ユーザーのネットワークロケーションに基づくアダプティブアクセス

最終公開日 : Oct 24, 2026
Citrix® StoreFront Cloudアダプティブアクセス機能は、高度なポリシーインフラストラクチャを使用して、ユーザーのネットワークロケーションに基づいてCitrix DaaS™へのアクセスを可能にします。ロケーションは、IPアドレス範囲またはサブネットアドレスを使用して定義されます。
管理者は、ユーザーのネットワークロケーションに基づいて、仮想アプリとデスクトップを列挙するかしないかのポリシーを定義できます。管理者はまた、ユーザーのネットワークロケーションに基づいて、クリップボードアクセス、プリンター、クライアントドライブマッピングなどを有効または無効にすることで、ユーザーのアクションを制御できます。例えば、管理者は、自宅からリソースにアクセスするユーザーにはアプリケーションへのアクセスを制限し、支店からリソースにアクセスするユーザーにはフルアクセスを許可するポリシーを設定できます。
アダプティブアクセスの概要(/en-us/citrix-daas/media/daas-adaptiveaccess-overview.png)
管理者は、アプリケーションにアクセスするために以下のポリシーを実装できます。
  • 企業拠点または支店からのみ、一部の機密性の高いアプリケーションを列挙する。
  • 従業員が外部ネットワークからワークスペースにアクセスしている場合、機密性の高いアプリケーションを列挙しない。
  • 支店からのプリンターアクセスを無効にする。
  • ユーザーが企業ネットワーク外にいる場合、クリップボードアクセスとプリンターアクセスを無効にする。
Related information
アダプティブアクセス

資格

アダプティブアクセス機能は、Universal Hybrid Multi Cloud License (UHMC) および Platform License (CPL) の一部として利用できます。詳細については、<https://www.citrix.com/buy/licensing/product.html>を参照してください。

前提条件

  • アダプティブアクセス機能が有効になっていることを確認します (StoreFront Cloud > アクセス > アダプティブアクセス)。詳細については、「アダプティブアクセス機能を有効にする」を参照してください。
    アダプティブアクセスが有効になっている場合、DaaSアクセスポリシーは、オプション Citrix Gateway経由の接続を使用するように更新されます。
    注：
    DaaS アクセス ポリシーにスマート アクセス タグを追加するには、NetScaler® Gateway が必要です。ただし、DaaS はデバイス ポスチャ、アダプティブ アクセス、アダプティブ認証サービスからタグを消費するため、セットアップに NetScaler Gateway を構成する必要はありません。
  • ロケーション タグの理解。詳細については、「ネットワーク ロケーション タグ」を参照してください。

注意点

以下の点は、場所に基づいてアプリケーションの列挙を制限する場合にのみ適用されます。ネットワークの場所に基づいて、クリップボード アクセスの無効化、プリンター リダイレクト、クライアント ドライブ マッピングなどのユーザー コントロールを制限するためにアダプティブ アクセスを使用する予定がある場合は、これらのガイドラインを無視できます。
  • ネットワークの場所に基づいて Citrix DaaS を選択的に列挙する予定がある場合は、ワークスペースではなく Citrix Studio ポリシーを使用して、それらのデリバリー グループのユーザー管理を実行する必要があります。デリバリー グループを作成する際、 で、 ユーザーまたは のいずれかを選択します。これにより、 の タブでアダプティブ アクセスを構成できます。
デリバリー グループ
  • アダプティブ アクセスが有効になっている場合のダイレクト ワークロード接続の変更。
    • フィールドは、 > > > に表示されます。
    • 既存のダイレクト ワークロード接続ポリシーは意図したとおりに機能します。
    • 新しいポリシーは、ネットワーク ロケーション サービス (タグを定義せずに) とデリバリー グループの両方で作成する必要があります。さらに、ネットワーク接続タイプは である必要があります。
    • タグ付きのダイレクト ワークロード接続の新しいポリシーの場合、タグはネットワーク ロケーション サービスで定義する必要があり、同じタグは DaaS Studio のデリバリー グループまたはアクセス ポリシーでも定義する必要があります。さらに、ネットワーク接続タイプは である必要があります。ロケーション タグはダイレクト ワークロード接続には関係ありません。
  • Citrix DaaS 展開のテストには、以下をお勧めします。
    • この機能を実装するためのテスト デリバリー グループを特定するか、デリバリー グループを作成します。
    • テスト デリバリー グループで使用できるポリシーを作成するか、ポリシーを特定します。

アダプティブ アクセス機能を有効にする

  1. Citrix Cloudにログオンします。
  2. ハンバーガーメニューから StoreFront Cloud を選択します。
  3. Adaptive Access トグルはデフォルトでオフになっています。Adaptive Access トグルをオンにします。
  4. 確認メッセージで はい、アダプティブアクセスを有効にする をクリックします。
アダプティブアクセスを有効にする
アダプティブアクセス有効化メッセージ
アダプティブアクセスが有効になっている場合、アダプティブアクセスのロケーションタグを定義できます（Citrix Cloud > ネットワークロケーション > ネットワークロケーションの追加 > ロケーションタグ）。
アダプティブアクセスが有効
アダプティブアクセスが無効になっている場合、ネットワークロケーションを追加することはできません。この場合、ロケーションタグは適用されません。
アダプティブアクセスが無効
重要：
アダプティブアクセス機能を無効にしようとすると、次のメッセージが表示されます。この機能が無効になっている場合、WorkspaceはアダプティブアクセスのタグをDaaSに送信しないことに注意してください。
アダプティブアクセス無効化メッセージ

アダプティブアクセスの構成

管理者がユーザーのネットワークロケーション（例：オフィスと自宅）に基づいてアクセス制御を適用する必要があるシナリオを考えてみましょう。管理者は、自宅で作業するユーザーに対して、クリップボードの制限などのスマートコントロールも適用する必要があります。 アダプティブアクセスでこのシナリオを実現するには、管理者はユーザーのネットワークに基づいて2つのデリバリーグループを作成する必要があります。
  • ブランチオフィスユーザーに関連するアプリケーションを持つBranchOffice用のAdaptive Accessデリバリーグループ。
  • 在宅/リモートユーザーに関連するアプリケーションを持つWorkFromHome用のWFHデリバリーグループ。
デリバリーグループが作成された後、ネットワークロケーションに基づいてアダプティブアクセスを構成するには、以下の大まかな手順が必要です。

ロケーションベースのアクセス用のネットワークロケーションタグを定義する

最初のステップでは、ユーザーのロケーション（オフィスまたは自宅）に基づいてタグを定義します。
  • BRANCHOFFICE: このタグは、オフィスネットワークから接続しているユーザーに割り当てる必要があります。これらのユーザーは、利用可能なすべてのアプリケーションにフルアクセスできます。
  • WORKFROMHOME: このタグは、リモートで作業しているユーザーに割り当てる必要があります。これらのユーザーは、アプリケーションおよび特定の機能（クリップボード機能など）へのアクセスが制限されます。
タグの詳細については、ネットワークロケーションタグを参照してください。
ユーザーロケーションに基づいてデリバリーグループとそれぞれのタグが作成されたので、ネットワークロケーションポリシーの構成に進むことができます。

ネットワークロケーションポリシーを構成する

パブリックソースIPアドレスとロケーションタグを指定して、ユーザーのロケーションに対するネットワークロケーションポリシーのルールを定義します。
  1. Citrix Cloudにサインインします。
  2. ハンバーガーメニューから ネットワークロケーション を選択します。 アダプティブアクセス トグルが有効になっていることを確認します。有効になっていない場合、ダイレクトワークロード接続のユーザーインターフェイスが表示されます。
  3. をクリックします。
    • ロケーション名: ポリシーの適切な名前を入力します。
      例: BRANCHOFFICE または WORKFROMHOME
    • パブリックIPアドレス範囲: ネットワークのパブリックIPアドレス範囲を定義します。
      例: 192.0.2.10 - 192.0.2.30
    • ロケーションタグ: ロケーションのタグを定義します。これは、ロケーションを参照する名前でもかまいません。これらのタグは、Citrix Studioでアダプティブアクセス ポリシーを構成するために使用されます。詳しくは、「Citrix Studioでタグを定義する」を参照してください。
      例: BRANCHOFFICE または WORKFROMHOME
    • 接続タイプ: アプリケーション起動タイプを定義します。
    内部 - アプリケーション起動時にゲートウェイをバイパスします。 外部 - アプリケーション起動時にCitrix Gatewayサービスまたは従来のゲートウェイを使用します。
  4. をクリックします。
NLSタグ
これらのタグをDaaS Studioで使用して、アダプティブアクセスを有効にできるようになりました。
注:
  • ネットワークロケーションタグがデリバリーグループに割り当てられていない場合、ユーザーはアダプティブアクセスとWFHデリバリーグループの両方で、すべてのアプリケーションへの無制限のアクセスを許可されます。これにより、ユーザーが意図せず権限のない特定のアプリケーションにアクセスしてしまうシナリオが発生する可能性があります。デリバリーグループにロケーションタグを割り当てることで、ユーザーのネットワークロケーションに基づいてアクセスが制御されるようになります。
  • ロケーションタグを定義する際は、「LOCATION_TAG」というプレフィックスなしで、希望するタグ名のみを入力してください（例：BRANCHOFFICE）。ただし、Citrix Studioでタグを定義する際は、タグ名に「LOCATION_TAG」というプレフィックスを付ける必要があります（例：「LOCATION_TAG_BRANCHOFFICE」）。

アプリケーション列挙のために、デリバリーグループで定義されたタグを使用する

  1. Citrix Cloudにサインインします。
  2. Citrix DaaSタイルで、管理をクリックします。
  3. デリバリーグループを作成します。詳細については、「デリバリーグループの作成」を参照してください。
  4. 作成したデリバリーグループを選択し、デリバリーグループの編集をクリックします。
  5. アクセスポリシーをクリックします。
  6. アダプティブアクセスを使用しているお客様は、デリバリーグループへのアクセスを内部ネットワークのみに制限するために、次の手順を実行します。
    1. デリバリーグループを右クリックし、編集を選択します。
    2. 左ペインでアクセスポリシーを選択します。
    3. 編集アイコンをクリックして、デフォルトのCitrix Gateway接続ポリシーを変更します。
      Gateway接続
    4. ポリシーの編集ページで、次の条件を満たす接続を選択し、いずれかに一致を選択してから、条件を追加します。
      条件
      WorkFromHomeユーザーの場合は、それぞれのデリバリーコントローラーに次の値を入力します。
      フィルター: ワークスペース
      値: LOCATION_TAG_WORKFROMHOME
      BranchOfficeユーザーの場合は、それぞれのデリバリーコントローラーに以下の値を入力します。
      フィルター: ワークスペース
      値: LOCATION_TAG_BRANCHOFFICE
注:
  • 値フィールドには、ネットワークロケーションポリシーの作成時に定義した、"LOCATION_TAG"をプレフィックスとする正しいロケーションタグ名を入力してください。たとえば、ロケーションタグを「BRANCHOFFICE」と定義した場合、値フィールドには「LOCATION_TAG_BRANCHOFFICE」と入力する必要があります。デリバリーグループのネットワークロケーションタグは、ネットワークロケーションポリシーでどのように定義されたかに関わらず、大文字で入力する必要があります。ロケーションタグの設定の詳細については、「ネットワークロケーションポリシーの構成」を参照してください。
  • デリバリーグループのネットワークロケーションタグは、ネットワークロケーションポリシーでどのように定義されたかに関わらず、大文字で入力する必要があります。ロケーションタグの設定の詳細については、「ネットワークロケーションポリシーの構成」を参照してください。

(オプション) アプリケーションにスマートコントロールを適用する

ネットワークロケーションタグを使用してアクセスを制限するだけでなく、管理者はアプリケーションにスマートコントロールを適用することもできます。この例では、WorkFromHomeロケーションのユーザーに対してクライアントクリップボードのリダイレクトが無効になっています。
  1. Citrix DaaSにサインインします。
  2. ポリシーに移動し、ポリシーの作成をクリックします。
  3. クライアントクリップボードのリダイレクトを選択し、禁止をクリックします。
  4. 次へをクリックします。
クリップボードアクセスを制限する
  1. 「Assign policy To」ページで、「Access control」を選択します。
  2. ポリシーの次の値を定義します。
    • モード: 許可
    • 接続タイプ: Citrix Gatewayを使用
    • ゲートウェイファーム名: Workspace
    • アクセス条件: LOCATION_TAG_WORKFROMHOME (すべて大文字)
モードとファーム(/en-us/citrix-daas/media/daas-nls-mode-farm.png)
  1. 「次へ」をクリックします。
  2. ポリシーの名前を入力し、ポリシーの説明を追加します。
  3. 「完了」をクリックします。
WORKFROMHOMEの場所のユーザーは、起動されたリソースへのクリップボードアクセスを実行できません。

ネットワークロケーションタグ

ネットワークロケーションサービスは、次のタグを提供します。
  • デフォルトタグ: これらのタグは、ネットワークロケーションサービスで定義されます。次のデフォルトタグが利用可能です。
    • LOCATION_internal: ネットワークロケーションを定義する際に、ネットワーク接続タイプがInternalに設定されている場合にデフォルトで送信されるタグ。
    • LOCATION_external: ネットワークの場所を定義する際に、ネットワーク接続タイプがExternalに設定されている場合にデフォルトで送信されるタグ。
    • LOCATION_undefined: ポリシーで定義されていないが、ネットワークロケーションサービスを介して送信されるIPアドレスのタグ。これらのユーザーの起動は、リソースグループで定義されているものと同じです。
  • カスタムタグ: 管理者はポリシーでカスタムタグ名を定義できます。例: home, Office, BRANCH
注:
  • ネットワークロケーションサービスにタグを定義する際は、以下を確認してください。
    デフォルトタグは常にプレフィックス「LOCATION_<tag name>」で始まります。例: LOCATION_INTERNAL。
    カスタムタグは常にプレフィックス「LOCATION_TAG<tag name>」で始まります。例: LOCATION_TAG_OFFICE。
  • デリバリーグループでタグを定義する際は、タグをすべて大文字で入力する必要があります。
    デフォルトタグ: LOCATION_INTERNAL, LOCATION_EXTERNAL, LOCATION_UNDEFINED
    カスタムタグ: LOCATION_TAG_OFFICE, LOCATION_TAG_HOME
次の表は、前述のシナリオのポリシーとタグをまとめたものです。
場所 ポリシー カスタムタグ デフォルトタグ DaaSデリバリーグループで使用するタグ スマートアクセス ポリシーで使用するタグ
WFH WFH WORKFROMHOME LOCATION_EXTERNAL LOCATION_WORKFROMHOME および/または LOCATION_EXTERNAL LOCATION_WORKFROMHOME および/または LOCATION_EXTERNAL
BranchOffice BranchOffice BRANCHOFFICE LOCATION_EXTERNAL LOCATION_BRANCHOFFICE および/または LOCATION_EXTERNAL LOCATION_BRANCHOFFICE および/または LOCATION_EXTERNAL
その他 未定義 未定義 LOCATION_UNDEFINED LOCATION_UNDEFINED LOCATION_UNDEFINED

既知の問題

アダプティブアクセス機能を有効にしてルールが設定された後（タグと接続タイプ）、この機能を無効にしても、ロケーションタグと接続タイプの列は非表示になりますが、ネットワークロケーションページからロケーションは削除されません。ただし、これらのロケーションはバックエンドで無効になっています。これは表示上の問題です。

タグに基づいてセッション記録ポリシーを構成する

セッション記録を使用すると、組織は仮想セッションでの画面上のユーザーアクティビティを記録できます。カスタムセッション記録ポリシー、イベント検出ポリシー、またはイベント応答ポリシーを作成する際に、ネットワークロケーションタグを含むタグを指定できます。例については、カスタム記録ポリシーの作成を参照してください。