オンプレミスのCitrix GatewayをIDプロバイダーとして接続する

最終公開日 : Oct 07, 2026
Citrix Cloud™ Japanは、オンプレミスのCitrix GatewayをIDプロバイダーとして使用し、ワークスペースにサインインするサブスクライバーを認証することをサポートしています。
Citrix Gateway認証を使用すると、次のことが可能になります。
  • 既存のCitrix Gatewayを介してユーザー認証を継続し、オンプレミスのVirtual Apps and Desktops展開内のリソースにCitrix Workspace経由でアクセスできるようにします。
  • Citrix WorkspaceでCitrix Gatewayの認証、承認、および監査 (AAA) 機能を使用します。
  • パススルー認証、スマートカード、セキュアトークン、条件付きアクセスポリシー、フェデレーションなど、さまざまな機能を使用しながら、Citrix Workspaceを介してユーザーが必要なリソースにアクセスできるようにします。
ヒント:
サポートされているIDプロバイダーの詳細については、Citrix Identity and Authenticationの概要教育コースをご覧ください。「Citrix Identity and Access Managementの計画」モジュールには、このIDプロバイダーをCitrix Cloud Japanに接続し、Citrix Workspaceの認証を有効にする方法を説明する短いビデオが含まれています。
Related information
ID およびアクセス管理

サポートされているバージョン

Citrix Gateway認証は、以下のオンプレミス製品バージョンでの使用がサポートされています。
  • Citrix Gateway 12.1 54.13 Advanced エディション以降
  • Citrix Gateway 13.0 41.20 Advanced エディション以降

前提条件

クラウドコネクタ

Citrix Cloud Connector™ソフトウェアをインストールするには、少なくとも2台のサーバーが必要です。これらのサーバーは、以下の要件を満たしている必要があります。
  • 「Cloud Connector requirements」に記載されているシステム要件を満たしていること。
  • 他のCitrixコンポーネントがインストールされておらず、Active Directoryドメインコントローラーではなく、リソースロケーションインフラストラクチャにとって重要なマシンではないこと。
  • サイトが存在するドメインに参加していること。ユーザーが複数のドメインにあるサイトのアプリケーションにアクセスする場合、各ドメインに少なくとも2つのCloud Connectorをインストールする必要があります。
  • サイトに接続できるネットワークに接続されていること。
  • インターネットに接続されていること。詳細については、「Service connectivity requirements」を参照してください。
  • Citrixでは、Cloud Connectorの高可用性のために2台のサーバーを推奨しています。インストール後、Cloud ConnectorはCitrix Cloud Japanがサイトを特定し、通信できるようにします。
Cloud Connectorのインストールに関する詳細については、以下の記事を参照してください。

Active Directory (アクティブディレクトリ)

Citrix Gateway認証を有効にする前に、以下のタスクを実行してください。
  • ワークスペースのサブスクライバーがActive Directory (AD) にユーザーアカウントを持っていることを確認してください。ADアカウントを持たないサブスクライバーは、ワークスペースに正常にサインインできません。
  • サブスクライバーのADアカウントのユーザープロパティが入力されていることを確認してください。Citrix Cloud Japanは、サブスクライバーがサインインする際にユーザーコンテキストを確立するためにこれらのプロパティを必要とします。これらのプロパティが入力されていない場合、サブスクライバーはワークスペースにサインインできません。これらのプロパティには以下が含まれます。
    • メールアドレス
    • 表示名
    • 共通名
    • SAMアカウント名
    • ユーザープリンシパル名
    • OID
    • SID
  • Active Directory (AD) を Citrix Cloud Japan アカウントに接続します。このタスクでは、Cloud Connectors セクションで説明されているように、準備したサーバーに Cloud Connector ソフトウェアをインストールします。Cloud Connector は、Citrix Cloud Japan がオンプレミス環境と通信できるようにします。手順については、Active Directory を Citrix Cloud Japan に接続する を参照してください。
  • Citrix Gateway 認証でフェデレーションを実行している場合は、AD ユーザーをフェデレーションプロバイダーに同期します。Citrix Cloud Japan は、ワークスペースのサブスクライバーが正常にサインインできるように、AD ユーザー属性を必要とします。

要件

Citrix Gateway の高度なポリシー

クラシックポリシーの廃止に伴い、Citrix Gateway 認証ではオンプレミス Gateway で高度なポリシーを使用する必要があります。高度なポリシーは、ID プロバイダーチェーンなどのオプションを含め、Citrix Cloud Japan の多要素認証をサポートします。現在クラシックポリシーを使用している場合は、Citrix Cloud Japan で Citrix Gateway 認証を使用するために、新しい高度なポリシーを作成する必要があります。高度なポリシーを作成する際に、クラシックポリシーの「アクション」部分を再利用できます。

署名用証明書

Citrix Workspace のサブスクライバーを認証するために Gateway を構成する場合、Gateway は OpenID Connect プロバイダーとして機能します。Citrix Cloud Japan と Gateway 間のメッセージは OIDC プロトコルに準拠しており、トークンのデジタル署名が含まれます。したがって、これらのトークンに署名するための証明書を構成する必要があります。この証明書は、公開認証局 (CA) から発行されたものである必要があります。プライベート CA によって発行された証明書の使用はサポートされていません。Citrix Cloud Japan にプライベート ルート CA 証明書を提供する方法がないためです。そのため、信頼の証明書チェーンを確立できません。署名用に複数の証明書を構成した場合、これらのキーはメッセージごとにローテーションされます。
キーは vpn global にバインドされている必要があります。これらのキーがないと、サブスクライバーはサインイン後にワークスペースに正常にアクセスできません。

クロック同期

OIDC のデジタル署名されたメッセージにはタイムスタンプが含まれているため、Gateway は NTP 時刻に同期されている必要があります。クロックが同期されていない場合、Citrix Cloud Japan はトークンの有効性を確認する際に、トークンが古くなっていると見なします。

タスクの概要

Citrix Gateway認証を設定するには、次のタスクを実行します。
  1. で、Gatewayへの接続の構成を開始します。この手順で、GatewayのクライアントID、シークレット、およびリダイレクトURLを生成します。
  2. Gatewayで、Citrix Cloud Japanから生成された情報を使用してOAuth IdP詳細ポリシーを作成します。これにより、Citrix Cloud JapanがオンプレミスのGatewayに接続できるようになります。手順については、次の記事を参照してください。
  3. で、サブスクライバーのCitrix Gateway認証を有効にします。

Citrix Gateway認証を構成する

  1. Citrix Cloud Japanメニューから、 を選択します。
  2. Authentication タブの Citrix Gateway で、省略記号メニューをクリックし、接続 を選択します。 (/en-us/citrix-cloud-japan/media/id-access-mgmt-ad-gateway-connect-menu.png)
  3. オンプレミスのGatewayのFQDNを入力し、検出 をクリックします。 (/en-us/citrix-cloud-japan/media/workspace-gateway-idp-detect-fqdn.png) Citrix Cloud Japanが正常に検出したら、続行 をクリックします。
  4. オンプレミスのGatewayとの接続を作成します。
    1. Citrix Cloud Japanに表示されるクライアントID、シークレット、およびリダイレクトURLをコピーします。 (/en-us/citrix-cloud-japan/media/workspace-gateway-idp-connect-info.png) また、この情報のコピーをダウンロードし、参照用にオフラインで安全に保存してください。この情報は、生成後はCitrix Cloud Japanでは利用できません。
    2. Gatewayで、Citrix Cloud JapanのクライアントID、シークレット、およびリダイレクトURLを使用してOAuth IdP詳細ポリシーを作成します。手順については、次の記事を参照してください。
    3. Test and Finishをクリックします。Citrix Cloud Japanは、Gatewayに到達可能で正しく構成されていることを確認します。

ワークスペースサブスクライバーのCitrix Gateway認証を有効にする

  1. Citrix Cloud Japanメニューから、Workspace Configurationを選択します。
  2. Authenticationタブから、Citrix Gatewayを選択します。
  3. I understand the impact on subscriber experienceを選択し、Saveをクリックします。

トラブルシューティング

まず、この記事の前提条件と要件のセクションを確認してください。オンプレミス環境に必要なすべてのコンポーネントがあり、必要なすべての構成が行われていることを確認してください。これらの項目のいずれかが不足しているか、誤って構成されている場合、Citrix Gatewayによるワークスペース認証は機能しません。
Citrix Cloud JapanとオンプレミスGateway間の接続確立で問題が発生した場合は、次の項目を確認してください。
  • Gateway FQDNがインターネットから到達可能であること。
  • Citrix Cloud JapanにGateway FQDNを正しく入力していること。
  • OAuth IdPポリシーの-issuerパラメーターにGateway URLを正しく入力していること（例: -issuer https://GatewayFQDN.com）。issuerパラメーターは大文字と小文字を区別します。
  • Citrix Cloud JapanからのクライアントID、シークレット、およびリダイレクトURLの値が、OAuth IdPポリシーのClient ID、Client Secret、Redirect URL、およびAudienceフィールドに正しく入力されていること。ポリシーのAudienceフィールドに正しいクライアントIDが入力されていることを確認してください。
  • OAuth IdP認証ポリシーが正しく構成されていること。手順については、以下の記事を参照してください。
  • ポリシーが認証ポリシーのバインドで説明されているように、AAA認証サーバーに正しくバインドされていることを確認します。

グローバルカタログサーバー

ユーザーアカウントの詳細を取得するだけでなく、Gatewayはユーザーのドメイン名、AD NETBIOS名、およびルートADドメイン名を取得します。AD NETBIOS名を取得するために、Gatewayはユーザーアカウントが存在するADを検索します。NETBIOS名はグローバルカタログサーバーにはレプリケートされません。
AD環境でグローバルカタログサーバーを使用している場合、これらのサーバーで構成されたLDAPアクションはCitrix Cloud Japanでは機能しません。代わりに、LDAPアクションで個々のADを構成する必要があります。複数のドメインまたはフォレストがある場合は、複数のLDAPポリシーを構成できます。

KerberosまたはIdPチェイニングによるシングルサインオンのためのAD検索

サブスクライバーのサインインにKerberosまたはSAMLまたはOIDCプロトコルを使用する外部IDプロバイダーを使用している場合は、ADルックアップが構成されていることを確認してください。Gatewayは、サブスクライバーのADユーザープロパティとAD構成プロパティを取得するためにADルックアップを必要とします。
認証がサードパーティサーバーによって処理される場合でも、LDAPポリシーが構成されていることを確認してください。これらのポリシーを構成するには、次のタスクを実行して、既存のログインスキーマプロファイルに第2認証要素を追加します。
  1. Active Directoryから属性とグループの抽出のみを実行するLDAP認証サーバーを作成します。
  2. LDAP高度認証ポリシーを作成します。
  3. 認証ポリシーラベルを作成します。
  4. プライマリIDプロバイダーの後に、認証ポリシーラベルを次の要素として定義します。

LDAPを第2認証要素として追加するには

  1. LDAP認証サーバーを作成します。
    1. システム > 認証 > 基本ポリシー > LDAP > サーバー > 追加 を選択します。
    2. 「認証LDAPサーバーの作成」ページで、次の情報を入力します。
      • 「サーバータイプの選択」で、「LDAP」を選択します。
      • 「名前」に、サーバーのわかりやすい名前を入力します。
      • 「サーバーIP」を選択し、LDAPサーバーのIPアドレスを入力します。
      • 「セキュリティタイプ」で、必要なLDAPセキュリティタイプを選択します。
      • 「サーバータイプ」で、「AD」を選択します。
      • 「認証」で、チェックボックスを選択しないでください。この認証サーバーは、認証ではなく、Active Directoryからユーザー属性とグループを抽出するためだけに使用されるため、このチェックボックスはオフにする必要があります。
    3. 「その他の設定」で、次の情報を入力します。
      • 「サーバーログオン名属性」に、「UserPrincipalName」と入力します。
      • 「グループ属性」で、「memberOf」を選択します。
      • 「サブ属性名」で、「cn」を選択します。
  2. LDAP高度認証ポリシーを作成します。
    1. セキュリティ > AAA - アプリケーショントラフィック > ポリシー > 認証 > 高度なポリシー > ポリシー > 追加を選択します。
    2. 「認証ポリシーの作成」ページで、次の情報を入力します。
      • 「名前」に、ポリシーのわかりやすい名前を入力します。
      • で、 を選択します。
      • で、以前に作成したLDAP認証サーバーを選択します。
      • に「TRUE」と入力します。
    3. をクリックして構成を保存します。
  3. 認証ポリシーラベルを作成します。
    1. > > > > > > の順に選択します。
    2. に、認証ポリシーラベルのわかりやすい名前を入力します。
    3. ログインスキーマで、LSCHEMA_INT を選択します。
    4. の で、以前に作成したLDAP高度認証ポリシーを選択します。
    5. で、 を選択します。
    6. をクリックして構成を完了します。
  4. LDAP認証ポリシーラベルを、プライマリIDプロバイダーの次の要素として定義します。
    1. > > > の順に選択します。
    2. プライマリIDプロバイダーのバインドを含む仮想サーバーを選択し、 を選択します。
    3. で、既存の**** バインドを選択します。
    4. プライマリIDプロバイダーのバインディングを選択し、バインディングの編集を選択します。
    5. ポリシーバインディングページで、次の要素の選択から、以前作成したLDAP認証ポリシーラベルを選択します。
    6. 設定を保存するには、バインドをクリックします。

多要素認証のデフォルトパスワード

ワークスペースのサブスクライバーに多要素認証を使用する場合、Gatewayは最後の要素のパスワードをシングルサインオンのデフォルトパスワードとして使用します。このパスワードは、サブスクライバーがワークスペースにサインインするときにCitrix Cloud Japanに送信されます。環境でLDAP認証の後に別の要素が続く場合は、LDAPパスワードをCitrix Cloud Japanに送信されるデフォルトパスワードとして構成する必要があります。LDAP要素に対応するログインスキーマでSSOCredentialsを有効にします。