ストア認証用のSAMLプロバイダーとしてOktaを構成する

前提条件

• Citrix Supportは、Citrix CloudでSendNameIDPolicyInSAMLRequest機能を有効にしています。この機能はリクエストに応じて有効になります。これらの機能の詳細については、「Oktaを使用したSAMLに必要なクラウド機能」を参照してください。
• 以下のいずれかのOktaドメインを使用するOkta組織があること。
  • okta.com
  • オクタ-イーユー・ドットコム
  • oktapreview.com
• Active Directory (AD) をOkta組織と同期していること。
• Okta組織で認証リクエストの署名が有効になっていること。
• Citrix CloudとOkta SAMLアプリケーションの両方で、IDプロバイダーシングルログアウト (SLO) が構成されていること。SLOが構成されている場合、エンドユーザーがストアからサインアウトすると、OktaおよびOkta SAMLアプリケーションを共有する他のすべてのサービスプロバイダーからもサインアウトします。
• Citrix Cloud内でIDプロバイダーログアウト (SLO) リクエストの署名が有効になっていること。
• Citrix Cloud内でIDプロバイダーログアウトバインディング (SLO) がHTTPPostであること。

要件

1. 選択した抽出ツールで、Citrix Cloud リージョンのメタデータ URL を入力します。
   • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com/saml/metadata を入力します。
   • 日本リージョンの場合は、https://saml.citrixcloud.jp/saml/metadata を入力します。
   • Citrix Cloud Government リージョンの場合は、https://saml.cloud.us/saml/metadata を入力します。
2. Load をクリックします。抽出された証明書は、入力した URL の下に表示されます。
3. Download をクリックして、証明書を PEM 形式でダウンロードします。

ストア認証用のOkta SAMLアプリケーションを構成する

1. SAMLアプリケーションを追加および構成する権限を持つ管理者アカウントを使用して、Okta組織にサインインします。
2. 管理コンソールで、Applications > Applications > Create App Integration を選択し、次に SAML 2.0 を選択します。Next を選択します。
   サインイン方法としてSAMLが選択されたOktaコンソール(/en-us/citrix-cloud/media/saml-okta-console-sign-in-method.png)
3. App Nameに、アプリケーションのわかりやすい名前を入力します。Nextを選択します。
   アプリ名フィールドが強調表示されたSAML統合構成画面の作成(/en-us/citrix-cloud/media/saml-okta-console-saml-integration-screen.png)
4. SAML Settingsセクションで、Citrix Cloudサービスプロバイダー（SP）接続を構成します。
   1. Single sign-on URLに、Citrix Cloudのお客様のCitrix Cloudリージョンに対応するURLを入力します。
      • お客様IDが欧州連合、米国、またはアジア太平洋南部リージョンにある場合は、https://saml.cloud.com/saml/acsと入力します。
      • お客様IDが日本リージョンにある場合は、https://saml.citrixcloud.jp/saml/acsと入力します。
      • お客様IDがCitrix Cloud Governmentリージョンにある場合は、https://saml.cloud.us/saml/acsと入力します。
   2. Use this for Recipient and Destination URLを選択します。
   3. **Audience URI (SP Entity ID)**に、Citrix Cloudのお客様のCitrix Cloudリージョンに対応するURLを入力します。
      • お客様IDが欧州連合、米国、またはアジア太平洋南部リージョンにある場合は、https://saml.cloud.comと入力します。
      • お客様IDが日本リージョンにある場合は、https://saml.citrixcloud.jpと入力します。
      • お客様IDがCitrix Cloud Governmentリージョンにある場合は、https://saml.cloud.usと入力します。
   4. Name ID Formatで、Unspecifiedを選択します。Citrix CloudがSAMLリクエスト内で送信するNameIDポリシーは、Okta SAMLアプリケーション内で指定されたNameID形式と一致する必要があります。これらの項目が一致しない場合、Sign Authentication Requestを有効にするとOktaからエラーが発生します。
   5. Application usernameで、Okta usernameを選択します。
      この構成の例として、次の図は、米国、EU、およびアジア太平洋南部リージョンでの正しい構成を示しています。
      OktaコンソールでのSAML設定（設定済み）(/en-us/citrix-cloud/media/saml-okta-console-app-configuration-complete.png)
      重要:
      Name ID設定はUnspecifiedとして構成する必要があります。この設定に異なる値を使用すると、SAMLサインインが失敗します。

   6. Show Advanced Settingsをクリックし、次の設定を構成します。
      • Responseで、Signedを選択します。
      • Assertion Signatureで、Signedを選択します。
      • Signature Algorithmで、RSA-SHA256を選択します。
      • Assertion Encryptionで、Unencryptedを選択します。
   7. Signature Certificateで、Citrix Cloudリージョン用のSAML署名証明書をPEM形式でアップロードします。SAML署名証明書の取得手順については、この記事の要件を参照してください。
   8. 「シングルログアウトを有効にする」で、「アプリケーションによるシングルログアウトの開始を許可する」を選択します。
   9. Single Logout URLに、Citrix Cloudリージョンに対応するURLを入力します。
      • 欧州連合、米国、およびアジア太平洋南部リージョンの場合は、https://saml.cloud.com/saml/logout/callbackと入力します。
      • 日本リージョンの場合は、https://saml.citrixcloud.jp/saml/saml/logout/callbackと入力します。
      • Citrix Cloud Governmentの場合は、https://saml.cloud.us/saml/logout/callbackと入力します。
   10. 「SP Issuer」に、以前「Audience URI (SP Entity ID)」に入力した値（このタスクのステップ4c）を入力します。
   11. 「署名済みリクエスト」で、「署名証明書でSAMLリクエストを検証する」を選択します。
       次の画像は、米国、EU、およびアジア太平洋南部リージョンにおける正しい構成を示しています。
       Oktaコンソールでの詳細SAML設定（設定済み）(/en-us/citrix-cloud/media/saml-okta-show-advanced-settings-console.png)
   12. その他のすべての詳細設定については、デフォルト値を受け入れます。
       Oktaコンソールでの詳細設定（デフォルト値）(/en-us/citrix-cloud/media/saml-okta-default-advanced-settings.png)
5. 「Attribute Statements (optional)」の下で、次の表に示すように、「Name」、「Name format」、「Value」の値を入力します。

   名前	名前形式	値
   cip_upn	未指定	user.cip_upn
   displayName	未指定	user.displayName
   firstName	未指定	user.givenName
   lastName	未指定	user.familyName

   
6. 次へを選択します。Okta構成ステートメントが表示されます。
   
7. **お客様ですか、それともパートナーですか？**で、私は内部アプリを追加するOktaのお客様ですを選択します。
8. アプリの種類で、これは当社が作成した内部アプリですを選択します。
9. Finish を選択して構成を保存します。SAMLアプリケーションのプロファイルページが表示され、Sign On タブの内容が表示されます。

Citrix Cloud SAML接続を構成する