異なるドメインでの認証
一部の組織では、サードパーティの開発者や請負業者に本番環境の公開リソースへのアクセスを許可しないポリシーが導入されています。この記事では、Citrix Gateway を介して 1 つのドメインで認証することにより、テスト環境の公開リソースへのアクセスを許可する方法について説明します。その後、別のドメインを使用して StoreFront および Receiver for Web サイトに認証できます。この記事で説明する Citrix Gateway を介した認証は、Receiver for Web サイトを介してログオンするユーザーに対してサポートされています。この認証方法は、ネイティブデスクトップまたはモバイルの Citrix Receiver または Citrix Workspace アプリのユーザーにはサポートされていません。
テスト環境のセットアップ
この例では、production.com という本番ドメインと development.com というテストドメインを使用します。
production.com ドメイン
この例の production.com ドメインは次のように設定されています。
-
production.comLDAP 認証ポリシーが構成された Citrix Gateway - ゲートウェイを介した認証は、production\testuser1 アカウントとパスワードを使用して行われます
development.com ドメイン
この例の development.com ドメインは次のように設定されています。
- StoreFront、Citrix Virtual Apps and Desktops、および VDA はすべて
development.comドメイン上にあります - Citrix Receiver for Web サイトへの認証は、development\testuser1 アカウントとパスワードを使用して行われます
- 2 つのドメイン間に信頼関係はありません
ストアの Citrix Gateway の構成
ストアの Citrix Gateway を構成するには、次の手順を実行します。
- Citrix StoreFront 管理コンソールの左ペインで [Stores] を選択し、[Actions] ペインで [Manage Citrix Gateways] をクリックします。
- [Manage Citrix Gateways] 画面で、[Add] をクリックします。
-
[General Settings]、[Secure Ticket Authority]、および [Authentication] の手順を完了します。
注：
両方のドメインで使用されている DNS サーバーが他のドメインの FQDN を解決できるように、DNS 条件付きフォワーダーを追加する必要がある場合があります。Citrix Gateway は、
production.comDNS サーバーを使用して、development.comドメイン上の STA サーバー FQDN を解決できる必要があります。StoreFront も、development.comDNS サーバーを使用して、production.comドメイン上のコールバック URL を解決できる必要があります。または、Citrix Gateway 仮想サーバーの仮想 IP (VIP) に解決されるdevelopment.comFQDN を使用することもできます。
Citrix Gateway からのパススルーの有効化
- Citrix StoreFront 管理コンソールの左ペインで [Stores] を選択し、[Actions] ペインで [Manage Authentication Methods] をクリックします。
- [Manage Authentication Methods] 画面で、[Pass-through from Citrix Gateway] を選択します。
- [OK] をクリックします。
Gateway を使用したリモートアクセス用のストアの構成
- Citrix StoreFront 管理コンソールの左ペインで [Stores] ノードを選択し、結果ペインでストアを選択します。[Actions] ペインで [Configure Remote Access Settings] をクリックします。
- [Enable Remote Access] を選択します。
- Citrix Gateway がストアに登録されていることを確認します。Citrix Gateway を登録しないと、STA チケット発行は機能しません。
トークンの一貫性の無効化
- Citrix StoreFront 管理コンソールの左ペインで [Stores] ノードを選択し、結果ペインでストアを選択します。[Actions] ペインで [Configure Store Settings] をクリックします。
- [Configure Store Settings] ページで、[Advanced Settings] を選択します。
-
[Require token consistency] チェックボックスをオフにします。詳細については、「ストアの詳細設定」を参照してください。
- [OK] をクリックします。
注：
[Require token consistency] 設定は、デフォルトで選択されています（オン）。この設定を無効にすると、Citrix Gateway End Point Analysis (EPA) で使用される SmartAccess 機能は機能しなくなります。
Web サイトの Citrix Gateway からのパススルーの無効化
重要：
Citrix Gateway からのパススルーを無効にすると、Web サイトが Citrix Gateway から渡された
production.comドメインの誤った資格情報を使用しようとするのを防ぎます。Citrix Gateway からのパススルーを無効にすると、Web サイトはユーザーに資格情報の入力を求めます。これらの資格情報は、Citrix Gateway を介してログオンするために使用された資格情報とは異なります。
- Citrix StoreFront 管理コンソールの左ペインで [Stores] ノードを選択します。
- 変更する ストア を選択します。
- [Actions] ペインで [Manage websites] をクリックします。
- [Authentication Methods] で、[Pass-through from Citrix Gateway] をオフにします。
-
[OK] をクリックします。
production.com ユーザーと資格情報を使用した Gateway へのログオン
テストするには、production.com ユーザーと資格情報を使用して Gateway にログオンします。
ログオン後、ユーザーは development.com の資格情報を入力するように求められます。
StoreFront での信頼済みドロップダウンリストの追加 (オプション)
この設定はオプションですが、ユーザーが誤って間違ったドメインを入力して Citrix Gateway を介して認証するのを防ぐのに役立つ場合があります。
両方のドメインでユーザー名が同じ場合、間違ったドメインを入力する可能性が高くなります。新規ユーザーは、Citrix Gateway を介してログオンするときにドメインを省略することに慣れている場合もあります。その後、ユーザーは Receiver for Web サイトへのログオンを求められたときに、2 番目のドメインの domain\username を入力するのを忘れる可能性があります。
- Citrix StoreFront 管理コンソールの左ペインで [Stores] を選択し、[Actions] ペインで [Manage Authentication Methods] をクリックします。
- [Username and password] の横にあるドロップダウン矢印を選択します。
-
[Add] をクリックして
development.comを信頼済みドメインとして追加し、[Show domains list in logon page] チェックボックスをオンにします。 - [OK] をクリックします。
注：
この認証シナリオでは、ブラウザのパスワードキャッシュは推奨されません。ユーザーが 2 つの異なるドメインアカウントで異なるパスワードを持っている場合、パスワードキャッシュはエクスペリエンスの低下につながる可能性があります。
NetScaler® セッションアクションポリシー
- Citrix Gateway セッションポリシー内で Web アプリケーションへのシングルサインオンが有効になっている場合、Web サイトで [Pass-through from Citrix Gateway] 認証方法を無効にしたため、Citrix Gateway から Web サイトに送信された誤った資格情報は無視されます。このオプションの設定に関係なく、Web サイトは資格情報の入力を求めます。
-
Citrix Gateway の [Client Experience] タブと [Published App] タブでシングルサインオンエントリを設定しても、この記事で説明されている動作は変更されません。
