管理者グループを管理する

最終公開日 : Oct 24, 2026
Active Directory、Microsoft Entra ID (ME-ID)、またはGoogle Cloud Identityのグループを使用して、Citrix Cloud™アカウントに管理者を追加できます。その後、グループ内のすべての管理者のサービスアクセス権限を管理できます。
Related information
IDとアクセス管理

ADの前提条件

Citrix CloudはSAML 2.0を介したADグループ認証をサポートしています。AD管理者グループのメンバーをCitrix Cloudに追加する前に、Citrix CloudとSAMLプロバイダー間の接続を構成する必要があります。詳細については、「SAMLをCitrix CloudのIDプロバイダーとして接続する」を参照してください。
Citrix CloudにSAML接続がすでにある場合は、AD管理者グループを追加する前に、SAMLプロバイダーをCitrix Cloudに再接続する必要があります。SAMLを再接続しないと、AD管理者グループの追加が失敗する可能性があります。詳細については、「管理者認証に既存のSAML接続を使用する」を参照してください。

Microsoft Entra IDの前提条件

Microsoft Entra IDグループ認証を使用するには、Microsoft Entra IDをCitrix Cloudに接続するためのMicrosoft Entra IDアプリケーションの最新バージョンが必要です。Citrix Cloudは、Microsoft Entra IDを初めて接続したときにこのアプリケーションを取得しました。2019年5月より前にMicrosoft Entra IDをCitrix Cloudに接続した場合、Citrix CloudはMicrosoft Entra IDへの接続に最新のアプリケーションを使用していない可能性があります。アカウントが最新のアプリケーションを使用していない場合、Citrix CloudはMicrosoft Entra IDグループを表示できません。
Citrix CloudでMicrosoft Entra IDグループを使用する前に、次のタスクを実行してください。
  1. Microsoft Entra ID接続に最新のアプリケーションを使用していることを確認します。最新のアプリケーションを使用していない場合、Citrix Cloudは通知を表示します。
  2. アプリケーションを更新する必要がある場合は、Microsoft Entra IDをCitrix Cloudに再接続します。Microsoft Entra IDに再接続することで、Citrix Cloudにアプリケーションレベルの読み取り専用権限を付与し、Citrix Cloudがユーザーに代わってMicrosoft Entra IDに再接続できるようにします。再接続中に、これらの権限のリストが表示され、確認できます。Citrix Cloudが要求する権限の詳細については、「Citrix CloudのMicrosoft Entra ID権限」を参照してください。
    重要:
    このタスクを完了するには、Microsoft Entra IDのグローバル管理者である必要があります。また、Citrix IDプロバイダーのフルアクセス管理者アカウントを使用してCitrix Cloudにサインインしている必要があります。Microsoft Entra IDの資格情報でサインインすると、再接続は失敗します。Citrix IDプロバイダーを使用している管理者がいない場合は、このタスクを実行するために一時的に追加し、後で削除できます。

Microsoft Entra IDへの接続を確認するには

  1. Citrix IDプロバイダーのフルアクセス管理者アカウントを使用してCitrix Cloudにサインインします。
  2. Citrix Cloudメニューから、 を選択し、次に を選択します。
  3. 「Microsoft Entra ID」を見つけます。Citrix CloudがMicrosoft Entra ID接続用のアプリケーションを更新する必要がある場合、通知が表示されます。
    Citrix CloudコンソールでのMicrosoft Entra IDへの再接続プロンプト(/en-us/citrix-cloud/media/iam-aad-reconnect-message.png)
    Citrix Cloudがすでに最新のアプリケーションを使用している場合、通知は表示されません。

Microsoft Entra IDに再接続するには

  1. Citrix CloudコンソールのMicrosoft Entra ID通知から、「再接続」リンクをクリックします。要求されたAzure権限のリストが表示されます。
  2. 権限を確認し、「承認」を選択します。

グーグル クラウド アイデンティティ

Citrix Cloudは、Google Cloud Identityを介した管理者グループ認証をサポートしています。管理者グループをCitrix Cloudに追加する前に、Citrix CloudとGoogle Cloud Identity間の接続を構成する必要があります。詳細については、「Google Cloud IdentityをCitrix CloudのIDプロバイダーとして接続する」を参照してください。

サポートされている権限

サポートされている権限の説明については、こちらを参照してください。「コンソール権限」。

制限事項

通知機能のカスタムアクセス権限は、管理者グループのメンバーには利用できません。
次の画像に示すように、通知連絡先管理の下でグループのメンバーの通知連絡先を追加できます。
Citrix CloudコンソールでのMicrosoft Entra IDへの再接続プロンプト(/en-us/citrix-cloud/media/notifications-contact-settings.png)
Quick Deployユーザー割り当てなど、Citrix Cloudプラットフォームの機能に依存するCitrix DaaS™機能は利用できません。
すでにサインインしている管理者グループメンバーの権限変更は、サインアウトして再度サインインした後にのみ有効になります。

Citrix®、AD、Microsoft Entra ID、およびGoogle CloudのIDを持つ管理者の結果的な権限

管理者がCitrix Cloudにサインインする際、Citrix ID（Citrix CloudのデフォルトのIDプロバイダー）と、AD、Microsoft Entra ID、またはGoogle Cloud Identityを介したシングルユーザーまたはグループベースのIDの両方を持っている場合、特定の権限のみが利用可能になることがあります。このセクションの表は、これらのIDの各組み合わせで利用可能な権限について説明しています。
シングルユーザーID とは、個々のアカウントを通じて管理者に付与されるAD、Microsoft Entra ID、またはGoogle Cloud Identityの権限を指します。グループベースID とは、グループのメンバーとして付与されるAD、Microsoft Entra ID、またはGoogle Cloud Identityの権限を指します。
シトリックス ID シングルユーザーADまたはMicrosoft Entra IDのID グループベースADまたはMicrosoft Entra IDのID シングルユーザーまたはグループベースのGoogle Cloud Identity 認証後に利用可能な権限
X X 管理者は、Citrix ID、AD ID、またはMicrosoft Entra IDのいずれかで認証が成功した後、両方のIDの累積的な権限を持ちます。
X X 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはMicrosoft Entra IDのいずれを使用して認証するかによって異なります。
X X 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはGoogle Cloud Identityのどちらを使用して認証するかによって異なります。
X X 管理者は、ADまたはMicrosoft Entra IDでCitrix Cloudに認証する際に、両方のIDの累積的な権限を持ちます。
X X 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはGoogle Cloud Identityのどちらを使用して認証するかによって異なります。
X X 各IDは独立したエンティティとして扱われます。利用可能な権限は、管理者がCitrix IDまたはGoogle Cloud Identityのどちらを使用して認証するかによって異なります。
X X X Citrix IDで認証する場合、管理者はCitrix IDとシングルユーザーのMicrosoft Entra IDの両方の累積的な権限を持ちます。Microsoft Entra IDで認証する場合、管理者は3つのIDすべての累積的な権限を持ちます。

管理者向けのサインインエクスペリエンス

Citrix Cloudにグループを追加し、サービス権限を定義すると、グループ内の管理者はCitrix Cloudサインインページで会社の資格情報でサインインを選択し、アカウントのサインインURL（例: https://citrix.cloud.com/go/mycompany）を入力するだけでサインインできます。個々の管理者を追加する場合とは異なり、グループ内の管理者は明示的に招待されないため、Citrix Cloud管理者になるための招待を承諾するメールは届きません。
サインイン後、管理者はサービスタイルから管理を選択して、サービスの管理コンソールにアクセスします。
Citrix DaaSタイル付きランチパッド
グループのメンバーとしてのみ権限を付与された管理者は、Citrix CloudアカウントのサインインURLを使用してCitrix Cloudアカウントにアクセスできます。
個別のアカウントを通じて、およびグループのメンバーとして権限を付与された管理者は、アクセスしたいCitrix Cloudアカウントを選択できます。管理者が複数のCitrix Cloudアカウントのメンバーである場合、認証に成功した後、顧客ピッカーからCitrix Cloudアカウントを選択できます。

既知の問題

Active Directoryでグループの名前を変更した後、新しい名前が表示されない場合があります。回避策として、Citrix Identity and Access Managementで古いグループを削除し、名前が変更されたグループを追加します。

制限事項

複数のグループがアプリケーションパフォーマンスに与える影響

Citrixは、1人の管理者がCitrix Cloudに追加された20を超えるグループに属さないことを推奨しています。より多くのグループに属している場合、アプリケーションパフォーマンスの低下につながる可能性があります。

複数のグループが認証に与える影響

グループベースの管理者がADまたはMicrosoft Entra IDの複数のグループに割り当てられている場合、グループ数が多すぎるため認証が失敗する可能性があります。この問題は、Citrix CloudのADおよびMicrosoft Entra IDとの統合における制限が原因で発生します。管理者がサインインしようとすると、Citrix Cloudは取得されるグループ数を圧縮しようとします。Citrix Cloudが圧縮を正常に適用できない場合、すべてのグループを取得できず、認証が失敗します。
この問題は、ADまたはMicrosoft Entra IDを介してクラウドストアに認証するユーザーにも影響を与える可能性があります。ユーザーが複数のグループに属している場合、グループ数が多すぎるため、認証が失敗する可能性があります。
この問題を解決するには、管理者またはユーザーアカウントを確認し、組織内での役割に必要なグループにのみ属していることを確認してください。

割り当てられた役割/スコープのペアが多すぎるため、グループの追加に失敗する

複数の役割/スコープのペアを持つグループを追加すると、グループを作成できないことを示すエラーが発生する場合があります。このエラーは、グループに割り当てられている役割/スコープのペアの数が多すぎるために発生します。このエラーを解決するには、役割/スコープのペアを2つ以上のグループに分割し、管理者をそれらのグループに割り当てます。

Citrix Cloudに管理者グループを追加する

  1. Citrix Cloudメニューから、 を選択し、次に を選択します。
  2. を選択します。
  3. で、使用するIDプロバイダーを選択します。Microsoft Entra IDが選択されている場合は、必要に応じてAzureにサインインします。 を選択します。
  4. 必要に応じて、使用するドメインを選択します。
  5. 追加するグループを検索し、そのグループを選択します。
  6. で、グループに割り当てる役割を選択します。少なくとも1つの役割を選択する必要があります。
  7. 完了したら、 を選択します。

管理者グループのサービス権限を変更する

  1. Citrix Cloudメニューから、 を選択し、次に を選択します。
  2. 管理する管理者グループを見つけ、省略記号メニューから を選択します。 アクセス権の編集メニューが選択されたグループ
  3. 必要に応じて、1つ以上の役割とスコープのペアの横にあるチェックマークをオンまたはオフにします。
  4. 完了したら、 を選択します。

管理者グループを削除する

  1. Citrix Cloudメニューから、 を選択し、次に を選択します。
  2. 管理する管理者グループを見つけて、省略記号メニューから を選択します。 Delete Groupが選択された省略記号メニュー
    確認メッセージが表示されます。 グループ削除の確認メッセージ
  3. グループの削除による影響を認識していることを確認するために、 を選択します。
  4. を選択します。

複数のCitrix Cloudアカウントを切り替える

注：
このセクションでは、Microsoft Entra ID管理者グループのメンバーのみに影響するシナリオについて説明します。
デフォルトでは、Microsoft Entra ID管理者グループのメンバーは、アクセスできる他のCitrix Cloudアカウントを切り替えることができません。これらの管理者には、以下の画像に示す オプションがCitrix Cloudユーザーメニューに表示されません。
ボタンが強調表示されたユーザーメニュー
このメニューオプションを有効にし、Microsoft Entra IDグループメンバーが他のCitrix Cloudアカウントを切り替えられるようにするには、切り替えたいアカウントをリンクする必要があります。
Citrix Cloudアカウントのリンクには、ハブアンドスポークアプローチが関係します。アカウントをリンクする前に、他のアカウントがアクセスされる元となるアカウント（「ハブ」）として機能するCitrix Cloudアカウントと、顧客ピッカーに表示させたいアカウント（「スポーク」）を決定します。
アカウントをリンクする前に、以下の要件を満たしていることを確認してください。
  • Citrix Cloud で完全なアクセス許可を持っていること。
  • Windows PowerShell Integrated Scripting Environment (ISE) へのアクセス権を持っていること。
  • リンクしたいCitrix Cloudアカウントの顧客IDを持っていること。顧客IDは、各アカウントの管理コンソールの右上隅に表示されます。 Citrix Cloud console with Customer ID highlighted
  • ハブアカウントとしてリンクする Citrix Cloud アカウントの Citrix CWSAuth ベアラートークンを持っていること。このベアラートークンを取得するには、CTX330675 の手順に従ってください。Citrix Cloud アカウントをリンクする際に、この情報を提供する必要があります。

Citrix Cloud アカウントをリンクするには

  1. PowerShell ISE を開き、次のスクリプトを作業ペインに貼り付けます。
    $headers = @{}
    $headers.Add("Accept","application/json")
    $headers.Add("Content-Type","application/json")
    $headers.Add("Authorization","CWSAuth bearer=XXXXXXX")

    $uri = "https://trust.citrixworkspacesapi.net/HubCustomerID/links"

    $resp = Invoke-RestMethod -Method Get -Uri $uri -Headers $headers
    $allLinks = $resp.linkedCustomers + @("SpokeCustomerID")

    $body = @{"customers"=$allLinks}
    $bodyjson = $body | ConvertTo-Json

    $resp = Invoke-WebRequest -Method Post -Uri $uri -Headers $headers -Body $bodyjson -ContentType 'application/json'
    Write-Host "Citrix Cloud Status Code: $($resp.RawContent)"
  2. 4 行目で、CWSAuth bearer=XXXXXXX を CWSAuth の値 (例: CWSAuth bearer=AbCdef123Ghik…) に置き換えます。この値は、証明書キーに似た長いハッシュです。
  3. 6 行目で、HubCustomerID をハブアカウントの顧客 ID に置き換えます。
  4. 9 行目で、SpokeCustomerID をスポークアカウントの顧客 ID に置き換えます。
  5. スクリプトを実行します。
  6. 手順 3～5 を繰り返し、追加のアカウントをスポークとしてリンクします。

Citrix Cloud アカウントのリンクを解除するには

  1. PowerShell ISE を開きます。PowerShell ISE がすでに開いている場合は、作業ペインをクリアします。
  2. 次のスクリプトを作業ペインに貼り付けます。
    $headers = @{}
    $headers.Add("Accept","application/json")
    $headers.Add("Content-Type","application/json")
    $headers.Add("Authorization","CWSAuth bearer=XXXXXXX")

    $uri = "https://trust.citrixworkspacesapi.net/HubCustomerID/links/SpokeCustomerID"

    $resp = Invoke-WebRequest -Method Delete -Uri $uri -Headers $headers
    Write-Host "Response: $($resp.RawContent)"
  3. 4 行目で、CWSAuth bearer=xxxxxxx1 を CWSAuth の値 (例: CWSAuth bearer=AbCdef123Ghik…) に置き換えます。この値は、証明書キーに似た長いハッシュです。
  4. 6行目で、HubCustomerID をハブアカウントの顧客IDに置き換えます。
  5. 6行目で、SpokeCustomerID をスポークアカウントの顧客IDに置き換えます。
  6. スクリプトを実行します。
  7. 追加のアカウントのリンクを解除するには、手順4～6を繰り返します。