前提条件

• SAML 2.0をサポートするSAMLプロバイダー。
• オンプレミスのADドメイン。
• リソースの場所に展開され、オンプレミスのADドメインに参加している2つのCloud Connector。Cloud Connectorは、Citrix Cloudがリソースの場所と通信できるようにするために使用されます。
• SAMLプロバイダーとのAD統合。

クラウドコネクタ

• Cloud Connectorのシステム要件に記載されているシステム要件を満たしていること。
• 他のCitrix®コンポーネントがインストールされておらず、ADドメインコントローラーではなく、リソースの場所のインフラストラクチャにとって重要なマシンではないこと。
• ADユーザーとリソースが存在するADドメインに参加していること。ユーザーが複数のドメインのリソースにアクセスする場合は、各ドメインに少なくとも2つのCloud Connectorをインストールする必要があります。
  
• エンドユーザーがストアを介してアクセスするリソースに接続できるネットワークに接続されていること。
• インターネットに接続されていること。詳細については、「システムと接続の要件」を参照してください。

Active Directory (デフォルトのAD ID SAMLフロー)

• エンドユーザーがADにユーザーアカウントを持っていることを確認してください。SAML認証が構成されている場合、ADアカウントを持たないエンドユーザーはストアに正常にサインインできません。
• オンプレミスのADにCloud Connectorを展開して、ADをCitrix Cloudアカウントに接続します。
• ADユーザーをSAMLプロバイダーに同期します。Citrix Cloudは、エンドユーザーが正常にサインインできるように、ADユーザー属性を必要とします。
• ユニバーサルADグループのみを使用してください。
• SAMLユーザーが使用するように構成されているUPNサフィックスは、Active Directory内で定義する必要があります。Citrix Cloud Connectorは、未定義または曖昧なUPNサフィックスを使用してActive Directoryドメインコンテキストを判断することはできません。
• デフォルトのSAMLフローではAD IDを使用するため、EntraID OIDC IdP接続は必要ありません。

EntraID ディレクトリ (EntraID アイデンティティ SAML フロー)

• EntraID B2Bおよび外部ユーザーのサポートには、EntraID内のFrontEndユーザーと一致するUPNを持つADシャドウアカウントが必要です。
• SAML with Entra ID identitiesに記載されているように、Entra ID IDを使用したSAMLフローを使用している場合は、IDとアクセス管理 > 認証内で正しいEntraIDテナントも接続する必要があります。
  

Active Directory との SAML 統合

• objectSID (SID)
• objectGUID (OID)
• userPrincipalName (UPN)
• Mail (メール)
• 表示名 (displayName)

1. ADドメインに同期エージェントをインストールして、ドメインとSAMLプロバイダー間の接続を確立します。ADFSをSAMLプロバイダーとして使用している場合、この手順は不要です。
2. カスタム属性を作成し、本セクションで前述した必要なADユーザー属性にマッピングします。参考として、このタスクの一般的な手順は、この記事のカスタムSAML属性の作成とマッピングで説明されています。
3. ADユーザーをSAMLプロバイダーに同期します。