を選択し、次に ［認証］ を選択します。
-
［FASを有効にする］ をクリックします。この変更がサブスクライバーセッションに適用されるまでに最大5分かかる場合があります。
その後、Citrix Workspaceからのすべての仮想アプリおよびデスクトップの起動に対して、フェデレーション認証サービスが有効になります。
サブスクライバーがワークスペースにサインインし、FASサーバーと同じリソースの場所にある仮想アプリまたはデスクトップを起動すると、資格情報の入力を求められることなくアプリまたはデスクトップが起動します。
注：
あるリソースの場所にあるすべてのFASサーバーがダウンしているか、メンテナンスモードの場合、アプリケーションの起動は成功しますが、シングルサインオンは有効になりません。サブスクライバーは、各アプリケーションまたはデスクトップにアクセスするためにAD資格情報の入力を求められます。