ストア認証用のSAMLプロバイダーとしてADFSを構成する

最終公開日 : Oct 24, 2026
この記事では、SAMLを使用してストアまたはCitrix CloudにサインインするためにCitrix Cloud™が必要とする証明書利用者信頼を構成する方法について説明します。
この記事の手順を完了すると、(/ja-jp/citrix-cloud/citrix-cloud-management/identity-access-management/saml-identity.html)で説明されているように、ADFSサーバーとCitrix Cloud間のSAML接続を構成できます。SAML接続に正しいADFS値を入力するためのガイダンスについては、この記事の(#saml-configuration-in-citrix-cloud)を参照してください。
Related information
SAMLをIDプロバイダーとしてCitrix Cloud™に接続する

前提条件

この記事の手順は、お客様の環境にCitrix FASを含む動作中のADFSサーバー展開があることを前提としています。セッション起動中にVDAへのシングルサインオンを提供するには、Citrix FASが必要です。
詳細については、次の記事を参照してください。

Citrix Cloud用の証明書利用者信頼を構成する

  1. AD FS管理コンソールから、左ペインのAD FSノードを展開します。
  2. 証明書利用者信頼を右クリックし、証明書利用者信頼の追加を選択します。
    証明書利用者信頼の追加メニューオプション
    証明書利用者信頼の追加ウィザードが表示されます。
  3. 「クレーム対応」を選択し、「次へ」を選択します。
    クレーム対応オプションが選択されたADFS信頼ウィザード (/en-us/citrix-cloud/media/saml-adfs-trust-wizard-claims-aware-option.png)
  4. 「フェデレーションメタデータアドレス」にhttps://saml.cloud.com/saml/metadata.xmlと入力します。「次へ」を選択します。
    フェデレーションメタデータアドレスが入力されたADFS信頼ウィザード (/en-us/citrix-cloud/media/saml-adfs-trust-wizard-federation-metadata-address.png)
  5. 表示名にCitrixCloudProdと入力します。「次へ」を選択します。
    表示名が入力されたADFS信頼ウィザード (/en-us/citrix-cloud/media/saml-adfs-trust-wizard-display-name.png)
  6. アクセス制御ポリシーで、「全員を許可」を選択します。「次へ」を選択します。
    アクセス制御ポリシーが強調表示されたADFS信頼ウィザード (/en-us/citrix-cloud/media/saml-adfs-trust-wizard-access-control-policy.png)
  7. 「信頼の追加準備完了」画面で、「次へ」を選択します。
  8. 「完了」画面で、「このアプリケーションのクレーム発行ポリシーを構成する」を選択します。「次へ」を選択します。
    クレーム発行ポリシーの編集メニューオプションが選択されたADFSコンソール (/en-us/citrix-cloud/media/saml-adfs-edit-claim-issuance-policy.png)
  9. 新しく作成した証明書利用者信頼を右クリックし、「クレーム発行ポリシーの編集」を選択します。
  10. 「ルールの追加」をクリックし、「LDAP属性をクレームとして送信」を選択します。「次へ」を選択します。
  11. 「クレームルール名」にCitrixCloudと入力します。
  12. 「属性ストア」で、「Active Directory」を選択します。
  13. 「LDAP属性を送信要求タイプにマッピング」の下で、以下のLDAP属性を、表示されているとおりに正確に追加します。
    LDAP属性 送信要求タイプ
    ユーザープリンシパル名 名前ID
    ユーザープリンシパル名 cip_upn
    表示名 displayName
    名 givenName
    姓 familyName
    重要：
    NameIDは常に、要求リストに追加される最初の要求である必要があります。そうしないと、シングルログアウト（SLO）が正しく機能しません。
    構成されたクレームルール(/en-us/citrix-cloud/media/saml-adfs-edit-claim-issuance-rule-dialog.png)
  14. 完了を選択します。
  15. 新しく作成された「CitrixCloudProd」という名前の証明書利用者信頼を右クリックし、プロパティを選択します。
  16. エンドポイントタブを選択し、SAMLの追加をクリックします。
  17. エンドポイントタイプのドロップダウンリストからSAMLログアウトを選択します。
  18. バインディングのドロップダウンリストからPOSTを選択します。
  19. 信頼されたURL: と応答URL: の両方にhttps://saml.cloud.com/saml/logout/callback>を入力します。
    SAMLエンドポイント(/en-us/citrix-cloud/media/saml-endpoint.png)
  20. OKと適用をクリックします。

PowerShellを使用してCitrix Cloud証明書利用者信頼を変更する

ADFSサーバーを既定の「標準」構成で設定している場合、このセクションの手順に従って、Citrixが推奨する構成に適合するように更新できます。このタスクは、nameidentifier属性がクレームルールセットに含まれていないか、クレームルールセットの最初のSAML属性でない場合に、Citrix CloudまたはストアからのSAMLシングルログアウトが失敗する問題を解決するために必要です。
注:
この記事のCitrix Cloudの証明書利用者信頼を構成するの手順を使用してクレームルールセットを作成した場合、このタスクを実行する必要はありません。
このタスクを完了するには、既存のルールセットをPowerShellを使用して新しいクレームルールセットに置き換えます。ADFS管理コンソールでは、この種の操作はサポートされていません。
  1. ADFSサーバーでPowerShell ISEを見つけます。右クリックして管理者として実行を選択します。
  2. 既存のADFSクレームルールをテキストファイルにバックアップします。
    Get-ADFSRelyingPartyTrust -name "CitrixCloudProd" | Select-Object -ExpandProperty IssuanceTransformRules | Out-File "$env:USERPROFILE\desktop\claimrulesbackup.txt"
  3. Citrixが提供するclaimrules.txtファイルをこちらからダウンロードします。
  4. claimrules.txtファイルをデスクトップにコピーします。
  5. claimrules.txtファイルを使用して、必要なクレームルールをインポートします。
    Set-ADFSRelyingPartyTrust -Name "CitrixCloudProd" `
                          -MetadataUrl "https://saml.cloud.com/saml/metadata" `
                          -AutoUpdateEnabled $True `
                          -IssuanceTransformRulesFile "$env:USERPROFILE\desktop\claimrules.txt" `
                          -SignedSamlRequestsRequired $True `
                          -SamlResponseSignature "MessageAndAssertion" `
                          -Enabled $True

PowerShellを使用して、証明書利用者信頼のSAML署名設定を更新する

デフォルトでは、ADFS証明書利用者信頼には次の設定があります。
  • EncryptClaims: 真
  • SignedSamlRequestsRequired: 偽
  • SamlResponseSignature: AssertionOnly
セキュリティを強化するため、Citrixではシングルサインオン (SSO) とシングルログアウトの両方に署名付きSAML要求を使用することを推奨しています。このセクションでは、PowerShellを使用して既存の証明書利用者信頼の署名設定をCitrix推奨構成に適合するように更新する方法について説明します。
  1. ADFSサーバーで現在のRelyingPartyTrust構成を取得します。
    Get-ADFSRelyingPartyTrust -TargetName "CitrixCloudProd"
  2. CitrixCloudProd証明書利用者信頼設定を更新します。
    Set-ADFSRelyingPartyTrust -Name "CitrixCloudProd" `
                          -SignedSamlRequestsRequired $True `
                          -SamlResponseSignature "MessageAndAssertion"

Citrix CloudでのSAML構成

Citrix CloudでSAML接続を構成する際（(/ja-jp/citrix-cloud/citrix-cloud-management/identity-access-management/saml-identity.html#add-saml-provider-metadata-to-citrix-cloud)で説明）、ADFSの値を次のように入力します。
Identity and Access Management > Authentication > Add an identity provider > SAML内のSAML接続には、デフォルトの推奨値を使用します。
Citrix Cloud のこのフィールドで この値を入力します
エンティティID https://adfs.YourDomain.com/adfs/services/trust。ここで YourDomain.com は ADFS サーバーのドメインです。
認証要求に署名 はい
SSOサービスURL https://adfs.YourDomain.com/adfs/ls。ここで YourDomain.com は ADFS サーバーのドメインです。
SSOバインディングメカニズム HTTP ポスト
SAML応答 応答またはアサーションのいずれかに署名
認証コンテキスト 未指定、正確
ログアウトURL https://adfs.YourDomain.com/adfs/ls。ここで、YourDomain.comはお使いのADFSサーバーのドメインです。
ログアウト要求に署名 はい
SLOバインディングメカニズム HTTP ポスト
MMC ADFS管理コンソール内からADFS署名証明書をエクスポートします。SAML接続内でCitrix Cloudにアップロードする3つの証明書のうち、どれが正しいものかについては、以下のスクリーンショットを参照してください。
ADFSのエクスポート(/en-us/citrix-cloud/media/export-adfs.png)