SAMLをIDプロバイダーとしてCitrix Cloud™に接続する

最終公開日 : Oct 24, 2026
Citrix Cloudは、Citrix Cloud管理者とストアにサインインするエンドユーザーを認証するためのIDプロバイダーとしてSAML（Security Assertion Markup Language）の使用をサポートしています。オンプレミスのActive Directory（AD）で、任意のSAML 2.0プロバイダーを使用できます。
Related information
前提条件どのSAMLバインディングメカニズムを使用すべきですか?サービスプロバイダー開始SSO 対 IDプロバイダー開始SSOSAMLプロバイダーをCitrix Cloudに直接接続する VS IDPチェーンSAML ログアウトに関する考慮事項メタデータURLモードを使用してSAML接続を作成するメタデータファイルモードを使用してSAML接続を作成する手動モードを使用してSAML接続を作成するトラブルシューティングCitrix Cloud™ でスコープ付きエンティティIDを持つSAMLアプリケーションを構成する複数のカスタムURLを使用してSAMLでストアにサインインするサービスプロバイダーSAML署名証明書の更新IDプロバイダーSAML署名証明書の更新高度なSAMLシナリオと、SAMLアサーション内でのcip_forestおよびcip_domainの正しい使用法ストア認証用のSAMLプロバイダーとしてADFSを構成するストア認証用のSAMLプロバイダーとしてDuoを構成するストア認証のためのEntra IDとAD IDを使用したSAMLストア認証にEntra IDとEntra ID IDを使用するSAMLストア認証用のゲストおよびB2B ID向けEntra IDを使用したSAMLストア認証用のSAMLプロバイダーとしてOktaを構成するストアおよび Citrix Cloud™ 用の SAML プロバイダーとしてオンプレミス PingFederate サーバーを構成する

この記事について

この記事では、Citrix CloudとSAMLプロバイダー間の接続を構成するために必要な手順について説明します。これらの手順の一部は、SAMLプロバイダーの管理コンソールで実行するアクションについて説明しています。これらのアクションを実行するために使用する特定のコマンドは、選択したSAMLプロバイダーによって、記事に記載されているコマンドと異なる場合があります。これらのSAMLプロバイダーコマンドは、あくまで例として提供されています。SAMLプロバイダーの対応するコマンドの詳細については、SAMLプロバイダーのドキュメントを参照してください。

Citrix SAMLログオンのユースケース

  • エンドユーザー向けのストアへのログイン。
  • エンドユーザー向けのストアカスタムドメインを使用したストアへのログイン。
  • 管理者ユーザー向けのCitrix Cloudへのログイン。

ユースケースに適したSAMLフローの選択

  • SAMLプロバイダーにインポートされたADバックアップID。これらのIDには、objectSIDやobjectGUIDなどのオンプレミスユーザー属性が含まれています。これらのインポートされたユーザーに対応するADアカウントはActive Directoryに既に存在するため、ADシャドウアカウントは必要ありません。
  • Entra IDやOktaユーザーなど、SAMLプロバイダーディレクトリ内にのみ存在するネイティブID。これらはAD内に対応するIDを持たず、ADドメイン参加済みVDAおよびDaaSカタログを使用する場合はADシャドウアカウントが必要です。これらのユーザーには埋め込みobjectSIDはありません。
  • 他のEntra IDテナントから、またはゲストメールアドレスを使用してEntra IDに招待されたEntra IDゲスト/B2Bユーザー。これらはAD内に対応するIDを持たず、ADドメイン参加済みVDAおよびDaaSカタログを使用する場合はADシャドウアカウントが必要です。これらのユーザーには埋め込みobjectSIDがない場合があります。一部のユーザーは、誤ったActive Directoryに誤ったobjectSIDを持っている場合があります。

サポートされているSAMLプロバイダー

公式のSAML 2.0仕様をサポートするSAMLプロバイダーは、Citrix Cloudでの使用がサポートされています。
Citrixは、Citrix Cloud管理者認証およびシングルサインオン（SSO）とシングルログアウト（SLO）を使用したCitrix® StoreFront Cloudエンドユーザー認証のために、以下のSAMLプロバイダーをテストしました。このリストにないSAMLプロバイダーもサポートされています。
  • マイクロソフト ADFS
  • マイクロソフト Entra ID
  • Duo
  • オクタ
  • PingFederate
これらのプロバイダーをテストする際、Citrix は Citrix Cloud コンソールで SAML 接続を構成するために以下の設定を使用しました。
Citrix Cloud のこのフィールド この値を入力
エンティティ ID https://entityid.com
認証要求に署名 はい
SSO サービス URL https://yoursamlprovider/sso/saml2
SSO バインディングメカニズム HTTP ポスト
SAML レスポンス レスポンスまたはアサーションのいずれかに署名
認証コンテキスト 未指定、厳密
ログアウト URL https://yoursamlprovider/slo/saml2
ログアウトリクエストに署名 はい
SLO バインディングメカニズム HTTP ポスト
これらの設定の詳細については、この記事の Citrix Cloud に SAML プロバイダーのメタデータを追加する を参照してください。

スコープ付きエンティティ ID のサポート

この記事では、単一の SAML アプリケーションと Citrix Cloud のデフォルトの汎用エンティティ ID を使用して SAML 認証を構成する方法について説明します。
SAML 認証の要件に、単一の SAML プロバイダー内で複数の SAML アプリケーションが必要な場合は、Citrix Cloud でスコープ付きエンティティ ID を使用して SAML アプリケーションを構成する を参照してください。

SAML 2.0 を使用した管理者認証

Citrix Cloud は、SAML 2.0 を使用して、個々の管理者と AD の管理者グループのメンバーを認証することをサポートしています。Citrix Cloud への管理者グループの追加について詳しくは、「管理者グループの管理」を参照してください。

管理者認証に既存の SAML 接続を使用する

Citrix Cloud に SAML 2.0 接続がすでにあり、それを使用して管理者を認証する場合は、まず で SAML 2.0 を切断してから、接続を再構成する必要があります。SAML 接続を使用して StoreFront Cloud エンドユーザーを認証している場合は、StoreFront Cloud で SAML 認証方法も無効にする必要があります。SAML 接続を再構成した後、個々の管理者または管理者グループを Citrix Cloud に追加できます。
SAML 2.0 を切断して再接続せずに個々の管理者または管理者グループを追加しようとすると、「Citrix Cloud に管理者グループを追加する」で説明されている ID オプションが表示されません。

新しい SAML 接続を設定するためのタスクの概要

Citrix Cloud で新しい SAML 2.0 接続を設定するには、次のタスクを実行します。
  1. で、「Active Directory を Citrix Cloud に接続する」の説明に従って、オンプレミス AD を Citrix Cloud に接続します。
  2. この記事の「Active Directory との SAML 統合」の説明に従って、SAML プロバイダーをオンプレミス AD と統合します。
  3. 管理者が Citrix Cloud にサインインするために使用できるサインイン URL を構成します。
  4. で、Citrix Cloud でSAML 認証を構成します。このタスクには、Citrix Cloud からの SAML メタデータで SAML プロバイダーを構成し、SAML 接続を作成するために SAML プロバイダーからのメタデータで Citrix Cloud を構成することが含まれます。

Citrix Cloud 管理者向けに既存の SAML 接続を使用するためのタスクの概要

Citrix Cloud に SAML 2.0 接続がすでにあり、それを管理者認証に使用する場合は、次のタスクを実行します。
  1. 該当する場合、SAML 2.0 ストア認証を無効にします。 > で、別の認証方法を選択し、プロンプトが表示されたら を選択します。
  2. 既存の SAML 2.0 接続を切断します。 > で、SAML 接続を見つけます。右端の省略記号メニューから を選択します。 を選択してアクションを確認します。
  3. SAML 2.0を再接続し、接続を構成します。SAML 2.0の省略記号メニューから、Connectを選択します。
  4. プロンプトが表示されたら、管理者がサインインに使用するサインインURLの一意の識別子を入力します。
  5. この記事のSAMLプロバイダーメタデータの構成で説明されているとおりに、SAML接続を構成します。
SAML接続を構成した後、管理者グループの管理で説明されているとおりに、AD管理者グループをCitrix Cloudに追加できます。また、この記事で説明されているとおりに、エンドユーザー向けSAMLを再度有効にすることもできます。

カスタムSAML属性を作成してマッピングする

SAMLプロバイダーでSID、UPN、OID、email、およびdisplayName属性のカスタム属性がすでに構成されている場合は、このタスクを実行する必要はありません。SAMLコネクタアプリケーションの作成に進み、手順5で既存のカスタムSAML属性を使用してください。
注：
このセクションの手順では、SAMLプロバイダーの管理コンソールで実行するアクションについて説明します。これらのアクションを実行するために使用する特定のコマンドは、選択したSAMLプロバイダーによって、このセクションで説明されているコマンドとは異なる場合があります。このセクションのSAMLプロバイダーコマンドは、例としてのみ提供されています。SAMLプロバイダーの対応するコマンドの詳細については、SAMLプロバイダーのドキュメントを参照してください。
  1. SAMLプロバイダーの管理コンソールにサインインし、カスタムユーザー属性を作成するオプションを選択します。たとえば、SAMLプロバイダーのコンソールによっては、Users > Custom User Fields > New User Fieldを選択する場合があります。
  2. 次のADプロパティの属性を追加します。示されているデフォルト値を使用して属性に名前を付けます。
    ADプロパティ 必須またはオプション デフォルト値
    userPrincipalName SIDの属性を追加しない場合（推奨）は必須。 cip_upn
    objectSID UPNの属性を追加しない場合は必須です。 cip_sid
    objectGUID 認証用オプション cip_oid
    メール 認証用オプション cip_email
    displayName ストアUIで必須 displayName
    givenName ストアUIで必須 firstName
    sn ストアUIで必要 lastName
    ADフォレスト 認証にはオプション cip_forest
    ADドメイン 認証にはオプション cip_domain
  3. Citrix Cloudに接続したADを選択します。たとえば、SAMLプロバイダーのコンソールによっては、ユーザー > ディレクトリを選択する場合があります。
  4. ディレクトリ属性を追加するオプションを選択します。たとえば、SAMLプロバイダーのコンソールによっては、ディレクトリ属性を選択する場合があります。
  5. 属性を追加するオプションを選択し、以下のAD属性を、手順2で作成したカスタムユーザー属性にマッピングします。
    • 手順2でSIDの属性を追加した場合（たとえば、cip_sid）、objectSidを選択し、作成した属性にマッピングします。
    • 手順2でUPNの属性を追加した場合（たとえば、cip_upn）、userPrincipalNameを選択し、作成した属性にマッピングします。
    • ステップ2でObjectGUIDの属性を追加した場合（例: cip_oid）、ObjectGUIDを選択し、作成した属性にマッピングします。
    • ステップ2でMailの属性を追加した場合（例: cip_email）、mailを選択し、作成した属性にマッピングします。
    • ステップ2で表示名（Display Name）の属性を追加した場合（例: displayName）、displayNameを選択し、作成した属性にマッピングします。

管理者サインインURLを構成する

  1. https://citrix.cloud.comでCitrix Cloudにサインインします。
  2. Citrix Cloudメニューから、IDおよびアクセス管理を選択します。
  3. SAML 2.0を見つけ、省略記号メニューから接続を選択します。
  4. プロンプトが表示されたら、会社用の短くURLフレンドリーな識別子を入力し、保存して続行を選択します。SAMLの構成ページが表示されます。
  5. 次のセクションに進み、Citrix CloudへのSAML接続を構成します。

SAMLプロバイダーのメタデータを構成する

このタスクでは、Citrix CloudからのSAMLメタデータを使用してコネクタアプリケーションを作成します。SAMLアプリケーションを構成した後、コネクタアプリケーションからのSAMLメタデータを使用してCitrix CloudへのSAML接続を構成します。
注:
このセクションの一部の手順では、SAMLプロバイダーの管理コンソールで実行するアクションについて説明しています。これらのアクションを実行するために使用する特定のコマンドは、選択したSAMLプロバイダーによって、このセクションで説明されているコマンドとは異なる場合があります。このセクションのSAMLプロバイダーコマンドは、あくまで例として提供されています。ご使用のSAMLプロバイダーに対応するコマンドの詳細については、SAMLプロバイダーのドキュメントを参照してください。

SAMLコネクタアプリケーションを作成する

  1. SAMLプロバイダーの管理コンソールから、属性と署名応答を持つIDプロバイダーのアプリケーションを追加します。たとえば、プロバイダーのコンソールによっては、Applications > Applications > Add Appを選択し、その後、**SAML Test Connector (IdP w/ attr w/ sign response)**を選択する場合があります。
  2. 該当する場合、表示名を入力してアプリを保存します。
  3. Citrix CloudのSAMLの構成画面で、SAMLメタデータのダウンロードを選択します。メタデータXMLファイルが別のブラウザータブに表示されます。
    注：
    必要に応じて、https://saml.cloud.com/saml/metadata.xmlからこのファイルをダウンロードすることもできます。このエンドポイントは、SAMLプロバイダーメタデータをインポートおよび監視する際に、一部のIDプロバイダーにとってより使いやすい場合があります。
  4. コネクタアプリケーションについて、次の詳細を入力します。
    • オーディエンスフィールドに、https://saml.cloud.comを入力します。
    • 受信者フィールドに、https://saml.cloud.com/saml/acsを入力します。
    • ACS URLバリデーターのフィールドに、https://saml.cloud.com/saml/acsを入力します。
    • ACS URLのフィールドに、https://saml.cloud.com/saml/acsを入力します。
  5. アプリケーションのパラメーター値として、カスタムSAML属性を追加します。
    このフィールドを作成します このカスタム属性を割り当てます
    cip_sid SID用に作成したカスタム属性。例：cip_sid
    cip_upn UPN用に作成したカスタム属性。例: cip_upn
    cip_oid ObjectGUID用に作成したカスタム属性。例: cip_oid
    cip_email Mail用に作成したカスタム属性。例: cip_email
    displayName 表示名用に作成したカスタム属性。例: displayName
  6. エンドユーザーをユーザーとして追加し、アプリケーションにアクセスできるようにします。

SAMLプロバイダーメタデータをCitrix Cloudに追加する

  1. SAMLプロバイダーからSAMLメタデータを取得します。次の画像は、このファイルの例です。
    SAMLメタデータファイル
  2. Citrix CloudのSAMLの構成画面で、SAMLプロバイダーのメタデータファイルから次の値を入力します。
    • IDプロバイダーエンティティIDに、メタデータ内のEntityDescriptor要素からentityIDの値を入力します。
      SAMLメタデータファイルからのエンティティID
    • 認証要求に署名で、はいを選択すると、Citrix Cloudが認証要求に署名できるようになり、悪意のあるアクターからではなくCitrix Cloudから来たことを証明します。SAMLプロバイダーがSAML応答を安全に投稿するために使用する許可リストにCitrix ACS URLを追加することを希望する場合は、いいえを選択します。
    • 「SSOサービスURL」に、使用するバインディングメカニズムのURLを入力します。HTTP-POSTまたはHTTP-Redirectバインディングのいずれかを使用できます。メタデータファイルで、バインディング値がHTTP-POSTまたはHTTP-RedirectのいずれかであるSingleSignOnService要素を見つけます。
      SAMLメタデータファイルからのSSOサービスURL(/en-us/citrix-cloud/media/saml-sso-url.png)
    • 「バインディングメカニズム」で、メタデータファイルから選択したSSOサービスURLのバインディングと一致するメカニズムを選択します。デフォルトでは、HTTP Postが選択されています。
    • 「SAML応答」で、SAMLプロバイダーがSAML応答とSAMLアサーションに使用する署名方法を選択します。デフォルトでは、応答またはアサーションのいずれかに署名が選択されています。Citrix Cloudは、このフィールドで指定されたとおりに署名されていない応答を拒否します。
  3. SAMLプロバイダーの管理コンソールで、次の操作を実行します。
    • SAML署名アルゴリズムにSHA-256を選択します。
    • X.509証明書をBase64エンコードされたPEM、CRT、またはCERファイルとしてダウンロードします。
  4. Citrix Cloudの「SAMLの構成」ページで、「X.509証明書」の「ファイルのアップロード」を選択し、前の手順でダウンロードした証明書ファイルを選択します。
  5. アップロードを完了するには、続行を選択します。
  6. 「認証コンテキスト」で、使用するコンテキストと、Citrix Cloudがこのコンテキストをどの程度厳密に適用するかを選択します。「最小」を選択すると、選択したコンテキストでの認証を要求しますが、そのコンテキストでの認証は強制されません。「厳密」を選択すると、選択したコンテキストでの認証を要求し、そのコンテキストでのみ認証を強制します。SAMLプロバイダーが認証コンテキストをサポートしていない場合、または使用しない場合は、「未指定」と「最小」を選択します。デフォルトでは、「未指定」と「厳密」が選択されています。
  7. 「ログアウトURL」（オプション）では、ストアまたはCitrix Cloudからサインアウトするユーザーが、SAMLプロバイダーを介して以前にサインインしたすべてのWebアプリケーションからもサインアウトするかどうかを決定します。
    • ユーザーがストアまたはCitrix Cloudからサインアウトした後もWebアプリケーションにサインインしたままにしたい場合は、「ログアウトURL」フィールドを空白のままにします。
    • ユーザーがストアまたはCitrix Cloudからサインアウトした後、すべてのWebアプリケーションからサインアウトするようにしたい場合は、SAMLプロバイダーのSingleLogout (SLO) エンドポイントを入力します。Microsoft ADFSまたはMicrosoft Entra IDをSAMLプロバイダーとして使用している場合、SLOエンドポイントはシングルサインオン (SSO) エンドポイントと同じです。
      EntraIDシングルサインオンおよびシングルログアウトエンドポイントURLの例(/en-us/citrix-cloud/media/saml-idp-aad-sso-slo-example.png)
  8. Citrix Cloudの以下のデフォルト属性値が、SAMLプロバイダーで構成されている対応する属性値と一致することを確認します。Citrix CloudがSAMLアサーション内でこれらの属性を見つけるには、ここに入力された値がSAMLプロバイダーの値と一致している必要があります。SAMLプロバイダーで特定の属性を構成しなかった場合、特に指定がない限り、Citrix Cloudのデフォルト値を使用するか、フィールドを空白のままにすることができます。
    • ユーザー表示名のアトリビュート名: デフォルト値は displayName です。
    • ユーザー名のアトリビュート名: デフォルト値は firstName です。
    • ユーザー姓のアトリビュート名: デフォルト値は lastName です。
    • セキュリティ識別子 (SID) のアトリビュート名: UPN のアトリビュートを作成しなかった場合は、SAML プロバイダーからこのアトリビュート名を入力する必要があります。デフォルト値は cip_sid です。
    • ユーザープリンシパル名 (UPN) のアトリビュート名: SID のアトリビュートを作成しなかった場合は、SAML プロバイダーからこのアトリビュート名を入力する必要があります。デフォルト値は cip_upn です。
    • 電子メールのアトリビュート名: デフォルト値は cip_email です。
    • AD オブジェクト識別子 (OID) のアトリビュート名: デフォルト値は cip_oid です。
    • AD フォレストのアトリビュート名: デフォルト値は cip_forest です。
    • AD ドメインのアトリビュート名: デフォルト値は cip_domain です。
  9. 接続が正常に構成されたことを確認するには、テストと完了 を選択します。

AD から Citrix Cloud に管理者を追加する

Citrix Cloud で AD グループを追加および管理する手順については、「管理者グループの管理」を参照してください。

ストアの SAML 認証を有効にする

  1. Citrix Cloud メニューから、StoreFront Cloud を選択します。
  2. 認証 タブを選択します
  3. 「SAML 2.0」を選択します。

Identity and Access Management内での既存のSAML接続のクローン作成

「重要:」:
SAML接続のクローンを作成しても、既存のスコープ付きエンティティIDはクローンされません。クローン作成プロセス中にスコープ付きエンティティIDを追加したり、新しいものを生成したりする場合は、SAMLアプリケーション構成を更新する必要がある場合があります。
既存のSAML接続をクローンするには、以下の手順に従います。
  1. 既存のSAML接続の右側にある3つの点を選択し、アクションのリストから「クローン」を選択します。
    メインSAML記事-クローンアクション
  2. 新しいSAML接続用に、新しく一意のGO URLを入力します。これは必要に応じて後で変更できます。
  3. 新しいSAML接続用に、新しい一意のニックネームを入力します。
    メインSAML記事-ニックネーム入力
  4. 接続内の設定（スコープ付きエンティティIDの有効化、署名の有効化、不足しているログアウトURLの追加、最近期限切れになったSAMLプロバイダー証明書の更新など）を更新します。
  5. 新しいSAML接続を保存するには、「Test and finish」をクリックします。
  6. StoreFront Cloud -> Authentication内で、新しいSAML接続を使用するようにストアを切り替えます。
  7. 新しいスコープ付きエンティティIDでSAMLアプリケーション構成を更新します（常に必要ではありません）。
    メインSAML記事-スコープ付きエンティティID設定