異なるドメインを使用した認証
一部の組織では、サードパーティの開発者や請負業者に本番環境の公開リソースへのアクセスを許可しないポリシーを設けています。この記事では、Citrix Gateway を介して 1 つのドメインで認証することにより、テスト環境の公開リソースへのアクセスを許可する方法について説明します。その後、別のドメインを使用して StoreFront および Receiver for Web サイトに認証できます。この記事で説明する Citrix Gateway を介した認証は、Receiver for Web サイトを介してログオンするユーザーに対してサポートされています。この認証方法は、ネイティブデスクトップまたはモバイルの Citrix Receiver または Citrix Workspace アプリのユーザーにはサポートされていません。
テスト環境のセットアップ
この例では、production.com という本番ドメインと development.com というテストドメインを使用します。
production.com ドメイン
この例の production.com ドメインは次のように設定されています。
-
production.comLDAP 認証ポリシーが構成された Citrix Gateway。 - ゲートウェイを介した認証は、
production\testuser1アカウントとパスワードを使用して行われます。
development.com ドメイン
この例の development.com ドメインは次のように設定されています。
- StoreFront、Citrix Virtual Apps and Desktops、および VDA はすべて
development.comドメイン上にあります。 - Citrix Receiver for Web サイトへの認証は、
development\testuser1アカウントとパスワードを使用して行われます。 - 2 つのドメイン間に信頼関係はありません。
ストアの Citrix Gateway の構成
ストアの Citrix Gateway を構成するには、次の手順を実行します。
- Citrix StoreFront 管理コンソールの左ペインで [ストア] を選択し、[操作] ペインで [Citrix Gateway の管理] をクリックします。
- [Citrix Gateway の管理] 画面で、[追加] をクリックします。
-
[全般設定]、[Secure Ticket Authority]、および [認証] の手順を完了します。
![Citrix Gateway アプライアンスの追加ウィンドウのスクリーンショット、[全般設定] セクション](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/netscaler-gateway-general-settings.png)
![Citrix Gateway アプライアンスの追加ウィンドウのスクリーンショット、[Secure Ticket Authority] セクション](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/netscaler-gateway-secure-ticket-authority.png)
![Citrix Gateway アプライアンスの追加ウィンドウのスクリーンショット、[認証設定] セクション](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/netscaler-gateway-authentication.png)
注：
両方のドメインで使用されている DNS サーバーが他のドメインの FQDN を解決できるように、DNS 条件付きフォワーダーを追加する必要がある場合があります。Citrix ADC アプライアンスは、
production.comDNS サーバーを使用してdevelopment.comドメイン上の STA サーバー FQDN を解決できる必要があります。StoreFront も、development.comDNS サーバーを使用してproduction.comドメイン上のコールバック URL を解決できる必要があります。または、Citrix Gateway 仮想サーバーの仮想 IP (VIP) に解決されるdevelopment.comFQDN を使用することもできます。
Citrix Gateway からのパススルーの有効化
- Citrix StoreFront 管理コンソールの左ペインで [ストア] を選択し、[操作] ペインで [認証方法の管理] をクリックします。
- [認証方法の管理] 画面で、[Citrix Gateway からのパススルー] を選択します。
- [OK] をクリックします。
![[認証方法の管理] ウィンドウのスクリーンショット](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/manage-authentication-methods.png)
Gateway を使用したリモートアクセス用のストアの構成
- Citrix StoreFront 管理コンソールの左ペインで [ストア] ノードを選択し、結果ペインでストアを選択します。[操作] ペインで [リモートアクセス設定の構成] をクリックします。
- [リモートアクセスを有効にする] を選択します。
- Citrix Gateway がストアに登録されていることを確認します。Citrix Gateway を登録しないと、STA チケット発行は機能しません。
![[リモートアクセス設定の構成] ウィンドウのスクリーンショット](/en-us/storefront/2203-ltsr/media/configure-manage-stores/configure-remote-access-settings.png)
トークンの一貫性の無効化
- Citrix StoreFront 管理コンソールの左ペインで [ストア] ノードを選択し、結果ペインでストアを選択します。[操作] ペインで [ストア設定の構成] をクリックします。
- [ストア設定の構成] ページで、[詳細設定] を選択します。
-
[トークンの一貫性を要求する] チェックボックスをオフにします。詳細については、「ストアの詳細設定」を参照してください。
- [OK] をクリックします。
注：
[トークンの一貫性を要求する] 設定は、デフォルトで選択されています (オン)。この設定を無効にすると、Citrix ADC エンドポイント分析 (EPA) に使用される SmartAccess 機能が動作しなくなります。
Receiver for Web サイトの Citrix Gateway からのパススルーの無効化
重要：
Citrix Gateway からのパススルーを無効にすると、Receiver for Web が Citrix ADC アプライアンスから渡された
production.comドメインの誤った資格情報を使用しようとするのを防ぎます。Citrix Gateway からのパススルーを無効にすると、Receiver for Web はユーザーに資格情報の入力を求めます。これらの資格情報は、Citrix Gateway を介してログオンするために使用される資格情報とは異なります。
- Citrix StoreFront 管理コンソールの左ペインで [ストア] ノードを選択します。
- 変更するストアを選択します。
- [操作] ペインで [Receiver for Web サイトの管理] をクリックします。
- [認証方法] で、[Citrix Gateway からのパススルー] をオフにします。
-
[OK] をクリックします。
![[Receiver for Web サイトの編集] ウィンドウのスクリーンショット、[認証方法] セクション](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/recr-for-web-site-authentication-methods.png)
production.com ユーザーと資格情報を使用した Gateway へのログオン
テストするには、production.com ユーザーと資格情報を使用して Gateway にログオンします。
ログオン後、ユーザーは development.com の資格情報の入力を求められます。
StoreFront での信頼済みドメインドロップダウンリストの追加 (オプション)
この設定はオプションですが、ユーザーが誤って間違ったドメインを入力して Citrix Gateway を介して認証するのを防ぐのに役立つ場合があります。
両方のドメインでユーザー名が同じ場合、間違ったドメインを入力する可能性が高くなります。新規ユーザーは、Citrix Gateway を介してログオンするときにドメインを省略することに慣れている場合もあります。その場合、ユーザーは Receiver for Web サイトへのログオンを求められたときに、2 番目のドメインの domain\username を入力するのを忘れる可能性があります。
- Citrix StoreFront 管理コンソールの左ペインで [ストア] を選択し、[操作] ペインで [認証方法の管理] をクリックします。
- [ユーザー名とパスワード] の横にあるドロップダウン矢印を選択します。
-
[追加] をクリックして
development.comを信頼済みドメインとして追加し、[ログオンページにドメインリストを表示する] チェックボックスをオンにします。 - [OK] をクリックします。
![[信頼済みドメインの構成] ウィンドウのスクリーンショット](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/configure-trusted-domains.png)
注：
この認証シナリオでは、ブラウザのパスワードキャッシュは推奨されません。ユーザーが 2 つの異なるドメインアカウントで異なるパスワードを持っている場合、パスワードキャッシュはエクスペリエンスの低下につながる可能性があります。
Citrix Gateway クライアントレス VPN (CVPN) セッションアクションポリシー
- Citrix Gateway セッションポリシー内で Web アプリケーションへのシングルサインオンが有効になっている場合、Receiver for Web サイトで [Citrix Gateway からのパススルー] 認証方法を無効にしているため、Citrix ADC アプライアンスから Receiver for Web に送信された誤った資格情報は無視されます。Receiver for Web は、このオプションの設定に関係なく、資格情報の入力を求めます。
-
Citrix ADC アプライアンスの [クライアントエクスペリエンス] タブと [公開済みアプリ] タブにシングルサインオンエントリを入力しても、この記事で説明されている動作は変更されません。
![NetScaler ポリシー画面のスクリーンショット、[クライアントエクスペリエンス] タブ](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/netscaler-client-experience.png)
![NetScaler ポリシー画面のスクリーンショット、[公開済みアプリ] タブ](/en-us/storefront/2203-ltsr/media/integrate-with-citrix-gateway-and-citrix-adc/netscaler-published-app.png)