複数のカスタムURLを使用してSAMLでストアにサインインする

最終公開日 : Oct 24, 2026
ストアのカスタムURLでSAMLをサポートするアーキテクチャは、SAML IdP内で構成された1つのSAMLアプリケーションのみを使用して、複数のカスタムドメインをサポートするように簡素化および更新されました。Citrix Cloudの認証プラットフォームとストアのカスタムURLサービス内で変更が行われ、SAMLと条件付き認証で最大10個のカスタムURLをサポートできるようになりました。従来、cloud.com SAMLエンドポイントを持つSAMLアプリケーションを1つ、カスタムURLを含むSAMLエンドポイントを持つSAMLアプリケーションをもう1つ構成する必要がありました。すべてのSAMLユースケースをサポートするために、複数の異なるSAMLアプリケーションを作成および維持する必要はなくなりました。
複数のカスタムURLをサポートする新しいアーキテクチャの利点。
Citrix CloudのSAMLエンドポイントを含むSAMLアプリケーションを1つだけ作成します。これは、saml.cloud.com (米国、EU、APS)、saml.citrixcloud.jp (日本)、saml.cloud.us (政府) など、Citrix Cloudの地域と一致します。
SAMLアプリケーションエンドポイントの例：
  • エンティティID https://saml.cloud.com または https://saml.cloud.com/<guid>
  • アサーションコンシューマーサービス (SSO): https://saml.cloud.com/saml/acs
  • ログアウト (SLO): https://saml.cloud.com/saml/logout/callback
サポートされているSAMLログオンユースケース：
  • 単一のSAMLアプリケーションを使用して、いずれかのストアURLでストアにログオンします。 store.cloud.com または store.mycustomer.com
  • 管理者アクセス用のSAMLを使用してCitrix Cloudにログオンする場合も、同じ汎用SAMLアプリケーションを使用します。
  • IdP内の単一のSAMLアプリケーションで、複数の異なるSAMLアプリケーションを作成および維持することなく、最大10個のストアカスタムURLをサポートできるようになりました。Citrix Cloudは、すべてのSAMLユースケースをサポートするために、カスタムURL SAMLエンドポイントを持つ追加のSAMLアプリケーションを必要としなくなりました。
Related information
SAMLをIDプロバイダーとしてCitrix Cloud™に接続する

よくある質問

ストアの複数カスタムURL機能とは何ですか?

従来、Citrix Cloudは最初のストアcloud.com URLにリンクされた単一のカスタムURLのみをサポートしていました。現在、最大10個のストアcloud.com URLそれぞれにカスタムURLを構成できます。これらはURLのペアを形成し、各カスタムURLは対応するcloud.com URLのDNSにおけるCNAMEです。
マルチカスタムURLのリリース前は、プライマリ cloud.com ストアURLに関連付けられたカスタムURLは1つのみ、StoreFront Cloud > Access でサポートされていました。
SAML カスタムドメインストアURL
マルチカスタムURLのリリース後の StoreFront Cloud > Access。現在、1～10個のカスタムURLがサポートされています。
条件付き認証の複数のカスタムドメイン

カスタムURLを移行する必要があるかどうかは、どのように判断すればよいですか?

これは、Citrix Cloudとストアで使用したい認証機能の組み合わせ、現在のログオンシナリオ、および現在のSAMLソリューションによって決まります。ガイダンスについては、以下の表を使用してください。
SAMLログオンシナリオ 未移行のカスタムURL 移行済みのカスタムURL
カスタムURLエンドポイント を使用して1つのSAMLアプリでストアにログオン サポートされています (カスタムURL 1つ) サポートされていません (カスタムURL 1～10個)
2つのSAMLアプリでストアにログオン サポートされています (カスタムURL 1つ) サポートされています (カスタムURL 1～10個)
SAML 1xアプリとcloud.com URLエンドポイントを使用したCitrix Cloud管理者ログイン サポート対象 サポート対象
2x SAMLアプリを使用したCitrix Cloud管理者ログイン サポート対象 サポート対象
SAML 1xアプリとカスタムURLエンドポイントを使用したCitrix Cloud管理者ログイン サポート対象外 サポート対象外
ストアURLとSAMLを使用した条件付き認証ポリシー サポート対象 サポート対象
エンドユーザーがブラウザまたはCitrix Workspaceアプリにcloud.com URLを入力
ストアURLとSAMLを使用した条件付き認証ポリシー サポート対象外（カスタムURL 1つ） サポート対象（URL 1～10個）
エンドユーザーがブラウザまたはCitrix WorkspaceアプリにカスタムURLを入力する

複数のカスタムURLをサポートするために、SAMLとカスタムURLのアーキテクチャを変更する必要があったのはなぜですか?

スケーラビリティ。Citrix Cloudに複数のカスタムURLが導入されたことで、カスタムURLごとにSAMLアプリを必要とする従来のアーキテクチャではスケーリングできず、Citrix Cloud管理者とIdP管理者の両方にとって非現実的です。
従来のSAMLカスタムURLの要件:
  • SAMLを使用したCitrix Cloud管理者ログオン用のSAMLアプリケーション cloud.com 1つ。
  • カスタムURLごとにSAMLアプリケーション1つ。
IdP構成の複雑さ。各SAMLアプリケーションは、SAMLエンドポイントを除いて同一に構成する必要があり、SAML IdP内で追加の作業が発生していました。これにより、展開と構成の複雑さが増していました。新しいマルチカスタムドメインアーキテクチャでは、この必要がなくなり、IdP内で1つのSAMLアプリケーションだけで1～10個のカスタムURLをサポートできます。
継続的なIdPメンテナンス作業。複数のSAMLアプリケーションを構成および維持し、複数のSAMLアプリケーションで継続的な年間証明書ローテーション作業を実行することは、Citrix Cloud管理者とIdP管理者の両方にとって労力がかかり、望ましくありません。この問題は、カスタムドメインが追加され、より多くのSAMLアプリケーションが必要になるにつれて、管理者にとってさらに増大します。新しいアーキテクチャでは、すべてのSAMLおよびカスタムURLのユースケースで1つのSAMLアプリケーションのみが必要となるため、このメンテナンスの問題が解消されます。

Citrixが現在のカスタムURL SAMLソリューションから新しいよりシンプルなソリューションへの移行を求めているのはなぜですか?

マルチカスタムURL機能とカスタムURLでの条件付き認証の両方を使用するには、従来の1xおよび2x SAMLアプリケーション構成を更新および移行する必要があります。このドキュメントには、従来の1xまたは2x SAMLアプリケーションソリューションのいずれかを使用しているお客様向けの移行方法に関する手順が含まれています。
StoreFront Cloud > アクセス内のこの警告は、1つ以上のカスタムURLが移行を必要としていることを示しています。
SAMLカスタムドメインURL警告(/en-us/citrix-cloud/media/saml-custom-domain-url-warning.png)
この警告は、StoreFront Cloud > 認証内でSAMLまたは条件付き認証のいずれかを有効にしている場合にのみ表示されます。
認証ページのスクリーンショット(/en-us/citrix-cloud/media/saml-custom-domain-workspace-config.png)

最大10個までのすべての新しいカスタムURLをサポートするために、SAML IdP構成は同じですか?

はい。ストアにアクセスするために1つだけ、または複数のカスタムURLを使用する意図がある場合は、SAMLアプリケーションを同一に構成してください。

複数のSAMLアプリと複数のカスタムドメインで、条件付き認証は現在サポートされていますか?

はい。これは、多くの大企業が利用したいと考える一般的なシナリオです。1～10個のcloud.com URLのいずれかを使用して、異なるSAMLアプリケーションに解決する条件付き認証ポリシーを作成することは常に可能でした。これで、各cloud.com URLは独自のカスタムURL（URLのペア）を持つことができます。
エンドユーザーが使用するストアURLに基づいて異なるIdP間の切り替えに関する詳細な手順については、この記事条件付き認証の記事を参照してください。

複数のカスタムURLを使用しない場合、またはカスタムURLとSAMLで条件付き認証を使用しない場合、移行されていないレガシーSAML接続は引き続き機能します?

はい。既存のレガシー1xおよび2x SAMLアプリソリューションとの下位互換性は維持され、既存のSAMLアプリケーションソリューションは引き続き機能し、サポートされます。カスタムURLのいずれかが未移行の状態のままである場合、SAMLまたは条件付き認証でカスタムURLを使用することはできません。

マルチカスタムURL機能のリリース後に新しいカスタムURLをオンボードした場合、これらの新しいURLに対して移行を実行する必要があります?

いいえ。マルチカスタムURL機能のリリース後に新しくオンボードされたすべてのカスタムドメインは、新しいアーキテクチャをサポートし、移行する必要はありません。移行は、マルチカスタムURL機能のリリース前に作成されたカスタムURL構成にのみ適用されます。これは通常、複数のカスタムURLのサポートが導入される前に存在していた、Citrix Cloudテナント内で構成した最初で唯一のカスタムURLに該当します。

レガシーカスタムURLとSAML構成の移行

移行アクションを実行する前に、現在のカスタムURLとSAML構成、および現在1xまたは2x SAMLアプリケーションソリューションで運用しているかどうかを理解するために、レガシーカスタムURL SAML構成セクション全体を読む必要があります。移行アクションは計画されたメンテナンス期間中に実施し、IdPから古いSAMLアプリケーションを削除する前に、移行後にテストを実施してSAMLログオンに影響がないことを確認する必要があります。
重要:
このドキュメントの「レガシーカスタムURL SAML構成」セクションで説明されている1xまたは2x SAMLアプリソリューションのいずれとも、Citrix CloudとSAML IdPの両方におけるレガシーSAML構成が正確に一致しない場合、サポートされていない状態になります。

現在の2x SAMLアプリケーションカスタムURLソリューションから、よりシンプルな新しいソリューションへ移行するにはどうすればよいか?

  1. Citrix Cloud管理者は、Citrix CloudのカスタムURLサービスとSAML IdPの両方で必要な変更を行うために、IdP管理者と連携する必要があります。
  2. SAML IdP内で、プライマリおよびセカンダリSAMLアプリケーションの両方の存在と構成を確認します。これは、EntraID、Okta、Duo、PingFederateなどのSAML IdPごとに異なります。
  3. 既存のプライマリSAMLアプリケーションのCitrix Cloud SAMLエンドポイントを変更しないでください。これは、Identity and Access Management > Authentication内に表示されるSAMLアプリケーションであり、カスタムURLの移行後、すべてのSAMLログオンユースケースに使用されます。
    Citrix Cloud Commercial US、EU、およびAPSからのプライマリアプリケーションの例
    • エンティティID: https://saml.cloud.com または https://saml.cloud.com/<guid>
    • アサーションコンシューマーサービス (SSO): https://saml.cloud.com/saml/acs
    • ログアウト (SLO): https://saml.cloud.com/saml/logout/callback
  4. この廃止されたセカンダリSAMLアプリケーションを特定します。このSAMLアプリケーションの構成は、StoreFront Cloud > Accessメニュー内で指定されています。
    セカンダリアプリケーションの例
    • エンティティID: https://saml.cloud.com または https://saml.cloud.com/<guid>
    • アサーションコンシューマーサービス (SSO): https://workspaces.mycompany.com/saml/acs
    • ログアウト (SLO): https://workspaces.mycompany.com/saml/logout/callback
  5. 「StoreFront Cloud > アクセス」に移動し、「警告アイコン」をクリックして移行UIを開きます。 カスタムURL移行の警告
  6. 以下に示す「SAML構成を移行」ボタンをクリックします。 2アプリソリューションUIの移行
  7. 警告を受け入れ、このUI内から移行を実行します。 2アプリソリューションボタンの移行
  8. 「移行」をクリックします。
    重要:
    移行により、ストアのカスタムURLサービス内のレガシーバックエンドデータが更新されます。これは、ストアのカスタムURLサービスレコードに対する元に戻せない操作であり、一度実行すると元に戻すことはできません。
  9. 移行が成功すると、カスタムURLの横にステップ4で表示された警告アイコンが消えるはずです。これは、ストアのカスタムURLサービス内のバックエンドデータが更新されたことを示します。
    移行後もすべてのSAMLログオンユースケースが正常に機能することを確認します。
    • cloud.com URLを使用して、ストアへのSAMLログオンをテストします。これはプライマリSAMLアプリケーションを使用します。
    • すべてのカスタムURLを使用して、ストアへのSAMLログオンをテストします。これは以前、移行前はセカンダリSAMLアプリケーションを使用していましたが、現在は変更されていないプライマリSAMLアプリケーションを使用します。
    • 移行前に構成されたAD管理者ユーザーおよびグループを使用して、管理者サインインURLを使用してCitrix CloudへのSAMLログオンをテストします。これはプライマリSAMLアプリケーションを使用します。
  10. バックエンドストアのカスタムURLサービスデータが正常に更新されたことを確認します。
    例: FireFox開発者ツールを使用する場合。
    キーボードのF12キーを押してブラウザの開発者ツールを開き、開発者ツールがすでに実行されているCitrix Cloud UIの他のページから「StoreFront Cloud > アクセス」に移動します。これにより、Citrix Cloudコンソールが行うすべてのREST API呼び出しがキャプチャされ、カスタムURLのリストが返されます。
    移行されたカスタムURLのトラブルシューティング
    ネットワーク検索ダイアログに customdomain を入力して、正しい REST API 呼び出しをフィルタリングします。
    この REST API 呼び出しを見つけます:
    GET https://custom-domain-service.us.wsp.cloud.com/services/custom-domain-service/customers/<CCID>/stores/<storeID>/customdomains
    移行されたカスタム URL オブジェクトには、この追加データが含まれます。
    "addNewSamlVanityFlowRequestHeader":true
    カスタム URL オブジェクトの例:
    "items": [
        {
            "domain": "stores.mycompany.com",
            "id": "74cd36a1-d0b1-48be-a237-cd43770647a9",
            "state": "Ready",
            "workspaceDomain": {
                "domain": "stores.cloud.com"
            },
            "trafficManager": {
                "address": "wsp-cd-eastus2-prod-traffic-manager-profile-12-74788.trafficmanager.net"
            },
            "certificateInformation": {
                "expiry": "2026-05-24T08:23:42.0000000Z",
                "type": "Managed"
            },
            "authentication": {
                "addNewSamlVanityFlowRequestHeader": true
            }
        }
    ]
  11. カスタム URL SAML エンドポイントを使用するセカンダリアプリケーションを SAML IdP 内から削除します。セカンダリ SAML アプリケーションは、SAML ログオンフロー中に使用されなくなります。
    重要:
    セカンダリ SAML アプリケーションは、移行が成功したこと、および必要なすべての SAML ログオンシナリオがテストされたことを確認してから削除してください。

現在の 1x SAML アプリケーションカスタム URL ソリューションから新しいよりシンプルなソリューションへの移行方法?

  1. Citrix Cloud 管理者は、IdP 管理者と連携して、Citrix Cloud のカスタム URL サービスと SAML IdP の両方で必要な変更を行う必要があります。
  2. SAML IdP 内で、カスタム URL SAML アプリケーションの存在と構成を確認します。SAML IdP 内には、SAML アプリケーションが 1 つだけ構成されている必要があります。これは、EntraID、Okta、Duo、PingFederate など、SAML IdP ごとに異なります。
    既存のプライマリ SAML アプリケーションの Citrix Cloud SAML エンドポイントは、この例のようになります。
    プライマリアプリケーションの例
    • エンティティ ID: https://saml.cloud.com または https://saml.cloud.com/<guid>
    • アサーションコンシューマサービス (SSO): https://workspaces.mycompany.com/saml/acs
    • ログアウト (SLO): https://workspaces.mycompany.com/saml/logout/callback
  3. サポートケースを起票し、Citrixサポートおよびエンジニアリングに連絡して、カスタムドメインの移行支援を依頼してください。CitrixエンジニアリングがSAML構成を確認した後、お客様に代わってカスタムURLを移行します。
  4. SAMLアプリケーションに安全に変更を加えるには、ステップ3を完了する必要があります。既存のプライマリSAMLアプリケーションのCitrix Cloud SAMLエンドポイントをこの例のように更新してください。
    重要:
    プライマリ SAMLアプリケーションの既存のEntityID SAMLエンドポイントを更新または変更しないでください。これを変更する必要はありません。ACSおよびログアウトSAMLエンドポイントのみを更新する必要があります。
    プライマリアプリケーションの例
    • エンティティID: https://saml.cloud.com または https://saml.cloud.com/<guid> (変更しないでください)
    • アサーションコンシューマーサービス (SSO): https://saml.cloud.com/saml/acs (更新)
    • ログアウト (SLO): https://saml.cloud.com/saml/logout/callback (更新)
  5. StoreFront Cloud > アクセスに移動し、警告アイコンをクリックして移行UIを開きます。 カスタムURL移行の警告
  6. ステップ4でカスタムURLの横に表示されていた警告アイコンは、Citrixサポートおよびエンジニアリングが移行を完了すると消えます。これは、ストアのカスタムURLサービス内のバックエンドデータが正常に更新されたことを示します。
  7. すべてのカスタムURL（移行前にセカンダリSAMLアプリケーションを使用していたもの）を使用して、ストアへのSAMLログオンをテストします。
    • cloud.com URL（引き続きプライマリSAMLアプリケーションを使用）を使用して、ストアへのSAMLログオンをテストします。
    • すべてのカスタムURL（移行前にセカンダリSAMLアプリケーションを使用していたもの）を使用して、ストアへのSAMLログオンをテストします。

レガシーカスタムURL SAML構成

Citrix Cloud環境に1xまたは2x SAMLアプリケーションソリューションのいずれかを展開しているかどうかを判断するには、現在使用しているSAMLサインインシナリオの組み合わせを特定し、SAML IdP内の現在のSAMLアプリケーションを調べます。
以下のサインインシナリオは、デフォルトで同じSAMLアプリケーション（SAML App 1）を共有します。
  • お使いの地域のストアサインインURL（cloud.com、citrixcloud.jp、cloud.us）がSAMLプロバイダーでSPエンティティIDとして構成されているSAML認証。
  • 固有のサインインURL（例: https://citrix.cloud.com/go/mycompany）を使用したCitrix CloudのSAML認証。このシナリオでは、管理者はActive Directory（AD）グループメンバーシップに基づいて、SAMLを使用してCitrix Cloudに認証されます。
Citrix® StoreFront Cloudで構成するカスタムドメイン（例: https://workspaces.mycompany.com）を介してユーザーのSAML認証を追加するには、2番目のSAMLアプリケーション（SAML App 2）が必要です。
注：
カスタムURLの追加とSAMLの構成には、Citrix Cloudでのプロビジョニングに最大24時間かかります。
次の表に、サポートされているSAMLサインインシナリオの組み合わせと必要なSAMLアプリを示します。
ストアURLでストアにサインイン カスタムドメインURLでストアにサインイン SAMLサインインURLを使用してCitrix Cloudにサインイン SAML App 1は必要ですか？ SAML App 2は必要ですか？
はい いいえ いいえ はい - cloud.com SAMLエンドポイントを使用します いいえ
いいえ はい いいえ はい - カスタムドメインSAMLエンドポイントを使用します いいえ
いいえ いいえ はい はい - cloud.com SAMLエンドポイントを使用します いいえ
はい いいえ はい はい - cloud.com SAMLエンドポイントを使用 いいえ
いいえ いいえ はい はい - cloud.com SAMLエンドポイントを使用 はい - カスタムドメインSAMLエンドポイントを使用
はい はい はい はい - cloud.com SAMLエンドポイントを使用 はい - カスタムドメインSAMLエンドポイントを使用

1x SAMLアプリケーション構成 (レガシーSAML構成)

  1. Citrix Cloudで、StoreFront Cloud > Access内にカスタムURLを構成しました。
  2. SAMLプロバイダーの管理コンソールで、ストアのカスタムURLをSPエンドポイントとして使用して、1つのSAMLアプリケーションを構成しました。
    レガシーカスタムURL SAMLアプリケーションエンドポイントの例
    • エンティティID: https://saml.cloud.com または https://saml.cloud.com/<guid>
    • アサーションコンシューマーサービス (SSO): https://workspaces.mycompany.com/saml/acs
    • ログアウト (SLO): https://workspaces.mycompany.com/saml/logout/callback
    次の例は、Entra ID のカスタムURL SAMLエンドポイント構成を示しています。
    セカンダリSAMLアプリカスタムドメイン
    次の例は、Okta のカスタムURL SAMLエンドポイント構成を示しています。ここでは、オーディエンス制限にエンティティID値が含まれています。
    SAMLカスタムドメインOktaの例
  3. StoreFront Cloud > アクセス > 編集内で、カスタムドメインのみを使用を選択しました。
    カスタムドメインアクセス 1x SAMLアプリ

2つのSAMLアプリケーション構成 (レガシーSAML構成)

  1. Citrix Cloudで、StoreFront Cloud > アクセス内にカスタムドメインを構成しました。
  2. SAMLプロバイダーの管理コンソール内で、2つのSAMLアプリケーションを構成しました。
  3. プライマリSAMLアプリケーション内で、次のcloud.com SPエンドポイントを構成しました。
    • エンティティID: https://saml.cloud.com または https://saml.cloud.com/<guid>
    • アサーションコンシューマーサービス (SSO): https://saml.cloud.com/saml/acs
    • ログアウト (SLO): https://saml.cloud.com/saml/logout/callback
    次の例は、Okta管理コンソールでのこのエンドポイント構成を示しています。
    SAMLカスタムドメインOktaの例
    次の例は、Entra ID管理コンソールでのこのサービスプロバイダーエンドポイント構成を示しています。
    セカンダリSAMLアプリカスタムドメイン
  4. セカンダリSAMLアプリケーション内で、次のストアカスタムドメインSPエンドポイントを構成しました。
    • エンティティID: https://saml.cloud.com
    • アサーションコンシューマーサービス (SSO): https://workspaces.mycompany.com/saml/acs
    • ログアウト (SLO): https://workspaces.mycompany.com/saml/logout/callback 次の例は、Oktaコンソールでのこのサービスプロバイダーエンドポイント構成を示しています。 SAMLカスタムドメインOktaの例
    • 次の例は、Entra IDコンソールでのこのサービスプロバイダーエンドポイント構成を示しています。 セカンダリSAMLアプリカスタムドメイン
  5. StoreFront Cloud > アクセス > 編集内で、customer.cloud.com URLとカスタムURLの両方を使用を選択しました。 セカンダリSAMLアプリカスタムドメイン
  6. 省略記号メニューから、 > 内で > を選択します。SAML構成ページには、エンティティID、SSO URL、およびログアウトURL用に構成されたSAMLエンドポイントのペアが表示されます。 セカンダリSAMLアプリカスタムドメイン