オンプレミスのCitrix GatewayをIDプロバイダーとしてCitrix Cloud™に接続する

最終公開日 : Oct 24, 2026
Citrix Cloudは、オンプレミスのCitrix GatewayをIDプロバイダーとして使用し、ストアにサインインするエンドユーザーを認証することをサポートしています。
Citrix Gateway認証を使用すると、次のことが可能になります。
  • 既存のCitrix Gatewayを介してユーザー認証を継続し、オンプレミスのVirtual Apps and Desktops展開内のリソースにCitrix® StoreFront Cloudを介してアクセスできるようにします。
  • Citrix Gatewayの認証、承認、および監査 (AAA) 機能をStoreFront Cloudで使用します。
  • パススルー認証、スマートカード、セキュアトークン、条件付きアクセスポリシー、フェデレーションなどの機能を使用し、StoreFront Cloudを介してユーザーが必要なリソースにアクセスできるようにします。
ヒント:
Citrix Identity and Authenticationの概要教育コースで、サポートされているIDプロバイダーについて詳しく学びましょう。「Citrix Identity and Access Managementの計画」モジュールには、このIDプロバイダーをCitrix Cloudに接続し、StoreFront Cloudの認証を有効にする手順を説明する短いビデオが含まれています。

サポートされているバージョン

Citrix Gateway認証は、以下のオンプレミス製品バージョンでの使用がサポートされています。
  • Citrix Gateway 12.1 54.13 Advanced エディション以降
  • Citrix Gateway 13.0 41.20 Advanced エディション以降

前提条件

クラウドコネクタ

Citrix Cloud Connector™ソフトウェアをインストールするためのサーバーが少なくとも2台必要です。これらのサーバーは、以下の要件を満たしている必要があります。
  • (/ja-jp/citrix-cloud/citrix-cloud-resource-locations/citrix-cloud-connector/system-requirements.html)に記載されているシステム要件を満たしていること。
  • 他のCitrixコンポーネントがインストールされておらず、Active Directoryドメインコントローラーではなく、リソースロケーションインフラストラクチャにとって重要なマシンではないこと。
  • サイトが存在するドメインに参加していること。ユーザーが複数のドメインにあるサイトのアプリケーションにアクセスする場合、各ドメインに少なくとも2つのCloud Connectorをインストールする必要があります。
  • サイトに接続できるネットワークに接続されていること。
  • インターネットに接続されていること。詳細については、(/ja-jp/citrix-cloud/overview/requirements/internet-connectivity-requirements.html)を参照してください。
  • Citrix Cloudとの高可用性接続を確保するには、少なくとも2つのCloud Connectorが必要です。インストール後、Cloud ConnectorはCitrix Cloudがサイトを特定し、通信できるようにします。
Cloud Connectorのインストールについて詳しくは、(/ja-jp/citrix-cloud/citrix-cloud-resource-locations/citrix-cloud-connector/installation.html)を参照してください。

アクティブディレクトリ

Citrix Gateway認証を有効にする前に、次のタスクを実行します。
  • エンドユーザーがActive Directory (AD) にユーザーアカウントを持っていることを確認します。ADアカウントを持たないエンドユーザーは、ストアに正常にサインインできません。
  • エンドユーザーのADアカウントのユーザープロパティが入力されていることを確認します。Citrix Cloudは、エンドユーザーがサインインする際にユーザーコンテキストを確立するためにこれらのプロパティを必要とします。これらのプロパティが入力されていない場合、エンドユーザーはストアにサインインできません。これらのプロパティには以下が含まれます。
    • メールアドレス
    • 表示名
    • 共通名
    • SAMアカウント名
    • ユーザープリンシパル名
    • OID
    • SID
  • Active Directory (AD)をCitrix Cloudアカウントに接続します。このタスクでは、Cloud Connectorsセクションで説明されているように、準備したサーバーにCloud Connectorソフトウェアをインストールします。Cloud Connectorを使用すると、Citrix Cloudはオンプレミス環境と通信できます。手順については、Active DirectoryをCitrix Cloudに接続するを参照してください。
  • Citrix Gateway認証でフェデレーションを実行している場合は、ADユーザーをフェデレーションプロバイダーに同期します。Citrix Cloudでは、エンドユーザーが正常にサインインできるように、ADユーザー属性が必要です。

要件

Citrix Gatewayの高度なポリシー

Citrix Gateway認証では、従来のポリシーが非推奨になったため、オンプレミスGatewayで高度なポリシーを使用する必要があります。高度なポリシーは、IDプロバイダーチェーンなどのオプションを含む、Citrix Cloudの多要素認証（MFA）をサポートします。現在従来のポリシーを使用している場合は、Citrix CloudでCitrix Gateway認証を使用するために、新しい高度なポリシーを作成する必要があります。高度なポリシーを作成する際に、従来のポリシーのAction部分を再利用できます。

署名用証明書

エンドユーザーをStoreFront Cloudに認証するためにGatewayを構成する場合、GatewayはOpenID Connectプロバイダーとして機能します。Citrix CloudとGateway間のメッセージはOIDCプロトコルに準拠しており、トークンのデジタル署名が含まれます。したがって、これらのトークンに署名するための証明書を構成する必要があります。この証明書は、パブリック認証局（CA）から発行されたものである必要があります。プライベートCAによって発行された証明書の使用はサポートされていません。これは、Citrix CloudにプライベートルートCA証明書を提供する方法がないためです。そのため、信頼の証明書チェーンを確立できません。署名用に複数の証明書を構成した場合、これらのキーはメッセージごとにローテーションされます。
キーはvpn globalにバインドされている必要があります。これらのキーがないと、エンドユーザーはサインイン後にストアに正常にアクセスできません。

クロック同期

OIDCのデジタル署名されたメッセージにはタイムスタンプが含まれるため、GatewayはNTP時刻に同期されている必要があります。クロックが同期されていない場合、Citrix Cloudはトークンの有効性を確認する際に、トークンが古いと見なします。

タスクの概要

Citrix Gateway認証を設定するには、次のタスクを実行します。
  1. 「IDおよびアクセス管理」で、Gatewayへの接続の構成を開始します。この手順で、GatewayのクライアントID、シークレット、およびリダイレクトURLを生成します。
  2. Gatewayで、Citrix Cloudから生成された情報を使用してOAuth IdP詳細ポリシーを作成します。これにより、Citrix CloudはオンプレミスのGatewayに接続できるようになります。手順については、以下の記事を参照してください。
  3. 「StoreFront Cloud」で、エンドユーザー向けのCitrix Gateway認証を有効にします。

エンドユーザー向けのCitrix Gateway認証を有効にするには

  1. Citrix Cloudメニューから、［IDおよびアクセス管理］ を選択します。
  2. ［認証］ タブの ［Citrix Gateway］ で、省略記号メニューをクリックし、［接続］ を選択します。 Gateway authentication option with Connect menu highlighted
  3. オンプレミスのGatewayのFQDNを入力し、［検出］ をクリックします。 Gateway FQDN dialog with Detect command highlighted Citrix Cloudが正常に検出したら、［続行］ をクリックします。
  4. オンプレミスのGatewayとの接続を作成します。
    1. Citrix Cloudに表示されるクライアントID、シークレット、およびリダイレクトURLをコピーします。 Connection dialog with generated information また、この情報のコピーをダウンロードし、参照用にオフラインで安全に保存してください。この情報は、生成後はCitrix Cloudでは利用できません。
    2. Gatewayで、Citrix Cloudから取得したクライアントID、シークレット、およびリダイレクトURLを使用してOAuth IdP詳細ポリシーを作成します。手順については、以下の記事を参照してください。
    3. ［テストして完了］ をクリックします。Citrix Cloudは、Gatewayに到達可能であり、正しく構成されていることを確認します。
  5. ストアのCitrix Gateway認証を有効にする:
    1. Citrix Cloudメニューから、StoreFront Cloudを選択します。
    2. 認証タブから、Citrix Gatewayを選択します。
    3. エンドユーザーエクスペリエンスへの影響を理解していますを選択し、保存をクリックします。

トラブルシューティング

最初のステップとして、この記事の前提条件と要件のセクションを確認してください。オンプレミス環境に必要なすべてのコンポーネントがあり、必要なすべての構成が行われていることを確認してください。これらの項目のいずれかが不足しているか、誤って構成されている場合、Citrix Gatewayを使用したストア認証は機能しません。
Citrix CloudとオンプレミスGateway間の接続確立で問題が発生した場合は、次の項目を確認してください:
  • Gateway FQDNがインターネットから到達可能であること。
  • Citrix CloudにGateway FQDNを正しく入力していること。
  • OAuth IdPポリシーの-issuerパラメーターにGateway URLを正しく入力していること。例: -issuer https://GatewayFQDN.com。issuerパラメーターは大文字と小文字を区別します。
  • Citrix CloudからのクライアントID、シークレット、およびリダイレクトURLの値が、OAuth IdPポリシーのClient ID、Client Secret、Redirect URL、およびAudienceフィールドに正しく入力されていること。ポリシーのAudienceフィールドに正しいクライアントIDが入力されていることを確認してください。
  • OAuth IdP認証ポリシーが正しく構成されていること。手順については、次の記事を参照してください:
  • 認証ポリシーのバインドに記載されているように、ポリシーがAAA認証サーバーに正しくバインドされていることを確認してください。

グローバルカタログサーバー

ユーザーアカウントの詳細を取得するだけでなく、Gateway はユーザーのドメイン名、AD NETBIOS 名、およびルート AD ドメイン名を取得します。AD NETBIOS 名を取得するために、Gateway はユーザーアカウントが存在する AD を検索します。NETBIOS 名はグローバルカタログサーバーにはレプリケートされません。
AD 環境でグローバルカタログサーバーを使用している場合、これらのサーバーで構成された LDAP アクションは Citrix Cloud では機能しません。代わりに、LDAP アクションで個々の AD を構成する必要があります。複数のドメインまたはフォレストがある場合は、複数の LDAP ポリシーを構成できます。

Kerberos または IdP チェーンによるシングルサインオンのための AD 検索

エンドユーザーのサインインに Kerberos または SAML または OIDC プロトコルを使用する外部 ID プロバイダーを使用している場合は、AD ルックアップが構成されていることを確認してください。Gateway は、エンドユーザーの AD ユーザープロパティと AD 構成プロパティを取得するために AD ルックアップを必要とします。
認証がサードパーティサーバーによって処理される場合でも、LDAP ポリシーが構成されていることを確認してください。これらのポリシーを構成するには、次のタスクを実行して、既存のログインスキーマプロファイルに第2認証要素を追加します。
  1. Active Directory から属性とグループの抽出のみを実行する LDAP 認証サーバーを作成します。
  2. LDAP 高度認証ポリシーを作成します。
  3. 認証ポリシーラベルを作成します。
  4. プライマリ ID プロバイダーの後に、認証ポリシーラベルを次の要素として定義します。

LDAP を第2認証要素として追加するには

  1. LDAP 認証サーバーを作成します。
    1. システム > 認証 > 基本ポリシー > LDAP > サーバー > 追加 を選択します。
    2. 「Create Authentication LDAP Server」ページで、次の情報を入力します。
      • 「Choose Server Type」で、「LDAP」を選択します。
      • Name に、サーバーのわかりやすい名前を入力します。
      • Server IP を選択し、LDAPサーバーのIPアドレスを入力します。
      • Security Type で、必要なLDAPセキュリティの種類を選択します。
      • Server Type で、AD を選択します。
      • Authentication では、チェックボックスを選択しないでください。この認証サーバーは、認証ではなく、Active Directoryからユーザー属性とグループを抽出するためのものであるため、このチェックボックスはオフにする必要があります。
    3. Other Settings で、次の情報を入力します。
      • Server Logon Name Attribute に、UserPrincipalName を入力します。
      • Group Attribute で、memberOf を選択します。
      • Sub Attribute Name で、cn を選択します。
  2. LDAP高度認証ポリシーを作成します。
    1. 「セキュリティ > AAA - アプリケーショントラフィック > ポリシー > 認証 > 詳細ポリシー > ポリシー > 追加」を選択します。
    2. Create Authentication Policy ページで、次の情報を入力します。
      • Name に、ポリシーのわかりやすい名前を入力します。
      • Action Type で、LDAP を選択します。
      • Action で、以前に作成したLDAP認証サーバーを選択します。
      • 「Expression」に「TRUE」と入力します。
    3. 構成を保存するには、Create をクリックします。
  3. 認証ポリシーラベルを作成します。
    1. セキュリティ > AAA – アプリケーション トラフィック > ポリシー > 認証 > 高度なポリシー > ポリシーラベル > 追加を選択します。
    2. 「Name」に、認証ポリシーラベルのわかりやすい名前を入力します。
    3. Login Schema で、LSCHEMA_INT を選択します。
    4. 「Policy Binding」の下にある「Select Policy」で、以前作成したLDAP高度認証ポリシーを選択します。
    5. 「GoTo Expression」で「END」を選択します。
    6. 構成を完了するには、Bind をクリックします。
  4. プライマリIDプロバイダーの後に、LDAP認証ポリシーラベルを次の要素として定義します。
    1. システム > セキュリティ > AAA - アプリケーション トラフィック > 仮想サーバーを選択します。
    2. プライマリIDプロバイダーのバインディングを含む仮想サーバーを選択し、Edit を選択します。
    3. 「Advanced Authentication Policies」の下で、既存の「Authentication Policy」バインディングを選択します。
    4. プライマリIDプロバイダーのバインディングを選択し、Edit Binding を選択します。
    5. 「Policy Binding」ページで、「Select Next Factor」に、以前作成したLDAP認証ポリシーラベルを選択します。
    6. 設定を保存するには、バインドをクリックします。

多要素認証の既定のパスワード

エンドユーザーに多要素認証 (MFA) を使用する場合、Gateway は最後の要素のパスワードをシングルサインオンの既定のパスワードとして使用します。このパスワードは、エンドユーザーがストアにサインインするときに Citrix Cloud に送信されます。環境内で LDAP 認証の後に別の要素が続く場合、Citrix Cloud に送信される既定のパスワードとして LDAP パスワードを設定する必要があります。LDAP 要素に対応するログインスキーマで SSOCredentials を有効にします。

詳細情報

Citrix Tech Zone: 技術インサイト: 認証 - Gateway