Citrix Cloud™ でスコープ付きエンティティIDを持つSAMLアプリケーションを構成する

最終公開日 : Oct 24, 2026
この記事では、同じSAMLプロバイダー内で複数のSAMLアプリケーションをプロビジョニングする方法について説明します。
Microsoft Entra ID (ME-ID)、Active Directory Federation Services (ADFS)、PingFederate、PingSSOなどの一部のSAMLプロバイダーでは、複数のSAMLアプリケーション内で同じサービスプロバイダー (SP) エンティティIDを再利用することを禁止しています。そのため、同じSAMLプロバイダー内で2つ以上の異なるSAMLアプリケーションを作成する管理者は、それらを同じCitrix Cloudテナント、または異なるCitrix Cloudテナントにリンクできません。既存のSAMLアプリケーションがすでに使用しているSPエンティティID (https:\\saml.cloud.comなど) を使用して2番目のSAMLアプリケーションを作成しようとすると、SAMLプロバイダーでエラーが発生し、エンティティIDがすでに使用されていることを示します。
次の画像は、このエラーを示しています。
  • Microsoft Entra IDの場合:
    エラーテキストが強調表示されたMicrosoft Entra IDコンソールのエンティティID
  • PingFederateの場合:
    エラーテキストが強調表示されたPingFederateコンソールのエンティティID
Citrix Cloudのスコープ付きエンティティID機能は、この制限に対処するため、SAMLプロバイダー (Microsoft Entra IDテナントなど) 内で複数のSAMLアプリケーションを作成し、それを単一のCitrix Cloudテナントにリンクできます。
Related information
SAMLをIDプロバイダーとしてCitrix Cloud™に接続する

エンティティIDとは何ですか?

SAMLエンティティIDは、SAML認証および認可プロトコルで特定のエンティティを識別するために使用される一意の識別子です。通常、エンティティIDは、エンティティに割り当てられ、SAMLメッセージおよびメタデータで使用されるURLまたはURIです。SAMLプロバイダー内で作成する各SAMLアプリケーションは、一意のエンティティと見なされます。
たとえば、Citrix CloudとMicrosoft Entra ID間のSAML接続では、Citrix Cloudがサービスプロバイダー (SP) であり、Microsoft Entra IDがSAMLプロバイダーです。どちらもSAML接続の反対側で構成する必要があるエンティティIDを持っています。これは、Citrix CloudのエンティティIDはMicrosoft Entra ID内で構成する必要があり、Microsoft Entra IDのエンティティIDはCitrix Cloud内で構成する必要があることを意味します。
次のエンティティIDは、Citrix Cloudにおける汎用エンティティIDとスコープ付きエンティティIDの例です。
  • 汎用: https://saml.cloud.com
  • スコープ付き: https://saml.cloud.com/67338f11-4996-4980-8339-535f76d0c8fb

地域別の汎用およびスコープ付きSPエンティティID

Citrix Cloudの既存のSAML接続（2023年11月より前に作成されたもの）は、各SAML接続およびCitrix Cloudテナントで同じ汎用エンティティIDを使用します。新しいCitrix Cloud SAML接続のみが、スコープ付きエンティティIDを使用するオプションを提供します。
新しい接続にスコープ付きエンティティIDを使用することを選択した場合、既存のSAML接続はすべて、元の汎用エンティティIDを使用して引き続き機能します。
次の表に、Citrix Cloudの各地域における汎用およびスコープ付きSPエンティティIDを示します。
Citrix Cloud地域 汎用SPエンティティID スコープ付きエンティティID
米国、欧州連合、アジア太平洋南部 https://saml.cloud.com https://saml.cloud.com/67338f11-4996-4980-8339-535f76d0c8fb
日本 https://saml.citrixcloud.jp https://saml.citrixcloud.jp/db642d4c-ad2c-4304-adcf-f96b6aa16c29
政府機関 https://saml.cloud.us https://saml.cloud.us/20f1cf66-cfe9-4dd3-865c-9c59a6710820

新規および既存のSAML接続に一意のSPエンティティIDを生成する

新しいSAML接続を作成すると、Citrix Cloudは一意のID（GUID）を生成します。スコープ付きエンティティIDを生成するには、新しい接続を作成するときにスコープ付きSAMLエンティティIDの構成設定を有効にします。
既存のSAML接続を更新してスコープ付きエンティティIDを使用したい場合は、Citrix CloudのIDおよびアクセス管理 > 認証ページからSAMLプロバイダーを切断し、再接続する必要があります。Citrix Cloudでは、既存のSAML接続を直接編集することはできません。ただし、構成を複製して、複製を変更することはできます。
重要：
SAML接続プロセスを完了する前に閉じると、Citrix Cloudが自動的に生成するエンティティIDは破棄されます。SAML接続プロセスを再開すると、Citrix Cloudは新しいスコープ付きエンティティID GUIDを生成します。SAMLプロバイダーを構成する際には、この新しいスコープ付きエンティティIDを使用してください。既存のSAML接続を更新してスコープ付きエンティティIDを使用する場合は、Citrix Cloudが生成するスコープ付きエンティティIDで、その接続のSAMLアプリケーションを更新する必要があります。

スコープ付きエンティティIDに関するよくある質問

同じMicrosoft Entra IDテナント内に複数のMicrosoft Entra ID SAMLアプリケーションを作成し、それを1つ以上のCitrix Cloudテナントにリンクできますか?

Citrix Cloudのスコープ付きエンティティID機能は、一部のSAMLプロバイダーが課す重複するエンティティIDの制限に対処します。この機能を使用すると、Microsoft Entra IDテナント内に複数のSAMLアプリケーションをプロビジョニングし、それぞれを単一のCitrix Cloudテナントからのスコープ付きエンティティIDで構成できます。

同じMicrosoft Entra ID SAMLアプリケーションを複数のCitrix Cloudテナントにリンクすることはできますか?

このシナリオはCitrix Cloudのお客様の間で一般的であり、Citrixは引き続きこれをサポートしています。このシナリオを実装するには、次の要件を満たす必要があります。
  • https://saml.cloud.comのような汎用エンティティIDを使用します。
  • SAML接続でスコープ付きエンティティIDを有効にしないでください。

SAMLプロバイダー内でスコープ付きエンティティIDを使用するかどうかをどのように決定しますか?

Citrix Cloudのスコープ付きエンティティIDは、要件に応じて汎用またはスコープ付きエンティティIDを使用する柔軟性を提供します。必要なSAMLアプリケーションの数と、所有しているCitrix Cloudテナントの数を考慮してください。また、各テナントが既存のSAMLアプリケーションを共有する可能性があるか、または独自のスコープ付きSAMLアプリケーションを必要とするかどうかも考慮してください。
重要:
SAMLプロバイダーが、同じエンティティIDを持つ複数のSAMLアプリケーションの作成をすでに許可している場合（https://saml.cloud.comなど）、スコープ付きエンティティIDを有効にしたり、既存のSAML構成に変更を加えたりする必要はありません。Citrix CloudまたはSAMLアプリケーションのいずれにおいても、設定を更新する必要はありません。

影響を受けるSAMLプロバイダー

次の表に、重複するエンティティIDの使用を許可または制限するSAMLプロバイダーを示します。
SAMLプロバイダー 重複するエンティティIDをサポート
Microsoft Entra ID (クラウド) いいえ
ADFS (オンプレミス) いいえ
PingFederate (オンプレミス) いいえ
PingOneSSO (クラウド) いいえ
Okta (クラウド) はい
Duo (クラウド) はい
OneLogin (クラウド) はい

影響を受けるユースケース

以下の表は、ユースケースで必要となるSAMLアプリケーションと、SAMLプロバイダーが重複するエンティティIDをサポートしているかどうかに基づいて、汎用またはスコープ付きのエンティティIDがサポートされているかどうかを示しています。
ユースケースの要件 SAMLプロバイダーは重複するエンティティIDをサポートしていますか？ サポートされる構成
SAMLアプリケーションは1つのみ はい 汎用またはスコープ付きのエンティティID
SAMLアプリケーションは1つのみ いいえ 汎用またはスコープ付きエンティティID
2つ以上のSAMLアプリケーション はい 汎用またはスコープ付きエンティティID
2つ以上のSAMLアプリケーション いいえ スコープ付きエンティティID
カスタムURLとSAMLアプリケーションのペアを保存する はい 汎用またはスコープ付きエンティティID
カスタムURLとSAMLアプリケーションのペアを保存する いいえ スコープ付きエンティティID
同じSAMLアプリケーションを複数のCitrix Cloudテナントにリンクする はい 汎用エンティティID
同じSAMLアプリケーションを複数のCitrix Cloudテナントにリンクする いいえ 汎用エンティティID

スコープ付きエンティティIDでプライマリSAML接続を構成する

このタスクでは、プライマリSAMLアプリケーション（SAMLアプリ1）のスコープ付きエンティティIDを使用して、Citrix CloudでSAML接続を作成します。
  1. Citrix Cloudメニューから、**［IDおよびアクセス管理］**を選択します。
  2. **［認証］タブで、［SAML 2.0］を見つけ、省略記号メニューから［接続］**を選択します。
  3. 一意のサインインURLを作成するよう求められたら、会社用の短くURLフレンドリな識別子（例：https://citrix.cloud.com/go/mycompany）を入力し、**［保存して続行］**を選択します。この識別子は、Citrix Cloud全体で一意である必要があります。
  4. **［SAML IDプロバイダーの構成］で、［スコープ付きSAMLエンティティIDの構成］**を選択します。Citrix Cloudはスコープ付きエンティティIDを自動的に生成し、エンティティID、アサーションコンシューマーサービス、ログアウトURLのフィールドに入力します。
  5. **［Citrix CloudへのSAML接続の構成］**で、SAMLプロバイダーからの接続詳細を入力します。
  6. デフォルトのSAML属性マッピングを受け入れます。
  7. **［テストして完了］**を選択します。

汎用エンティティIDでプライマリSAML接続を構成する

このタスクでは、プライマリSAMLアプリケーション（SAMLアプリ1）のデフォルトの汎用エンティティIDを使用して、Citrix CloudでSAML接続を作成します。
  1. Citrix Cloudメニューから、IDおよびアクセス管理を選択します。
  2. 認証タブで、SAML 2.0を見つけ、省略記号メニューから接続を選択します。
  3. 一意のサインインURLを作成するよう求められたら、会社用の短くURLフレンドリーな識別子（例: https://citrix.cloud.com/go/mycompany）を入力し、保存して続行を選択します。この識別子はCitrix Cloud全体で一意である必要があります。
  4. SAML IDプロバイダーの構成で、スコープ付きSAMLエンティティIDの構成が無効になっていることを確認します。
  5. Citrix CloudへのSAML接続の構成で、SAMLプロバイダーからの接続詳細を入力します。
  6. サービスプロバイダーSAMLメタデータで、必要に応じてダウンロードをクリックして汎用SAMLメタデータのコピーを取得します。
  7. デフォルトのSAML属性マッピングを受け入れます。
  8. テストして完了を選択します。

Citrix® StoreFront Cloudカスタムドメインを使用したSAML接続の構成

このセクションでは、スコープ付きまたは汎用エンティティIDのいずれかを使用して、カスタムストアURLでSAML接続を構成する方法について説明します。
このセクションのタスクは、SAMLで使用している既存のカスタムストアURLがある場合にのみ適用されます。SAML認証でカスタムストアURLを使用していない場合は、このセクションのタスクをスキップできます。
詳細については、以下の記事を参照してください。

ストアカスタムURLと汎用エンティティIDを使用したSAML接続の構成

このタスクでは、スコープ付きエンティティIDの構成設定は無効になっています。
  1. Citrix Cloudメニューから、ストア認証を選択します。
  2. カスタムストアURLで、省略記号メニューから編集を選択します。
  3. .cloud.com URLとカスタムドメインURLの両方を使用を選択します。
  4. SAML App 2の汎用エンティティID、SSO URL、およびオプションのSLO URLを入力し、SAMLプロバイダーから以前にダウンロードした署名証明書をアップロードします。
  5. 必要に応じて、カスタムドメインのサービスプロバイダーSAMLメタデータで、ダウンロードをクリックして、ストアカスタムURL SAMLアプリケーションの汎用SAMLメタデータのコピーを取得します。
  6. 保存をクリックします。

ストアカスタムURLとスコープ付きエンティティIDを使用してSAML接続を構成する

このタスクでは、スコープ付きエンティティIDの構成設定は有効になっています。
  1. Citrix Cloudメニューから、ストア認証を選択します。
  2. カスタムストアURLで、省略記号メニューから編集を選択します。
  3. .cloud.com URLとカスタムドメインURLの両方を使用を選択します。
  4. SAML App 2のスコープ付きエンティティID、SSO URL、およびオプションのSLO URLを入力し、SAMLプロバイダーから以前にダウンロードしたSAML署名証明書をアップロードします。
  5. 保存をクリックします。
構成を保存すると、Citrix Cloudは正しいGUIDを含むスコープ付きSAMLメタデータを生成します。必要に応じて、ストアカスタムURL SAMLアプリケーションのスコープ付きメタデータのコピーを取得できます。
  1. 「認証とアクセス管理」ページで、SAML接続を見つけ、省略記号メニューから「表示」を選択します。
  2. 「カスタムドメインのサービスプロバイダーSAMLメタデータ」で、「ダウンロード」をクリックします。

プライマリおよびカスタムストアURLのSAMLアプリケーション両方のSAML構成を表示する

スコープ指定されたSAML接続の構成詳細を表示すると、Citrix CloudはプライマリSAMLアプリケーションとストアカスタムドメインSAMLアプリケーションの両方のスコープ指定されたエンティティID設定を表示します。
たとえば、スコープ指定されたエンティティIDが有効になっている場合、「サービスプロバイダーエンティティID」および「カスタムドメインのサービスプロバイダーエンティティID」フィールドには、Citrix Cloudが生成するスコープ指定されたエンティティIDが含まれます。
スコープ指定されたエンティティIDが有効なSAML構成(/en-us/citrix-cloud/media/saml-entity-id-scoped-custom-domain-example.png)
スコープ指定されたエンティティIDが無効になっている場合、「サービスプロバイダーエンティティID」および「カスタムドメインのサービスプロバイダーエンティティID」フィールドには、汎用エンティティIDが含まれます。
汎用エンティティIDを使用したSAML構成(/en-us/citrix-cloud/media/saml-entity-id-generic-custom-domain-example.png)
既存のエンティティID値にスコープ指定されたエンティティIDを追加することで、SAMLプロバイダー内の既存のSAMLアプリケーションを更新できます。

スコープ指定されたエンティティIDを使用したSAMLプロバイダー構成

Citrix Cloudでスコープ指定されたエンティティIDを使用してSAML接続を構成した後、スコープ指定されたエンティティIDをSAMLプロバイダーに追加できます。
このセクションには、Microsoft Entra IDとPingFederateの構成例が含まれています。

スコープ指定されたエンティティIDを使用したMicrosoft Entra ID SAML構成

この例では、Citrix Cloudからのスコープ指定されたエンティティIDが、Microsoft Entra IDの「識別子」フィールドに入力されています。
エンティティIDが強調表示されたMicrosoft Entra IDのSAMLアプリケーション構成(/en-us/citrix-cloud/media/saml-entity-id-aad-example-config.png)

スコープ付きエンティティIDを使用したPingFederate SAML構成

この例では、Citrix Cloud のスコープ付きエンティティIDと汎用エンティティIDが、それぞれ Partner's Entity ID フィールドと Base URL フィールドに入力されます。
エンティティIDが強調表示されたPingFederateのSAMLアプリケーション構成

トラブルシューティング

Citrixでは、SAML構成に関する問題をトラブルシューティングするために、SAML-tracerブラウザ拡張機能を使用することをお勧めします。この拡張機能は、Base64でエンコードされた要求と応答をSAML XMLにデコードし、情報を人間が読める形式で表示します。SAML-tracer拡張機能を使用して、Citrix Cloud（サービスプロバイダー）が生成してSAMLプロバイダー（IDプロバイダー）に送信するSSOおよびSLO SAML要求の両方を調べることができます。この拡張機能は、エンティティIDスコープ（GUID）が両方の要求に含まれているかどうかを示すことができます。
  1. Webブラウザの拡張機能パネルから、SAML-tracer拡張機能をインストールして有効にします。
  2. SAMLサインインおよびサインアウト操作を実行し、SAML-tracer拡張機能でフロー全体をキャプチャします。
  3. SAML SSO要求またはSLO要求のいずれかから、次の行を見つけます。
    <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">https://saml.cloud.com/cfee4a86-97a8-49cf-9bb6-fd15ab075b92</saml:Issuer>
  4. エンティティIDがSAMLプロバイダーアプリケーションで構成されているエンティティIDと一致することを確認します。
  5. スコープ付きエンティティIDが Issuer フィールドに存在することを確認し、SAMLプロバイダーで正しく構成されていることを確認します。
  6. SAML-tracerのJSON出力をエクスポートして保存します。Citrixサポートと協力して問題を解決している場合は、出力をCitrixサポートケースにアップロードしてください。

Microsoft Entra IDのトラブルシューティング

問題: SLOが構成されている場合、Microsoft Entra IDからのサインアウトが失敗します。Microsoft Entra IDはユーザーに次のエラーを表示します。
Microsoft Entra IDサインアウトエラー
Citrix CloudのSAML接続でスコープ付きエンティティIDが有効になっている場合、スコープ付きエンティティIDはSSO要求とSLO要求の両方で送信される必要があります。
原因: スコープ付きエンティティは構成されていますが、エンティティIDがSLOリクエストにありません。SAMLトレーサー出力で、スコープ付きエンティティIDがSLOリクエストに存在することを確認してください。

オンプレミスPingFederateのトラブルシューティング

問題: スコープ付きエンティティID設定を有効にした後、PingFederateへのサインインまたはサインアウトが失敗します。
原因: PingFederate管理者が、スコープ付きエンティティIDをSP接続のベースURLに追加しました。
この問題を解決するには、スコープ付きエンティティIDをPartner's EntityIDフィールドにのみ追加してください。スコープ付きエンティティIDをベースURLに追加すると、SAMLエンドポイントが不正な形式になります。Citrix CloudのベースURLが誤って更新された場合、ベースURLから派生する他のすべてのSAMLエンドポイント相対URLでサインインエラーが発生します。
SAMLトレーサー出力に表示される可能性のある、不正な形式のCitrix Cloud SAMLエンドポイントの例を次に示します。
  • https://saml.cloud.com/<GUID>/saml/acs
  • https://saml.cloud.com/<GUID>/saml/logout/callback
次の画像は、誤って構成されたPingFederate SAMLアプリケーションを示しています。正しく構成されたフィールドは緑色で表示されています。誤って構成されたフィールドは赤色で表示されています。
誤って構成されたフィールドが強調表示されたPingFederateコンソール