条件付き認証

最終公開日 : Oct 24, 2026
条件付き認証は、ゼロトラストフレームワークをさらに強化するための新しいセキュリティ機能です。条件付き認証により、Citrix Cloud™管理者は、設定したポリシー条件に基づいて、ストアログインフロー中にエンドユーザーを異なるIdPに誘導できます。そのため、エンドユーザーは管理者によって確立されたリスク要因に基づいて、異なるレベルのアクセス検証を受けることになります。
本稿執筆時点では、定義したポリシーに基づいてエンドユーザーを異なるIdPインスタンスに誘導する5つの異なる切り替え条件がサポートされています。
条件付き認証(/en-us/citrix-cloud/media/conditional-authentication.png)
Related information
IDとアクセス管理

一般的なユースケース

  • 合併・買収。大規模な親組織が、合併プロセス中の複数の小規模企業を傘下に持つ場合。
  • 組織内の正社員が通常使用を許可されているものとは異なる、専用のIdP、OIDCアプリケーション、またはSAMLアプリケーションに誘導することで、サードパーティユーザーや請負業者にストアアクセスを許可する。
  • 複数の支店や部門を持ち、異なる認証メカニズムを必要とする大規模組織。

前提条件

マルチIdP

従来、IDタイプの単一インスタンスのみが許可されていました。Citrix Cloud®は現在、同じIDプロバイダータイプの複数のインスタンスの追加をサポートしています。たとえば、それぞれ異なるIdPテナントを指す複数のEntraID IdP、Google IdP、またはOkta IdP接続を、IDおよびアクセス管理タブの下に追加できるようになりました。
マルチIdP(/en-us/citrix-cloud/media/mulitiidp-instances.png)
重要:
DaaSとSPAは現在複数のIdPをサポートしていますが、一部のサービスではこの機能の実装に取り組んでおり、まもなく利用可能になります。

条件付き認証の構成

  1. 条件付き認証プロファイルの作成をクリックします。
    条件付き認証プロファイルの作成(/en-us/citrix-cloud/media/create-conditional-authentication-profile.png)
  2. プロファイルの名前を入力し、認証ポリシーの作成をクリックします。
    認証ポリシーの作成(/en-us/citrix-cloud/media/create-authentication-policy.png)
  3. 必要に応じてポリシーに適用する条件を選択し、保存をクリックします。
    認証条件(/en-us/citrix-cloud/media/authentication-conditions.png)
  4. StoreFront Cloudに移動し、認証をクリックして、IDプロバイダーまたは条件付き認証プロファイルを選択します。
    認証(/en-us/citrix-cloud/media/conditional-authentication-policy.png)

条件付き認証の概念

条件付き認証プロファイル

条件付き認証プロファイルは、定義した条件に応じてエンドユーザーがストアに認証する方法を制御する複数の条件付き認証ポリシーで構成されます。このプロファイルにより、ポリシーの優先順位付けと並べ替えが可能になり、ポリシーが評価される順序を指定できます。

条件付き認証ポリシー

条件付き認証ポリシーは、1つ以上の条件で構成されるポリシーです。これらの条件がANDロジックを使用して満たされると、エンドユーザーのログインプロセスは、Okta OIDC、SAML、またはGateway IDP接続などの特定のターゲットIdPインスタンスに誘導されます。個々のポリシーはクローン作成でき、必要に応じて変更および名前変更が可能です。
各条件付き認証ポリシーは、次のデータで構成されます。
  • ポリシー規則。エンドユーザーを特定のIdPインスタンスに誘導するために満たされなければならない1つ以上の条件です。例: ストアURL 1が使用され、かつユーザーがAD Group1のメンバーである場合。
  • ポリシー結果IdP。ログオンプロセス中にユーザーが誘導されるターゲットIdPインスタンスです。例: store URL 1 is used AND user is a member of AD Group1 → EntraID SAML IDP Instance。
  • ポリシー名。ポリシーを識別し、説明するために使用される、管理者が分かりやすい名前です。 例: store URL 1 AND Group1 - EntraID SAML。
  • ポリシー優先度。ポリシーが評価される順序を決定します。優先度は降順で評価されます。例: 優先度1は優先度2よりも高い。

条件付き認証の事前認証ページ

ストアの設定方法と条件付き認証プロファイルで設定された条件によっては、ストアユーザーはログインプロセス中に事前認証ページに遭遇する可能性があります。このページは、条件付き認証ポリシーに基づいて決定を下すために不可欠な、ストアユーザーのユーザー名形式をキャプチャするために重要です。これにより、ユーザーのログインフローが適切なIdPインスタンスに誘導されます。
事前認証ページのスクリーンショット

ログイン自動入力

事前認証ページが必要な場合、ログインページでユーザー名フィールドに事前認証ページからのユーザー入力を自動的に入力するログイン自動入力機能を導入しました。これにより、ユーザーがユーザー名を2回入力する必要がなくなります。
ログイン自動入力機能は、以下に示すように、条件付き認証プロファイル設定で管理者によって管理および構成されます。
  1. 条件付き認証プロファイルページで設定の管理をクリックします。
    設定の管理
  2. 編集をクリックします
    編集
  3. ログイン自動入力を有効にしたいIdPを選択します。
    IDPを選択
重要:
ログインの自動入力は、それをサポートするIdPでのみ利用可能であり、ADおよびAD+TOTPではデフォルトで有効になり、適用されます（デフォルト設定については上記のスクリーンショットを参照してください）。
特定のIdPは特定のログイン形式を期待し、一部のIdPは複数の種類のユーザー名形式をサポートできます。たとえば、Google Cloud Identityでは、ユーザーはメールアドレス（user.name@domain.com）でログインする必要がありますが、これはUPN（username@domain.com）とは異なる場合があります。ストアのエンドユーザーが事前認証ページでダウンレベルのログオン名（domain\username）を入力した場合、ダウンレベルのログオン名はIdPログインページのユーザー名フィールドに事前入力され、ユーザーがログオンしようとするとエラーが発生します。管理者は、ログイン自動入力機能を構成する前に、最も適切なIdP切り替えポリシー条件と、特定のIdPがログオンプロセス中に受け取ることを期待するユーザー名形式を考慮する必要があります。

ユーザー名ヒントテキスト

条件付き認証でIDP切り替えの決定を行うために追加のADドメインまたはADグループユーザーコンテキストが必要な場合、ログオンフロー中にエンドユーザーに事前認証ページが表示されます。構成されているCAポリシーのいずれとも一致しない予期しない形式または誤った形式でユーザー名を入力すると、ユーザーはログインできなくなります。エンドユーザーが正しい予期される形式でユーザー名を入力できるように、事前認証ダイアログ内に表示されるユーザー名ヒントテキストをカスタマイズできます。
重要:
Citrix環境、ADドメイン、およびユーザーの詳細に関する機密情報を漏洩しないように、ユーザー名ヒントテキスト機能を適切に注意して使用してください。一般的なユーザー名の例を使用することをお勧めします。
  1. 条件付き認証プロファイルページで、 をクリックします。
  2. で をクリックします。 ](/en-us/citrix-cloud/media/username-hint-text-upn-example.png)
  3. 条件付き認証ログオンフロー中に事前認証ダイアログ内に表示する ログオンヒントテキスト を設定します。 ユーザー名ヒントテキストの編集
  4. プレビュー画像を表示して、ログオンヒントテキストがエンドユーザーにどのように表示されるかを確認します。 ユーザー名ヒントテキストの編集
    上記の例は、異なるIdP間のUPNベースの切り替えに適しています。 ユーザー名ヒントテキスト UPNプロファイル
  5. をクリックします。

ポリシー条件の種類

注:
条件付き認証プロファイルにストアURL条件タイプまたはネットワークロケーション名条件タイプのポリシーのみが含まれている場合、事前認証ページは表示されず、ユーザーはIdPに直接リダイレクトされます。プロファイルに他のポリシー条件タイプが含まれている場合、事前認証ページがエンドユーザーに表示されます。これは、一致するポリシーがストアURLまたはネットワークロケーション名タイプである場合でも当てはまります。

ストアURL

StoreFront Cloud > アクセス内で、各ストアURLを個別のIdPインスタンスにリンクできます。さらに、複数のストアURLを同じポリシーに関連付けて、エンドユーザーを同じIdPインスタンスに誘導します。
ストアURL

ストアURLまたはカスタムURLのいずれかを使用したストアへのアクセス

エンドユーザーは、ブラウザに入力するストアURLまたはカスタムURL、あるいはCitrix Workspaceアプリ内で構成するストアに基づいて、異なる結果のIdPに切り替えることができます。
条件付き認証の複数のカスタムドメイン
エンドユーザーは、これらのURLのいずれかを使用して、特定の条件付き認証ポリシーの結果のIdPインスタンスに到達できます。Citrix Cloud管理者は、正しいストアURLをエンドユーザーに提供する必要があります。
https://workspaces1.cloud.com URL
または、,
https://workspaces1.mycompany.com カスタムURL
ドロップダウンリストを使用してURLのペアを選択し、条件付き認証ポリシーを構成します。
  • 青色で表示されるストアURL (例: https://workspaces1.cloud.com)
  • 赤色で表示されるカスタムURL (例: https://workspaces1.mycompany.com)
URLペアを使用して条件付き認証ポリシーを構成する：
条件付き認証プロファイルカスタムURL(/en-us/citrix-cloud/media/conditional-auth-profile-custom-urls.png)
条件付き認証ポリシーセットの概要(/en-us/citrix-cloud/media/conditional-auth-policy-set-summary.png)
重要：
移行されていないレガシーカスタムドメインは、条件付き認証を使用してストアにアクセスするために使用できません。エンドユーザーにカスタムURLを提供する前に、これらのレガシーカスタムURLを最初に移行してください。条件付き認証ポリシーがSAML IdPインスタンスに解決される場合、追加の考慮事項もあります。
SAMLとカスタムURLを使用して条件付き認証を構成する方法の詳細な手順については、カスタムドメインを使用してSAMLでストアにサインインするを参照してください。

ADユーザーグループメンバーシップ

ADユーザーグループメンバーシップを使用すると、グループメンバーシップに基づいて、特定のActive DirectoryユーザーグループにIdPインスタンスを割り当てることができます。
UPNサフィックスまたはドメインダウンレベルログオン名は、相互に排他的な2つのポリシー条件です。 これらは、エンドユーザーが事前認証ページに入力する必要があるユーザー名形式を決定します。同じポリシー内でこれら両方の条件を使用することはできません。
直接ADグループメンバーシップ（推奨）とネストされたADグループメンバーシップの両方がサポートされています。
要件：
  • ユニバーサルADグループのみがサポートされています。
  • ユーザーがどのADグループのメンバーであるかを確認するために、必要なADフォレスト内でドメイン参加しているCitrix Cloud Connector。
  • ADグループ条件の場合、ユーザーがUPNを入力すると、ユーザーのUPNサフィックスによって、ADグループメンバーシップの検索を実行するために使用されるドメインコンテキストが決定されます。
    \> 重要：
    一意のUPNサフィックスは、接続されている1つのADフォレストでのみ定義する必要があります。同じCitrix Cloudテナントに接続されている2つ以上のADフォレストで発生するあいまいなUPNサフィックスはサポートされていません。
UPNサフィックス

UPNサフィックス

username1@domain.comやusername2@domain.netなど、1つ以上のUPNサフィックスに対してIdPインスタンスを構成します。

ドメインダウンレベルログオン名

DOMAIN1\username1やDOMAIN1.COM\username1のような1つ以上のドメイン名にIdPインスタンスを割り当てます。
2つの相互排他的な条件のいずれかが選択されている場合、他方の条件のドロップダウンメニューオプションは無効になり、同じポリシーに追加されるのを防ぎます。
ポリシールール

ネットワークロケーション名

クライアントのパブリックエグレスIPとネットワークロケーション名に基づいてIdPインスタンスを割り当てます。
  1. ネットワークロケーションの下にパブリックIPアドレス範囲を作成します。
    ネットワークロケーション
  2. 「ネットワークロケーションの追加」をクリックし、名前とパブリックIPアドレス範囲（CIDR表記）を入力します。
    NLSシンプル
    または、Citrix Cloudテナントでスマートアクセスタギングが有効になっている場合
    NLS複合
  3. ネットワークロケーションが適切に追加されていることを確認します。
    NLSサイトリスト
  4. 条件付き認証プロファイル内で、ロケーション名が事前に入力されます。目的のロケーション名を選択し、ターゲットIdPを割り当てます。
    NLS CAポリシー
重要:
ネットワークロケーションサイト内で明示的に定義されておらず、かつネットワークロケーション名ポリシーによって参照されていないクライアントの送信元IPは、「未定義」として分類されます。
一般的なNLSのユースケース/構成:
  1. NLSシナリオ1: 外部（未定義）IPが認証してストアにアクセスするのをブロックします。
    ポリシー1: AllInternalIPs NLSサイト内で定義された送信元IPを持つ内部クライアントのみが、ADを使用してストアにログインできます。
    NLS IPをブロック
  2. NLSシナリオ2: すべての「未定義」の送信元IPを、追加の認証要素やセキュリティ強化を伴う「すべてをキャッチするIdPインスタンス」に誘導します。「いずれにも一致しない」とすべての内部NLSサイトのリストを使用して、「すべての未定義の送信元IPをキャッチする」ポリシーを定義します。
    ポリシー1: AllInternalIPs NLSサイト内で定義された送信元IPを持つ内部クライアントのみが、ADを使用してストアにログインできます。
    ポリシー2: AllInternalIPs NLSサイト内で定義されていない外部の送信元IPは、TOTPを使用してストアにログインする必要があります。
    NLSをキャッチ

条件付き認証プロファイルにカスタムエラーメッセージを設定する

ユーザーが入力した内容とポリシー条件のいずれも一致しない場合に、ストアのエンドユーザーに表示される、ユーザーフレンドリーなエラーメッセージを設定できます。
  1. 条件付き認証プロファイル内で、設定の管理を選択します。
    CAプロファイル設定(/en-us/citrix-cloud/media/ca-profile-settings.png)
  2. エンドユーザーに表示されるデフォルトのエラーメッセージを編集します。
    CAアクセス拒否メッセージ(/en-us/citrix-cloud/media/ca-denied-access-message.png) CAカスタムエラーメッセージ(/en-us/citrix-cloud/media/ca-custom-error-message.png)

Citrix Monitor連携によるトラブルシューティング

ユーザーのログイン試行が一致するポリシーがないために失敗した場合、トランザクションIDが表示されたエラーページが表示されます。ユーザーはこのトランザクションIDをCitrix Cloud管理者に提供して、さらなるサポートを受けることができます。
トランザクションIDのトラブルシューティング(/en-us/citrix-cloud/media/ts-monitor.png)
Citrix Cloud管理者は、ストアのエンドユーザーから提供されたトランザクションIDをCitrix Monitorに貼り付けることで、ポリシー、入力されたユーザー名、および関連する条件付き認証ポリシーに関する詳細にアクセスできます。この情報は、管理者が条件付き認証の問題をより効率的にトラブルシューティングし、解決するのに役立ちます。
  1. Monitorを選択し、右上隅にある検索ボックスをクリックします。
    モニタータブ(/en-us/citrix-cloud/media/monitor-tab.png)
  2. ドロップダウンリストからトランザクションIDを選択します。過去3日間のトランザクションのみが利用可能です。
    トランザクションIDの選択(/en-us/citrix-cloud/media/transaction-id.png)
  3. エンドユーザーの失敗したトランザクションと、評価された条件付き認証ポリシーの詳細を表示します。シェブロンボタンをクリックすると、エンドユーザーに対して評価されたすべてのポリシー（例: <Policy 1 of 3>）をナビゲートできます。
    失敗したトランザクションID(/en-us/citrix-cloud/media/failed-transaction-id.png)

クラウドネイティブ条件付き認証とNetScalerベースの適応型認証の比較

クラウドネイティブ条件付き認証機能は、ほとんどの条件付き認証ユースケースをカバーするように設計されています。ただし、より高度な認証機能については、NetScalerベースの適応型認証が利用可能です。
NetScalerベースの適応型認証を使用するには、Citrix CloudのIDおよびアクセス管理ページ > 条件付き認証プロファイルセクションからリクエストを送信してください。
条件付き認証プロファイル(/en-us/citrix-cloud/media/conditional-auth-profiles.png)

既知の問題および制限事項

  • ポリシーに負の優先度を設定すると、期待どおりに動作しません。今後のアップデートで対応予定です。
  • 現在、グループ条件はActive Directoryのみでサポートされています。ネイティブのEntra IDグループ条件は今後追加される予定です。