シトリックス ゲートウェイからのパススルー
ストアへのリモートアクセスにCitrix Gatewayを使用する場合、通常、ユーザーはまずゲートウェイで認証するように構成されています。StoreFrontがユーザーを再認証する必要がないように、Citrix Gatewayからのパススルー認証を有効にできます。これには3つのバリエーションがあります。
- ゲートウェイはActive Directoryのユーザー名とパスワードをStoreFrontに渡し、StoreFrontはそれらを使用してユーザーを認証します。
- ゲートウェイはActive Directoryのユーザー名をStoreFrontに渡しますが、パスワードは渡しません。StoreFrontはゲートウェイを信頼するように構成されており、ユーザーを認証しません。
- ゲートウェイはEntra IDアクセストークンをStoreFrontに渡します。StoreFrontはゲートウェイを信頼するように構成されており、ユーザーを認証しません。StoreFrontはMicrosoft Graph APIを使用してユーザー情報を検索します。
ストアへのリモートアクセスを初めて構成するときに、Citrix Gatewayからのパススルー認証方法が自動的に有効になります。Citrix Gateway経由でアクセスするためのStoreFrontの構成の詳細については、「Citrix Gatewayの構成」を参照してください。
サポートされているCitrix Gateway認証方法
StoreFrontは、以下のCitrix Gateway認証方法でのパススルーをサポートしています。
- ドメイン ユーザーはActive Directoryのユーザー名とパスワードを使用してログオンします。
- RSA ユーザーは、セキュリティトークンによって生成されたトークンコードと、場合によっては個人識別番号を組み合わせて生成されたパスコードを使用してログオンします。セキュリティトークンのみによるパススルー認証を有効にする場合は、提供するリソースが、ユーザーのMicrosoft Active Directoryドメイン資格情報などの追加または代替の認証形式を必要としないことを確認してください。
- スマートカード ユーザーは、Active Directoryアカウントにリンクされたスマートカードを使用してログオンします。
- RSA + ドメイン ユーザーは、ドメイン資格情報とセキュリティトークンのパスコードの両方を使用してログオンします。
-
SAML ユーザーは、SAML経由でログオンするためにサードパーティのIdPにリダイレクトされます。SAMLアサーションには、ユーザーのActive DirectoryアカウントのUPNを含める必要があります。詳細については、「SAML SPとしてのNetScaler」を参照してください。
- Entra IDでSAMLを構成するには、「SAML IdPとしてのMicrosoft Entra IDとSAML SPとしてのNetScalerの構成」を参照してください。ユーザーはハイブリッドIDを持っている必要があります。StoreFrontは、SAMLを使用する場合、純粋なEntra ID IDをサポートしていません。
- Entra IDによるOIDC ユーザーは認証のためにMicrosoft Entra IDにリダイレクトされます。ユーザーは純粋なEntra IDであるか、ハイブリッドIDを持つことができます。詳細については、「OIDCを使用したEntra ID認証」を参照してください。
パススルーを実現するには、セッションプロファイルでWebアプリケーションへのシングルサインオンを選択する必要があります。この設定を無効にしている場合、または認証にゲートウェイを使用していない場合は、Citrix Gatewayからのパススルー認証は使用されず、他のStoreFront認証方法のいずれかを構成する必要があります。
二重ソース認証
Citrix Workspaceアプリ内からストアにアクセスするリモートユーザー向けにCitrix Gatewayへの二重ソース認証を構成する場合、Citrix Gatewayで2つの認証ポリシーを作成する必要があります。RADIUS (Remote Authentication Dial-In User Service) をプライマリ認証方法として、LDAP (Lightweight Directory Access Protocol) をセカンダリ認証方法として構成します。セッションプロファイルで資格情報インデックスを変更してセカンダリ認証方法を使用し、LDAP資格情報がStoreFrontに渡されるようにします。Citrix GatewayアプライアンスをStoreFront構成に追加する際は、ログオンタイプを「ドメインとセキュリティトークン」に設定します。詳細については、http://support.citrix.com/article/CTX125364を参照してください。
マルチドメイン認証
Citrix Gatewayを介したStoreFrontへのマルチドメイン認証を有効にするには、各ドメインのCitrix Gateway LDAP認証ポリシーでSSO名属性をuserPrincipalNameに設定します。ユーザーにCitrix Gatewayログオンページでドメインを指定させることで、使用する適切なLDAPポリシーを決定できます。StoreFrontへの接続用にCitrix Gatewayセッションプロファイルを構成する際は、シングルサインオンドメインを指定しないでください。各ドメイン間に信頼関係を構成する必要があります。明示的に信頼されたドメインのみにアクセスを制限しないことで、ユーザーが任意のドメインからStoreFrontにログオンできるようにしてください。
Gatewayパススルーを有効にする
Workspaceアプリを介して接続する際にストアのゲートウェイパススルー認証を有効または無効にするには、認証方法ウィンドウでCitrix Gatewayからのパススルーをオンまたはオフにします。
ストアのCitrix Gatewayパススルー認証を有効にすると、デフォルトでそのストアのすべてのWebサイトでも有効になります。認証方法タブで、特定のWebサイトのユーザー名とパスワード認証を無効にできます。
信頼されたユーザー ドメインを構成する
Citrix GatewayがLDAP認証を使用するように構成されている場合、特定のドメインへのアクセスを制限できます。
-
「認証方法の管理」ウィンドウで、Citrix Gatewayからのパススルー > 設定ドロップダウンメニューから、信頼されたドメインの構成を選択します。
-
信頼されたドメインのみを選択し、追加をクリックして信頼されたドメインの名前を入力します。そのドメインにアカウントを持つユーザーは、認証サービスを使用するすべてのストアにログオンできます。ドメイン名を変更するには、信頼されたドメインリストのエントリを選択し、編集をクリックします。ドメイン内のユーザーアカウントのストアへのアクセスを停止するには、リスト内のドメインを選択し、削除をクリックします。
ドメイン名を指定する方法によって、ユーザーが資格情報を入力する必要がある形式が決まります。ユーザーにドメインユーザー名形式で資格情報を入力させたい場合は、NetBIOS名をリストに追加します。ユーザーにユーザープリンシパル名形式で資格情報を入力させる場合は、完全修飾ドメイン名をリストに追加します。ユーザーがドメインユーザー名形式とユーザープリンシパル名形式の両方で資格情報を入力できるようにしたい場合は、NetBIOS名と完全修飾ドメイン名の両方をリストに追加する必要があります。
-
複数の信頼されたドメインを構成する場合、ユーザーがログオンする際にデフォルトで選択されるドメインを「デフォルトドメイン」リストから選択します。
-
ログオンページに信頼されたドメインを一覧表示したい場合は、「ログオンページにドメインリストを表示」チェックボックスをオンにします。
信頼済みドメイン画面のスクリーンショット(/ja-jp/storefront/current-release/media/stores/authentication/authentication-trusted-domain.png)
委任による認証
デフォルトでは、StoreFrontはCitrix Gatewayから受信したユーザー名とパスワードを検証します。Citrix GatewayがSAMLやスマートカードを使用している場合など、LDAPを介してActive Directoryの資格情報を使用しない場合は、ゲートウェイによる検証を信頼するようにStoreFrontを構成する必要があります。この場合、StoreFrontがCitrix Gatewayからの要求であることを確認できるように、ゲートウェイを構成する際にコールバックURLを入力することが重要です。「Citrix Gatewayの管理」を参照してください。
-
認証方法の管理ウィンドウで、Citrix Gatewayからのパススルー > 設定ドロップダウンメニューから、委任認証の構成を選択します。
-
資格情報の検証をCitrix Gatewayに完全に委任するを選択します。
委任認証の構成ウィンドウのスクリーンショット(/ja-jp/storefront/current-release/media/stores/authentication/gateway-authentication-delegated.png)。
パワーシェル
PowerShellを使用してCitrix Gatewayに認証を委任するようにストアを構成するには、コマンドレットSet-STFCitrixAGBasicOptionsを実行します。
- 認証をゲートウェイに委任するには、
CredentialValidationModeをAutoに設定します。 - StoreFrontが資格情報を検証するようにするには、
CredentialValidationModeをPasswordに設定します。
パスワードの検証
StoreFrontが資格情報を自身で検証するか、デリバリーコントローラーに資格情報の検証を要求するかを選択できます。詳しくは、「ユーザー名とパスワード認証 - パスワードの検証」を参照してください。
資格情報の検証をCitrix Gatewayに完全に委任するが選択されている場合、Delivery Controllerを使用してパスワードを検証する設定は無効になります。この場合、StoreFrontはActive Directoryでユーザーを検索できる必要があるため、StoreFrontサーバーのドメインは常にユーザーのドメインとの信頼関係を持っている必要があります。
ユーザーがログオン時に期限切れのパスワードを変更できるようにする
Citrix GatewayがLDAP（ユーザー名とパスワード）認証を使用するように構成されている場合、NetScalerを構成して、ログオン時に期限切れのパスワードを変更できるようにすることができます。
- NetScaler® 管理ウェブサイトにログインします。
- サイドメニューで、認証 > ダッシュボード に移動します。
- 認証サーバーをクリックします。
- その他の設定で、パスワード変更を許可にチェックを入れます。
ログオン後にユーザーがパスワードを変更できるようにする
ユーザーがログオン後にパスワードを変更できるようにStoreFrontを構成できます。この機能は、ゲートウェイがLDAP認証を使用し、ユーザーがローカルにインストールされたCitrix Workspaceアプリではなくブラウザを介してストアにアクセスする場合にのみ利用可能です。
デフォルトのStoreFront構成では、パスワードの有効期限が切れていても、ユーザーがパスワードを変更することはできません。この機能を有効にすることを決定した場合は、サーバーを含むドメインのポリシーがユーザーのパスワード変更を妨げないことを確認してください。ユーザーがパスワードを変更できるようにすると、認証サービスを使用するストアにアクセスできるすべてのユーザーに機密性の高いセキュリティ機能が公開されます。組織に、ユーザーのパスワード変更機能を内部使用のみに限定するセキュリティポリシーがある場合は、どのストアも社内ネットワークの外部からアクセスできないようにしてください。
-
認証方法の管理ウィンドウで、Citrix Gatewayからのパススルー > 設定ドロップダウンメニューから、パスワードオプションの管理を選択します。
-
ユーザーがパスワードを変更できるようにするには、ユーザーがパスワードを変更できるようにするチェックボックスをオンにします。
注：
ユーザーがパスワードを変更できるようにするを選択またはクリアすると、ユーザー名とパスワード認証のパスワードオプションの管理の下の設定にも影響します。
パワーシェル
PowerShellを使用してパスワード変更オプションを変更するには、コマンドレットSet-STFExplicitCommonOptionsを実行します。
デリバリーコントローラー™ がストアフロントを信頼するように構成する
Citrix GatewayがLDAP認証で構成されている場合、資格情報をStoreFrontに渡します。他の認証方法の場合、StoreFrontは資格情報にアクセスできないため、Citrix Virtual Apps and Desktopsに認証できません。したがって、StoreFrontからの要求を信頼するようにDelivery Controllerを構成する必要があります。詳細については、「Citrix Virtual Apps and Desktopsのセキュリティに関する考慮事項とベストプラクティス」(/ja-jp/citrix-virtual-apps-desktops/secure/best-practices.html#xml-trust)を参照してください。
OIDC を使用した エントラ ID
ゲートウェイをOIDCを使用したEntra ID認証用に構成している場合、NetScalerゲートウェイから提供されるアクセストークンを読み取り、Microsoft Graph APIでユーザー情報を検索するようにStoreFrontを構成する必要があります。
- [認証方法の管理] ウィンドウで、[Citrix Gatewayからのパススルー] > [設定] ドロップダウンメニューから [パスワードオプションの管理] を選択します。
- [有効] を選択します。
- [EntraテナントID] を入力します。
- オプションで [Graph API URL] を入力します。指定しない場合、
https://graph.microsoft.com/v1.0が使用されます。
パワーシェル
以下のPowerShellを実行し、テナントIDをEntra IDテナントのIDに、/Citrix/EntraStoreをストアパスに置き換えます。
$store = Get-STFStoreService /Citrix/EntraStore
$authenticationService = Get-STFAuthenticationService -Store $store
Set-STFEntraIdSettings -AuthenticationService $authenticationService -TenantId "<Your tenant id>" -Enabled $true
<!--NeedCopy-->
VDAへのシングルサインオン
アクティブディレクトリ資格情報の使用
ユーザーがLDAP認証を使用してゲートウェイで認証すると、ゲートウェイは資格情報をStoreFrontに渡し、VDAへの認証を行い、シングルサインオンを提供します。これには追加の構成は必要ありません。
フェデレーション認証サービスの使用
ユーザーがLDAP以外の認証方法を使用してゲートウェイで認証する場合、StoreFrontはユーザーの資格情報にアクセスできないため、シングルサインオンはデフォルトでは利用できません。フェデレーション認証サービスを構成してシングルサインオンを提供できます。
エントラ ID の使用
Citrix Gateway を Entra ID 認証を使用するように構成している場合、Entra ID シングルサインオンを有効にできます。この機能には StoreFront 2603 以降が必要です。詳細については、「VDA Entra ID シングルサインオンの構成」を参照してください。