メタデータファイルモードを使用してSAML接続を作成する
メタデータファイルモードはメタデータURLモードとどう違うのか?
ADFSやPingFederateサーバーなどのオンプレミスSAML IdPには、SAMLメタデータURLエンドポイントへのパブリックアクセスをブロックする制限があるため、メタデータURLモードを使用できない場合があります。Citrix Cloud管理者は、SAML IdPからエクスポートされたmetadata.xmlファイルが提供されれば、Citrix Cloud SAML接続の自動構成から引き続きメリットを得ることができます。Citrix Cloud管理者は、SAML接続作成ウィザード内でこのファイルをアップロードできます。
メタデータファイルモードはメタデータURLモードよりもどのように劣りますか?
メタデータファイルモードは、Citrix Cloud内に保存される静的な構成です。メタデータファイルモードを使用して作成されたCitrix Cloud SAML接続は、SAMLアプリケーションがCitrix Cloudにアップロードされた後の変更を検出できません。
メタデータURLモードは、オンデマンドで取得される動的な構成です。メタデータURLモードはSAML IdPを継続的にポーリングし、SAMLアプリケーション構成内で行われた変更を、変更後すぐに検出できます。
IdPメタデータファイルを使用してCitrix Cloud SAML接続を構成する
-
Citrix Cloud内で新しいSAML IdP接続として構成したいSAMLアプリケーションからmetadata.xmlファイルをダウンロードします。
-
ファイルを
<filename>.xmlとしてディスクに保存し、XMLの書式設定や内容を変更しないでください。SAML IdPからエクスポートされた後、完全に変更されていない、書式設定されていないmetadata.xmlファイルを直接使用することをお勧めします。重要:metadata.xmlファイルは、改ざんを防ぐためにIdPによって署名されていることがよくあります。XML整形ツールを使用して書式を再設定するなど、metadata.xml内のデータを変更すると、埋め込まれた署名が無効になり、metadata.xmlのアップロードと解析が失敗します。 -
SAMLウィザードのセクション4 サービスプロバイダーに到達したら、*メタデータURLを使用できませんか？*を選択します。
-
「メタデータファイルをアップロード」を選択し、metadata.xmlファイルをファイルアップロードダイアログにドラッグアンドドロップするか、ディスク上のmetadata.xmlファイルを参照します。以下は、正常にインポートされたメタデータファイルのOktaの例です。
-
SLOを有効または無効にすることで、希望するSAMLログアウト動作を設定します。ログアウトに関する考慮事項については、この詳細記事を参照してください。
-
Okta SAML接続のみ。メタデータファイルにSSOエンドポイントと「okta」を含むDNSドメイン文字列が含まれている場合、OktaのNameIDポリシーを未指定として送信が自動的に有効になります。mytenant.domain.comのようなOktaカスタムドメインを使用するOkta SAMLアプリケーションは自動検出できず、OktaのNameIDポリシーを未指定として送信は、Citrix管理者がチェックボックスをクリックして手動で有効にする必要があります。
-
デフォルトの属性マッピングを受け入れます。
-
Citrix Cloud管理者サインインURLを設定します。
-
レビューセクション内のSAMLウィザードの概要を確認し、IdPメタデータファイルの解析後、SAML構成が期待どおりであることを確認します。
