ストア認証にEntra IDとEntra ID IDを使用するSAML

機能の範囲

• ストア認証用のSAML
• ADドメイン参加済みVDAを使用して公開されたリソースのCitrix DaaSおよびHDX™リソース列挙
• Entra IDドメイン参加済みVDAリソース列挙
• Azureハイブリッドドメイン参加済みVDAリソース列挙
• W365 Cloud PCの列挙と起動

どちらが最適か：AD IDかEntra ID IDか?

1. ストアでユーザーに提供するリソースの組み合わせを決定します。
2. 以下の表を使用して、各リソースタイプに適したユーザーIDのタイプを判断します。

   リソースタイプ (VDA)	ストアにサインインする際のユーザーID	Entra ID を使用した SAML ID が必要ですか？	FAS は VDA へのシングルサインオン (SSO) を提供しますか？
   AD参加済み	AD、ADからインポートされたEntra ID (SIDを含む)	いいえ。デフォルトのSAMLを使用します。	はい
   ハイブリッド参加済み	AD、ADからインポートされたEntra ID (SIDを含む)	いいえ。デフォルトのSAMLを使用します。	はい、IDプロバイダーとしてのADの場合。VDAにEntra IDが選択されている場合、FASは不要です。
   Entra参加済み	Entra IDネイティブユーザー、ADからインポートされたEntra ID (SIDを含む)	はい、Entra ID経由でSAMLを使用します。	いいえ
   Windows 365 クラウド PC	Entra IDネイティブユーザー、ADからインポートされたEntra ID (SIDを含む)	はい、Entra ID経由でSAMLを使用します。	いいえ
   AD参加済み、Entra ID参加済み、Windows 365 Cloud PC	ADからインポートされたEntra ID (SIDを含む)	はい、Entra ID経由でSAMLを使用します。	はい、AD参加済みの場合。いいえ、Entra ID参加済みおよびWindows 365 Cloud PCの場合。

詳細情報

• Citrix DaaSドキュメント:
  • マシンID
  • シトリックス HDX Plus for Windows 365
• Citrix FASドキュメント: 「インストールと構成」(/ja-jp/federated-authentication-service/current-release/install-configure.html)
• Microsoft Azureドキュメント: Entra ID Connectとは

要件

• Entra IDテナントはCitrix Cloudテナントに接続されている必要があります。Citrix Cloudコンソールで、 > を選択すると、既存のEntra ID接続を見つけることができます。

• ストア認証方法はSAML 2.0に設定する必要があります。Entra IDを認証方法として使用しないでください。ストア認証方法を変更するには、Citrix Cloudコンソールで** > ** に移動します。
• UPNサフィックス@yourdomain.comは、カスタムドメイン名としてEntra ID内にインポートおよび検証されている必要があります。Azureポータルでは、これは** > ** の下にあります。
• Entra IDユーザーIDは、Microsoft Entra ID Connectを使用してADからインポートする必要があります。これにより、ユーザーIDが正しくインポートされ、正しいUPNサフィックスが設定されていることが保証されます。@yourtenant.onmicrosoft.com UPNサフィックスを持つEntra IDユーザーはサポートされていません。
• Citrix FASは、Citrix Cloudテナントおよびリソースの場所に展開され、接続されている必要があります。FASは、StoreFront Cloudから起動されるHDXデスクトップおよびアプリケーションへのシングルサインオンを提供します。ADとEntra IDの両方のユーザーIDのUPNuser@customerdomainが一致する必要があるため、ADシャドウアカウントを構成する必要はありません。FASは、正しいUPNを持つ必要なユーザー証明書を生成し、HDXリソースが起動されたときにスマートカードサインインを実行します。

カスタムEntra IDエンタープライズSAMLアプリケーションの構成

1. Azureポータルにサインインします。
2. ポータルメニューから、Entra ID を選択します。
3. 左ペインの 管理 で、エンタープライズ アプリケーション を選択します。
4. 作業ペインのコマンドバーから、新しいアプリケーション を選択します。
5. コマンドバーから、独自のアプリケーションを作成 を選択します。Citrix Cloud SAML SSOエンタープライズアプリケーションテンプレートは使用しないでください。このテンプレートでは、クレームとSAML属性のリストを変更できません。
6. アプリケーションの名前を入力し、ギャラリーで見つからないその他のアプリケーションを統合します (ギャラリー以外) を選択します。作成 をクリックします。アプリケーションの概要ページが表示されます。
7. 左ペインから シングル サインオン を選択します。作業ペインから SAML を選択します。
8. 基本的な SAML 構成 セクションで、編集 を選択し、次の設定を構成します。
   1. 識別子 (エンティティ ID) セクションで、識別子の追加 を選択し、Citrix Cloudテナントが配置されているリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com と入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jp と入力します。
      • Citrix Cloud Governmentリージョンの場合は、https://saml.cloud.us と入力します。
   2. 応答 URL (Assertion Consumer Service URL) セクションで、応答 URL の追加 を選択し、Citrix Cloudテナントが配置されているリージョンに関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部地域の場合は、https://saml.cloud.com/saml/acsと入力します。
      • 日本地域の場合は、https://saml.citrixcloud.jp/saml/acsと入力します。
      • Citrix Cloud Government地域の場合は、https://saml.cloud.us/saml/acsと入力します。
   3. **Logout URL (Optional)**セクションで、Citrix Cloudテナントが配置されている地域に関連付けられた値を入力します。
      • 欧州連合、米国、およびアジア太平洋南部地域の場合は、https://saml.cloud.com/saml/logout/callbackと入力します。
      • 日本地域の場合は、https://saml.citrixcloud.jp/saml/logout/callbackと入力します。
      • Citrix Cloud Government地域の場合は、https://saml.cloud.us/saml/logout/callbackと入力します。
   4. コマンドバーから、Saveを選択します。
9. Attributes & Claimsセクションで、Editを選択して以下のクレームを構成します。これらのクレームは、SAML応答内のSAMLアサーションに表示されます。
   1. **Unique User Identifier (Name ID)**クレームの場合、デフォルト値をuser.localuserprincipalnameに更新します。
   2. コマンドバーから、Add new claimを選択します。
   3. Nameに、cip_directoryと入力します。
   4. Sourceで、Attributeが選択されたままにします。
   5. Source attributeに、azureadと入力します。この値は、入力後に引用符で囲まれて表示されます。
      
   6. コマンドバーから、保存を選択します。
   7. 名前フィールドとソース属性フィールドに以下の値を持つ追加のクレームを作成します。

      名前	ソース属性
      cip_fed_upn	user.localuserprincipalname
      displayName	user.displayname
      givenName	user.givenname
      familyName	user.surname

      UPN値を含むクレーム管理画面(/en-us/citrix-cloud/media/manage-claims-screen-with-upn-value.png)
      重要:
      これらの追加クレームは、各クレームに対して手順b～fを繰り返すか、上記の表に記載されているソース属性が既に設定されている追加クレームセクションのデフォルトクレームを変更することで作成できます。デフォルトクレームには、名前空間http://schemas.xmlsoap.org/ws/2005/05/identity/claimsが含まれます。
      デフォルトのクレームを変更する場合は、各クレームから名前空間を削除する必要があります。新しいクレームを作成する場合は、名前空間を含むクレームを削除する必要があります。この名前空間を持つクレームが結果のSAMLアサーションに含まれている場合、アサーションは無効になり、誤ったSAML属性名が含まれます。

   8. 追加クレームセクションで、http://schemas.xmlsoap.org/ws/2005/05/identity/claims名前空間を持つ残りのクレームについて、省略記号（...）ボタンをクリックし、削除をクリックします。
      削除メニューが強調表示されています(/en-us/citrix-cloud/media/saml-idp-aad-delete-schema-claims.png)
   完了すると、属性とクレームセクションは以下に示すように表示されます。
   Entra IDの属性とクレームが完了しました(/en-us/citrix-cloud/media/azure-ad-completed-attributes-and-claims.png)
10. このサードパーティのオンラインツールを使用して、Citrix Cloud SAML署名証明書のコピーを取得します。
11. URLフィールドに<https://saml.cloud.com/saml/metadata>を入力し、読み込みをクリックします。
    メタデータ証明書の抽出(/en-us/citrix-cloud/media/saml-meta-cert.png)
12. ページの下部までスクロールし、ダウンロードをクリックします。
    ダウンロード(/en-us/citrix-cloud/media/saml-certi-download.png)
    ダウンロードされたファイル(/en-us/citrix-cloud/media/saml-certi-file.png)
13. Entra ID SAMLアプリケーションの署名設定を構成します。
14. 手順10で取得した本番SAML署名証明書をEntra ID SAMLアプリケーション内にアップロードします。
    • 検証証明書を要求するを有効にします。
    検証証明書(/en-us/citrix-cloud/media/saml-verify-certi.png)
    SAML証明書(/en-us/citrix-cloud/media/saml-certi.png)

トラブルシューティング

1. SAML-tracerブラウザ拡張機能などのSAMLネットワークツールを使用して、SAMLアサーションに正しいユーザー属性が含まれていることを確認します。
2. 黄色で表示されているSAML応答を見つけ、この例と比較します。
   ネットワークツールからのSAML応答の例(/en-us/citrix-cloud/media/saml-idp-aad-saml-tool-response.png)
3. 下部ペインのSAMLタブをクリックして、SAML応答をデコードし、XMLとして表示します。
4. 応答の一番下までスクロールし、SAMLアサーションに正しいSAML属性とユーザー値が含まれていることを確認します。
   SAMLアサーション値が強調表示されたXMLファイル(/en-us/citrix-cloud/media/xml-file-with-saml-assertion-value-highlighted.png)

• SAML-tracerキャプチャ
• ストアへのサインインが失敗した日時
• 影響を受けるユーザー名
• ストアへのサインインに使用したクライアントコンピューターの発信元IPアドレス。このIPアドレスを取得するには、https://whatismyip.comのようなツールを使用できます。

Citrix Cloud SAML接続を構成する