ストア認証のためのEntra IDとAD IDを使用したSAML

機能範囲

• AD IDを使用したストア認証のためのSAML
• AD IDを使用したCitrix Cloud管理者ログインのためのSAML
• ADドメイン参加済みVDAを使用して公開されたリソースのCitrix DaaS™およびHDXリソース列挙
• ADドメイン参加済みVDAリソース列挙

AD IDとEntra ID、どちらが最適か?

1. ストアでユーザーに提供するリソースの組み合わせを決定します。
2. 以下の表を使用して、各リソースタイプに適したユーザーIDの種類を決定します。

   リソースタイプ (VDA)	ストアにサインインする際のユーザーID	Entra ID を使用した SAML ID が必要ですか？	FAS は VDA へのシングルサインオン (SSO) を提供しますか？
   AD参加済み	AD、ADからインポートされたEntra ID (SIDを含む)	いいえ。デフォルトのSAMLを使用します。	はい

カスタムのEntra IDエンタープライズSAMLアプリケーションを構成する

1. Azureポータルにサインインします。
2. ポータルメニューから、Entra IDを選択します。
3. 左ペインの管理の下で、エンタープライズアプリケーションを選択します。
4. 作業ペインのコマンドバーから、新しいアプリケーションを選択します。
5. コマンドバーから、独自のアプリケーションを作成を選択します。Citrix Cloud SAML SSOエンタープライズアプリケーションテンプレートは使用しないでください。このテンプレートでは、クレームとSAML属性のリストを変更できません。
6. アプリケーションの名前を入力し、ギャラリーで見つからないその他のアプリケーションを統合 (非ギャラリー) を選択します。作成をクリックします。アプリケーションの概要ページが表示されます。
7. 左ペインから、シングルサインオンを選択します。作業ペインから、SAMLを選択します。
8. 基本的なSAML構成セクションで、編集を選択し、次の設定を構成します。
   1. 識別子 (エンティティID) セクションで、識別子の追加を選択し、Citrix Cloudテナントが配置されているリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.comを入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jpを入力します。
      • Citrix Cloud Governmentリージョンの場合は、https://saml.cloud.usを入力します。
   2. 応答URL (アサーションコンシューマーサービスURL) セクションで、応答URLの追加を選択し、Citrix Cloudテナントが配置されているリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com/saml/acsを入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jp/saml/acsを入力します。
      • Citrix Cloud Governmentリージョンの場合は、https://saml.cloud.us/saml/acsを入力します。
   3. ログアウトURL (オプション) セクションで、Citrix Cloudテナントが配置されているリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com/saml/logout/callbackを入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jp/saml/logout/callbackを入力します。
      • Citrix Cloud Governmentリージョンの場合は、https://saml.cloud.us/saml/logout/callbackを入力します。
   4. コマンドバーから、保存を選択します。
9. 「属性とクレーム」セクションで、「編集」をクリックして、次のクレームを構成します。これらのクレームは、SAML応答内のSAMLアサーションに表示されます。SAMLアプリの作成後、次の属性を構成します。
   1. 「一意のユーザー識別子 (Name ID)」クレームの場合、デフォルト値をuser.localuserprincipalnameに更新します。
   2. 「cip_upn」クレームの場合、デフォルト値をuser.localuserprincipalnameに更新します。
   
   1. 「displayName」の場合、デフォルト値のuser.displaynameをそのままにします。
   2. 「givenName」クレームの場合、デフォルト値をuser.givennameに更新します。
   3. 「familyName」クレームの場合、デフォルト値をuser.surnameに更新します。
   4. 「追加のクレーム」セクションで、http://schemas.xmlsoap.org/ws/2005/05/identity/claims名前空間を持つ残りのクレームについては、省略記号 (...) ボタンをクリックし、「削除」をクリックします。これらのクレームは上記のユーザー属性の重複であるため、含める必要はありません。
   完了すると、「属性とクレーム」セクションは次のように表示されます。
   
10. このサードパーティのオンラインツールを使用して、Citrix Cloud SAML署名証明書のコピーを取得します。
    1. URLフィールドにhttps://saml.cloud.com/saml/metadataと入力し、「読み込み」をクリックします。
    
    1. ページの下部までスクロールし、「ダウンロード」をクリックします。
    
    「証明書のダウンロード」(/en-us/citrix-cloud/media/certificate_download.png)
11. Entra ID SAMLアプリケーションの署名設定を構成します。
    1. ステップ9で取得した本番SAML署名証明書をEntra ID SAMLアプリケーション内にアップロードします。
    2. 検証証明書を要求するを有効にします。
    「検証証明書」(/en-us/citrix-cloud/media/verification_cert.png)
    「検証証明書」(/en-us/citrix-cloud/media/saml_certificate.png)

トラブルシューティング

1. SAML-tracerブラウザ拡張機能などのSAMLネットワークツールを使用して、SAMLアサーションに正しいユーザー属性が含まれていることを確認します。

1. 黄色で表示されているSAML応答を見つけ、この例と比較します。
   「ネットワークツールからのSAML応答の例」(/en-us/citrix-cloud/media/saml-idp-aad-saml-tool-response.png)
2. 下部ペインのSAMLタブをクリックして、SAML応答をデコードし、XMLとして表示します。
3. 応答の最後までスクロールし、SAMLアサーションに正しいSAML属性とユーザー値が含まれていることを確認します。
   「SAMLアサーション値が強調表示されたXMLファイル」(/en-us/citrix-cloud/media/saml-idp-aad-assertion-values.png)

• SAMLトレーサーキャプチャ
• Citrix® StoreFront Cloudへのサインインが失敗した日時
• 影響を受けるユーザー名
• ストアへのサインインに使用したクライアントコンピューターの呼び出し元IPアドレス。このIPアドレスを取得するには、https://whatismyip.comのようなツールを使用できます。

Citrix Cloud SAML接続を構成する