ストア認証用のSAMLプロバイダーとしてDuoを構成する

最終公開日 : Oct 24, 2026
この記事では、Duo SAMLアプリケーションと、Citrix Cloud™とSAMLプロバイダー間のSAML接続を構成するために必要な手順について説明します。これらの手順の一部は、Duo SAMLプロバイダーの管理コンソールで実行するアクションについて説明しています。
Related information
SAMLをIDプロバイダーとしてCitrix Cloud™に接続する

前提条件

この記事のタスクを完了する前に、以下の前提条件を満たしていることを確認してください。
  • Duoクラウドテナント。
  • ADフォレスト内のDuo認証プロキシ。
  • ADユーザーをDuoに同期するActive Directory LDAPS接続。

Active DirectoryのDuoテナントへの同期を構成する

オンプレミスADをDuoに接続し、SAMLユーザーをインポートするに関するDuoのドキュメントに従ってください。

Active Directory LDAPS接続を作成する

  1. アプリケーション > SSO設定 > ソースの追加 > Active Directory > Active Directoryの追加 を選択します。
    SAML Duo認証ソースの追加
  2. ADフォレストへのLDAPS接続の表示名を入力します。
  3. ドメインコントローラーのFQDNを入力します。
    SAML Duo DC FQDNの追加
  4. ADドメインのBase DNを設定します。
    Saml duo ベース DN
  5. 認証タイプとしてIntegratedを選択します。
    Saml duo 認証タイプ
  6. トランスポートタイプとしてLDAPSを選択します。
    Saml duo トランスポートタイプ
  7. SSL Verify Hostnameのチェックボックスをオンにします。
  8. ドメインコントローラー証明書と、ドメイン証明書の署名に使用されたプライベートエンタープライズ証明機関CA証明書の両方を入力します。
  9. 次の例に従ってPEM形式の証明書を入力します。
    -----BEGIN CERTIFICATE-----
    `<base64 Domain Controller Certificate>`
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    `<base64 Certificate Authority Certificate used to sign the Domain Controller Certificate above>`
    -----END CERTIFICATE-----
  10. LDAPS接続をテストします。
    Saml duo テスト実行

SAML用にDuo認証プロキシ設定ファイルを設定します

  1. Duo Auth Proxy構成が正常であり、Duoに接続済みと表示されていることを確認します。
    Saml duo 認証プロキシ
  2. Duo認証プロキシにログインし、Duo管理コンソールから提供される**リモートID (rikey)**を使用して、その設定ファイルにSAML セクションを追加します。Duo Authentication Proxyは、Duoクラウドサービスと通信するために共有シークレットを使用します。このシークレットは、Authentication Proxyの初期インストールまたは構成中に生成されます。
    SAML Duo認証プロキシ設定

ストアで使用するためのDuo SAMLアプリケーションを構成する

  1. アプリケーション > アプリケーションを保護を選択します。アプリケーションの追加をクリックします。
  2. 汎用SAMLサービスプロバイダーDuoアプリテンプレートのエントリを見つけます。Citrix®は、汎用SAMLサービスプロバイダーDuoテンプレートを推奨しています。これは最も柔軟性があり、ニーズに応じてSAML属性のさまざまな組み合わせやSAMLフローを構成できるためです。
    SAML Duo汎用SAMLサービスプロバイダー
    重要:
    Duo Citrix Workspace SAMLテンプレートの使用は推奨されません。これは柔軟性がなく、AD IDを使用したSAMLのみをサポートするためです。また、Duo Citrix Workspace SAMLテンプレートでは、一部の高度なM&A (合併・買収) SAML構成に必要となるcip_domainやcip_forestのようなオプション属性の追加も許可されません。Citrix Cloudのログアウトエンドポイントの構成も許可されません。
  3. SAMLアプリケーションの表示名を、Citrix Cloud Prodなどのように指定します。
  4. すべてのユーザーに対して有効にするなどのユーザーアクセスを指定します。
  5. メタデータ検出内で**なし (手動入力)**を選択し、以下のCitrix Cloud SAMLエンドポイントを入力します。
  6. CCテナントが存在するCitrix Cloudリージョンに従って、EntityIDを入力します。
    URL リージョン
    https://saml.cloud.com 商用EU、米国、およびAPS
    https://saml.citrixcloud.jp JP
    https://saml.cloud.us GOV
  7. CCテナントが存在するCitrix Cloudリージョンに応じて、シングルサインオンURL (ACS URL) を構成します。
    URL リージョン
    https://saml.cloud.com/saml/acs 商用 EU、米国、および APS
    https://saml.citrixcloud.jp/saml/acs JP
    https://saml.cloud.us/saml/acs GOV
  8. CCテナントが存在するCitrix Cloudリージョンに応じて、シングルログアウトURL を構成します。
    URL リージョン
    https://saml.cloud.com/saml/logout/callback 商用 EU、米国、および APS
    https://saml.citrixcloud.jp/samllogout/callback JP
    https://saml.cloud.us/saml/samllogout/callback GOV
  9. サービスプロバイダーログインURL は必須ではなく、空欄のままで構いません。
  10. デフォルトリレーステート は必須ではなく、空欄のままで構いません。
    SAML Duo サービスプロバイダー
  11. 名前ID形式 を 未指定 に構成します。
  12. 名前ID属性 を userPrincipalName (大文字と小文字を区別) に構成します。
  13. 署名アルゴリズム を SHA256 に構成します。
  14. 署名オプション を 応答に署名 に構成します。
  15. アサーション暗号化 を 無効 に構成します。
    SAML Duo SAML レスポンス
  16. 左側にDuoブリッジ属性、右側にCitrix Cloud SAMLクレーム名を使用して、属性のマップを設定します。
    SAML Duo 属性マッピング
    重要:
    Duoブリッジ属性（左）とSAML属性クレーム名（右）は、大文字と小文字を区別します。Citrix Cloud SAML接続内で構成されているものと一致する必要があるのは、右側のクレーム名です。

Citrix Cloud SAML接続を構成する

  1. すべてのCitrixログオンフローは、ストアURLまたはCitrix Cloud GO URLのいずれかを使用して、サービスプロバイダーによって開始される必要があります。
  2. IDおよびアクセス管理 > 認証 > IDプロバイダーの追加 > SAML内のSAML接続には、デフォルトの推奨値を使用します。
  3. Duo Active Directory Sync documentationにアクセスして、DuoポータルからCitrix Cloud SAML接続に入力するDuo SAMLアプリケーションのSAMLエンドポイントを取得します。
    SAML Duo Duo エンドポイント
    Citrix Cloudのこのフィールド この値を入力します
    エンティティID https://sso-<id>.sso.duosecurity.com/saml2/sp/<samlappID>/metadata
    認証要求に署名 はい
    SSOサービスURL https://sso-<id>.sso.duosecurity.com/saml2/sp/<samlappID>/sso
    SSOバインディングメカニズム HTTP ポスト
    SAML応答 応答またはアサーションのいずれかに署名
    認証コンテキスト 未指定、正確
    ログアウトURL https://sso-<id>.sso.duosecurity.com/saml2/sp/<samlappID>/slo
    ログアウトリクエストに署名 はい
    SLOバインディングメカニズム HTTP ポスト

Duo SAML ログアウトの動作

この記事の執筆時点では、Duo SAML は SAML SLO をサポートしていませんが、ユーザーがストアやCitrix Cloudから明示的にログアウトしたときに、Duo が IDP セッションを終了するように構成することは可能です。Duo SAML アプリケーションのログアウト設定を構成する前に、メインの SAML 記事にある「SAML ログアウトに関する考慮事項」セクションsaml logout considerationsを読むことをお勧めします。
重要:
Duo のドキュメントDuo SSO Logout Behavior and Session Management Detailsから引用。
Users that decide to log out and hit the SLO URL for Duo SSO will be logged out of Duo SSO and have their MFA remembered devices session deleted before redirecting them to the logout page.
エンドユーザーがストアやCitrix Cloudからログアウトしたときに、Duo IDPセッションの明示的なログアウトを構成するには、以下の推奨手順に従ってください。
  1. Duo SAML アプリ内で Citrix Cloud SAML ログアウトエンドポイントを構成します。
    Saml duo cc ログアウト
  2. Citrix Cloud SAML 接続内で Duo SLO エンドポイントを構成します。
    重要:
    Generic SAML Provider Duo アプリテンプレートを使用していない場合、Citrix Cloud ログアウトエンドポイントを入力するオプションが利用できないため、この手順を完了することはできません。
    Saml duo ccconnection ログアウト
  3. ステップ 1 および 2 に従って SAML 接続の両側でログアウトが構成されている状態でストアからログアウトすると、Duo によって IDP セッションが終了したことを示す以下の UI が表示されます。
    Saml duo ログアウト UI
  4. オプション: ストアのエンドユーザーのログアウトエクスペリエンスを向上させるために、Duo LDAPS 接続を単一の Logout Redirect URL で構成し、エンドユーザーをストアのログオンページにリダイレクトさせることが可能です。これは、AD フォレストの LDAPS 接続内で行われます。
    SAML DuoログアウトのリダイレクトURL
    重要：
    上記に示されているログアウトのリダイレクトURLフィールドでは、単一のストアURLのみを構成できます。Citrix Cloudテナント内で複数の異なるストアURLを使用する場合、Duoの単一のActive Directoryフォレスト接続内で構成することはできません。