アダプティブ認証を使用したスマートアクセスへの対応

最終公開日 : Oct 24, 2026
Citrix Cloud™ のお客様は、アダプティブ認証をクラウドストアへのIdPとして使用することで、Citrix DaaSリソース（仮想アプリおよびデスクトップ）またはSecure Private Accessサービスへのスマートアクセス（アダプティブアクセス）を提供できます。
スマートアクセス機能により、アダプティブ認証サービスはユーザーに関するすべてのポリシー情報をCitrix DaaSに提供できます。アダプティブ認証サービスは、デバイスの姿勢（EPA）、ネットワークロケーション（企業ネットワーク内または外、地理的位置）、ユーザーグループなどのユーザー属性、時刻、またはこれらのパラメーターの組み合わせをポリシー情報の一部として提供できます。Citrix DaaS管理者は、このポリシー情報を使用して、仮想アプリおよびデスクトップへのコンテキストアクセスを構成できます。仮想アプリおよびデスクトップは、以前のパラメーター（アクセスポリシー）に基づいて列挙される場合とされない場合があります。クリップボードアクセス、プリンターリダイレクト、クライアントドライブ、USBマッピングなどの一部のユーザーアクションも制御できます。
使用例：
  • 管理者は、企業ネットワークなどの特定のネットワークロケーションからのみ表示またはアクセスされるアプリのグループを構成できます。
  • 管理者は、企業が管理するデバイスからのみ表示またはアクセスされるアプリのグループを構成できます。たとえば、EPAスキャンは、デバイスが企業管理デバイスかBYODかをチェックできます。EPAスキャン結果に基づいて、関連するアプリをユーザーに列挙できます。
Related information
ポリシーを構成する

前提条件

  • クラウドストアの認証方法としてアダプティブ認証を構成します。詳細については、「アダプティブ認証サービス」を参照してください。
  • Citrix DaaSと連携するアダプティブ認証サービスが稼働していること。
  • アダプティブアクセス機能が有効になっていること。詳細については、「アダプティブアクセスを有効にする」を参照してください。

スマートアクセスのイベントフローを理解する

  1. ユーザーはクラウドストアにログインします。
  2. ユーザーは、IdPとして構成されたアダプティブ認証サービスにリダイレクトされます。
  3. ユーザーは事前認証（EPA）または認証を求められます。
  4. ユーザーは正常に認証されます。
  5. スマートアクセス ポリシーは構成に従って評価され、タグはユーザーセッションに関連付けられます。
  6. Adaptive Authentication サービスはタグを Citrix Graph サービスにプッシュします。ユーザーはストアのランディングページにリダイレクトされます。
  7. StoreFront Cloud はこのユーザーセッションのポリシー情報をフェッチし、フィルターに一致させ、列挙する必要があるアプリまたはデスクトップを評価します。
  8. 管理者は、ユーザーの ICA® アクセスを制限するために、Citrix DaaS でアクセス ポリシーを構成します。

Adaptive Authentication インスタンスでのスマートアクセス ポリシーの構成

Adaptive Authentication インスタンスでスマートアクセス ポリシーを構成するには、2つのステップがあります。
  1. Adaptive Authentication インスタンスでスマートアクセス タグを使用してスマートアクセス ポリシーを定義します。例については、「ステップ1」を参照してください。
  2. リソースアクセス用に、DaaS/Secure Private Access で同じタグを定義します。例については、「ステップ2」を参照してください。

ユースケース 1: Chrome ブラウザからログインするユーザーへのアクセスを許可し、クリップボードアクセスをブロックするスマートアクセス ポリシーを構成する

ステップ1: Adaptive Authentication インスタンスでスマートタグを使用してスマートアクセス ポリシーを構成する:
  1. Adaptive Authentication インスタンスにログインします。
  2. アダプティブ認証仮想サーバー (Security > AAA - Application Traffic > Virtual Servers) に移動します。
  3. 認証仮想サーバーを選択し、Edit をクリックします。
  4. Smart Access Policies をクリックします。
  5. 要件に応じてポリシーの式を定義します。
    1. Add Binding をクリックします。
    2. Select Policy で、Add をクリックします。
    3. スマートアクセスポリシーの名前を入力します。
    4. 式を定義します。
    Chromeブラウザからログインするユーザーへのアクセスを許可する例として、式 HTTP.REQ.HEADER("User-Agent").CONTAINS("Chrome") を入力します。
    同様に、時間、ユーザーログイン、認証および承認グループ、その他のオプションに基づいて式を作成できます。
    ポリシー式
  6. 次に、スマートタグを作成し、これらのタグをスマートアクセスポリシーにバインドします。
    1. Action で、Add をクリックします。
    2. Name で、スマートアクセスプロファイルの名前を入力します。
    3. Tags でスマートアクセスタグを定義します。例として、TAG-CHROME。
    スマートアクセスタグ
    1. Create をクリックします。
    2. スマートアクセスポリシーを選択し、Add Binding をクリックします。
    3. このスマートアクセスタグを、以前に作成したスマートアクセスポリシーにバインドします。
    スマートアクセスタグをバインド
注:
Security >AAA - Application Traffic > Policies > Authentication > Advanced Policies > Smart Access > Policies からスマートアクセスポリシーを作成し、認証仮想サーバーにバインドすることもできます。
ステップ2：DaaS Studioでスマートアクセスタグを定義する:
  1. スマートタグ「TAG-CHROME」でポリシーを追加します。詳細については、「Citrix Studioでタグを定義する」を参照してください。

ユースケース2：認証後のEPA結果に基づいてスマートアクセスポリシーを構成する

ステップ1：Adaptive Authenticationインスタンスでスマートタグを使用してスマートアクセスポリシーを構成する:
エンドポイント分析などの条件に基づくスマートアクセスの場合、nFactorフローを構成し、EPAアクションを定義してから、デフォルトグループを追加します。
nFactorフローでEPAを要素として構成するには、「EPAを要素として構成する」を参照してください。
論理フロー:
  1. ユーザーはWebブラウザまたはCitrix WorkspaceアプリでストアURLを開きます。
  2. ユーザーは認証/EPAのためにAdaptive Authenticationにリダイレクトされます。
  3. エンドユーザーに対してエンドポイント分析が実行され、ユーザーを定義されたデフォルトグループに追加することで結果が保存されます。
  4. ユーザーは次の認証フローを求められます。
  5. スマートアクセスポリシーが評価され、ユーザーにスマートアクセスタグが割り当てられます。
設定:
アンチウイルスがインストールされているマシンからアクセスするユーザーは、準拠としてマークされ、フルアクセスが提供される必要があります。ただし、アンチウイルスがインストールされていないユーザーのマシンは、非準拠としてマークされ、制限付きアクセスが提供される必要があります。
  1. EPA 用の nFactor ポリシーを作成します。詳細については、EPA を要素として構成するを参照してください。
    nFactor フローでは、最初の要素がユーザー認証要素であることを確認してください。
  2. アンチウイルスが存在するかどうかを確認するために、EPA 式を選択します。
  3. EPA アクションでデフォルトグループを定義します。
    EPA アクションの作成
    EPA が正常に実行された場合、ユーザーはこのデフォルトグループに追加されます。
  4. 次に、スマートアクセスポリシーを作成します。
    1. Adaptive Authentication インスタンスにログインします。
    2. Adaptive Authentication 仮想サーバーに移動します (セキュリティ > AAA - アプリケーショントラフィック > 仮想サーバー)。
    3. Adaptive Authentication 仮想サーバーを選択し、編集をクリックします。
    4. スマートアクセスポリシーをクリックします。
    5. 次の式を使用して、2つのスマートアクセスポリシーを作成します。
      • AAA.USER.IS_MEMBER_OF (“Compliant”) - ユーザーの EPA 合格条件の場合
      • !AAA.USER.IS_MEMBER_OF (“Compliant”) – ユーザーのEPA失敗条件の場合
    6. これら両方のポリシーに対してスマートアクセスタグを定義します。
      例:
      • AAA.USER.IS_MEMBER_OF (“Compliant”) の場合、タグ名 SmartTag1 にタグ COMPLIANT を付けます
      • !AAA.USER.IS_MEMBER_OF (“Compliant”) の場合、タグ名 SmartTag2 にタグ NONCOMPLIANT を付けます
スマートアクセス用のEPAを条件とするアダプティブ認証インスタンスの設定が完了しました。
要件に応じてタグと式を設定できます。
EPAスマートアクセス
ステップ2: DaaS Studioでスマートアクセスタグを構成する:
スマートタグ「COMPLIANT」と「NONCOMPLIANT」を付けて、それぞれのデリバリーグループにポリシーを追加します。詳細については、Citrix Studioでタグを定義するを参照してください。

DaaS Studioでタグを定義する

ユーザーのアプリケーション列挙を制限するために、デリバリーグループでタグを定義します。
例: BranchOfficeユーザーは、すべてのアプリケーションを含むAdaptive Access Delivery groupからのアプリケーションを見る必要があります。 一方、WorkfromHomeユーザーはWFH Delivery Groupからのアプリケーションを見る必要があります。
  1. Citrix Cloudにサインインします。
  2. マイサービス > DaaSを選択します。
  3. 「管理」をクリックします。
  4. 要件に応じてデリバリーグループを作成します。詳細については、「デリバリーグループの作成」を参照してください。
  5. 作成したデリバリーグループを選択し、「デリバリーグループの編集」をクリックします。
    デリバリーグループの編集
  6. 「アクセスポリシー」をクリックします。
  7. Citrix Workspaceプラットフォーム内でアダプティブアクセスを使用しているお客様は、デリバリーグループのアクセスを内部ネットワークのみに制限するために、次の手順を実行します。
    1. デリバリーグループを右クリックし、「編集」を選択します。
    2. 左ペインでアクセスポリシーを選択します。
    3. 編集アイコンをクリックして、デフォルトのCitrix Gateway接続ポリシーを変更します。
    4. ポリシーの編集ページで、「次の条件を満たす接続」を選択し、「いずれかに一致」を選択してから、条件を追加します。
    デリバリーグループの編集
    在宅勤務ユーザーの場合は、それぞれのデリバリーコントローラーに次の値を入力します。
    ファーム: Workspace
    フィルター: LOCATION_TAG_HOME
    支社ユーザーの場合は、それぞれのデリバリーコントローラーに次の値を入力します。
    フィルター: ワークスペース
    値: LOCATION_TAG_BRANCHOFFICE
これらのタグを使用して、アプリケーションへのアクセスを制限できるようになりました。

提供されたアプリケーションのアクセスタイプを制限する

例: 在宅勤務のユーザーはクリップボードの権限を持つべきではありません。
  1. DaaS Studio で、ポリシーに移動し、ポリシーの作成をクリックします。
  2. ポリシーの作成ページで、アクセスを許可または禁止する設定を選択します。
  3. 選択をクリックします。
    アクセス設定
  4. 設定の編集ページで、許可または禁止をクリックし、保存をクリックします。
  5. 次へをクリックします。
  6. ポリシーの割り当て先ページで、アクセス制御を選択し、次へをクリックします。
    ポリシーの割り当て先
  7. 次の詳細でポリシーを定義します。
    • モード: - 許可
    • 接続タイプ: - Citrix Gatewayを使用
    • ファーム名: - Workspace
    • アクセス条件: LOCATION_TAG_HOME (すべて大文字)
    ファームとモード
  8. 次へをクリックし、ポリシーの名前を入力します。
  9. 完了をクリックします。
概要
これで、アクセスのテストの準備が整いました。

一般的なエラーのトラブルシューティング

  • 問題: 「Cannot Complete your Request」というメッセージが表示されます。
    解決策
    1. Adaptive Accessが有効になっていることを確認してください。詳細については、「Adaptive Accessを有効にする」を参照してください。
    2. 機能が有効になっていない場合は、Citrixサポートにお問い合わせください。
  • 問題: アプリまたはデスクトップが公開されていません。
    この問題は、スマートタグがAdaptive Authenticationからワークスペースにプッシュされていないか、DaaSまたはSecure Private Accessで受信されていない場合に発生する可能性があります。
    解決策:
    • スマートアクセスポリシーが適用されているか確認します。詳細については、<CTX138840を参照してください。
    • Citrix Adaptive Authenticationインスタンスがcas.citrix.comに接続できるか確認します。
    • スマートタグの詳細については、Adaptive Authenticationインスタンスを確認してください。
      • set audit syslogParamsコマンドで、すべてのインスタンスのlogLevelパラメータがALLに設定されていることを確認してください。
      • puttyを使用してAdaptive Authenticationプライマリインスタンスにログインします。
        shellと入力します
        cd /var/log
        cat ns.log | more or cat ns.log | grep -I “smartaccess”
    • これらで問題が解決しない場合は、Citrixサポートにお問い合わせください。

高可用性セットアップの構成変更

高可用性セットアップでは、以下のディレクトリでファイル同期が遅延する場合があります。その結果、Citrix ADM登録中に作成されたキーが時間通りに読み取られません。
  • /var/mastools/conf/agent.conf
  • /var/mastools/trust/.ssh/private.pem
  • /var/mastools/trust/.ssh/public.pem
ファイル同期の問題に対処するため、セカンダリでset cloudコマンドを再実行するには、次の手順を実行します。
> shell cat /var/mastools/conf/agent.conf
<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<mps_agent>
<uuid>temp_str</uuid>
<url>fuji.agent.adm.cloud.com</url>
<customerid>customer_id</customerid>
<instanceid>instance_id</instanceid>
<servicename>MAS</servicename>
<download_service_url>download.citrixnetworkapistaging.net</download_service_url>
<abdp_url>fuji.agent.adm.cloud.com</abdp_url>
<msg_router_url>fuji.agent.adm.cloud.com</msg_router_url>
</mps_agent> Done
> set cloud param -CustomerID customer_id -InstanceID instance_id -Deployment Production