パートナーサービス管理
この記事では、Citrix Service Provider (パートナー) がCitrix Cloudでマルチテナント DaaS環境をセットアップおよび管理する方法について説明します。
CSPパートナーの要件の詳細については、要件を参照してください。
注：
シングルテナントのDaaS展開をセットアップし、この顧客のDaaSリソースを管理するには、DaaSスタートガイドに記載されている標準プロセスに従ってください。
ステップ1：顧客を追加する
この手順に従って、パートナーとOrg IDを共有するマルチテナント顧客をオンボーディングします。この手順は、パートナーとOrg IDを共有するシングルテナントをオンボーディングする場合にも適用されます。
-
Citrix Service Provider™ (CSP) の資格情報を使用してCitrix Cloudにサインインします。左上のメニューでMy Customersを選択します。
-
My Customersダッシュボードから、Cloud-tenantタブを選択し、Add customerをクリックして、Onboard a customerを選択します。
-
必須フィールドに入力し、Addをクリックします。
注：
顧客を追加すると、顧客のクラウドアカウントが作成され、お客様（パートナー管理者）がそのtenantのFull access administratorとして自動的に追加されます。
既存のスタンドアロンOrg IDとcloud accountを持つシングルテナント顧客を接続するには、次の手順に従います。
-
My Customersダッシュボードから、Cloud-tenantタブを選択し、Add customerをクリックして、Invite a customerを選択します。
-
既存のCitrix Cloud顧客と接続するには、Citrix Cloud URLを顧客に送信します。詳細については、顧客との接続を作成するを参照してください。顧客はあなたを自分のアカウントのフルアクセス管理者として追加する必要があります。詳細については、Citrix Cloudアカウントに管理者を追加するを参照してください。
ステップ2：Citrix®マルチテナントDaaSを顧客に追加する
-
CSP資格情報を使用してCitrix Cloudにサインインします。左上のメニューでMy Customersを選択します。
-
My Customersダッシュボードから、Cloud-tenantタブに移動し、顧客を選択し、選択した顧客の下部にあるDetailsパネルでAdd Citrix DaaSをクリックします。
-
確認のため、Addをクリックします。
ヒント:
パートナー管理者が新しいテナントに対してDaaSの追加を実行できない場合は、次の要件が満たされていることを確認してください。
-
サインインしている管理者が、テナントのCitrix Cloudアカウントでフルアクセス権限を持っていること。
-
Citrix Service Providerアカウントが、必要なマルチテナントCitrix DaaSエンタイトルメントを持っていること。
この手順を完了すると、顧客はCitrix DaaSサブスクリプションにオンボーディングされます。
オンボーディングが完了すると、Citrix DaaSに新しい顧客スコープが自動的に作成されます。このスコープはStudio表示で確認できます。このスコープはその顧客固有のものです。スコープの名前を変更することはできますが、削除することはできません。
このスコープを使用して、他の管理者のアクセスを調整します。たとえば、10社の顧客と2人の管理者がいるとします。固有のスコープを使用すると、1人の管理者のアクセスを3社の顧客のみに制限できます。もう1人の管理者は、その3社のうちの1社と、さらに他の2社の顧客にアクセスできます。詳細については、顧客への管理者アクセスを制御するを参照してください。
ステップ3：リソースの場所を設定する
リソースの場所には、お客様にアプリとデスクトップを提供するマシンと、Citrix Cloud Connector などのインフラストラクチャコンポーネントが格納されます。詳細については、「Citrix Cloud に接続する」(/ja-jp/citrix-cloud/citrix-cloud-resource-locations/resource-locations.html)を参照してください。
マルチテナントDaaS展開では、テナントはリソースの場所とそれに関連付けられたドメインによって分離されます。各テナントは独自のクラウドアカウントを持っていますが、すべてのテナントのリソースの場所とそのクラウドコネクタは、CSPのパートナーアカウントから展開および管理する必要があります。詳細なアーキテクチャと展開オプションについては、Citrix Service Provider DaaSリファレンスアーキテクチャを参照してください。
ステップ4：ドメインをフェデレートする
フェデレーションドメインを使用すると、顧客ユーザーは、テナント顧客に指定されたリソースの場所にアタッチされたドメインの資格情報を使用して、ストアにサインインできます。この動作により、リソースの場所がCitrix Cloudアカウント上にある間でも、テナントアカウントで定義されたカスタムストアURL（例：customer.cloud.com）を使用して顧客ユーザーがアクセスできる専用ストアを顧客に提供できます。顧客がCSPストアURL（例：csppartner.cloud.com）を使用してアクセスできる共有ストアと並行して、専用ストアを提供できます。
顧客が専用ストアにアクセスできるようにするには、管理している適切なドメインに顧客を追加します。StoreFront Cloud を介してストアを構成した後、顧客のユーザーはストアにサインインし、利用可能にしたアプリとデスクトップにアクセスできます。
ドメインから顧客を削除する
ステップ5：ゾーンをテナントスコープに割り当てる
ゾーンをテナントにスコープできるようになりました。ゾーンをテナントのスコープに割り当てると、テナント管理者はそのゾーン内で独自のホスティング接続とマシンカタログを管理できます。テナント用に設定したリソースの場所に該当するゾーンを割り当ててください。
ゾーンをテナントのスコープに割り当てるには：
-
Citrix DaaS Studioコンソールで、「管理 > ゾーン」に移動します。
-
テナントのリソースの場所と名前が一致するゾーンを選択し、「ゾーンの編集」を選択します。ゾーンの編集(/en-us/citrix-daas/media/csp-edit-zone.png)
-
「スコープ」タブで、テナントのスコープを選択し、「保存」を選択します。ゾーンへのスコープの割り当て(/en-us/citrix-daas/media/csp-assign-scope-to-zone.png)
ステップ6：テナントスコープのポリシーセットを作成する
テナント管理者は、割り当てられたスコープ内のポリシーセット内でのみポリシーを管理できます。テナントがポリシーを独立して管理できるようにするには、ポリシーセットを作成し、それをテナントのスコープに割り当てます。その後、テナント管理者はそのポリシーセット内でポリシーを作成および管理できます。
ポリシーセットはデフォルトでは有効になっていません。この機能を使用するには、まずポリシーセットを有効にし、次にポリシーセットを作成してテナントスコープに割り当てます。
ステップ7：アプリとデスクトップを配信するためのカタログとグループを設定する
注:
パートナー管理者としてテナント顧客のDaaSを管理するには、CSPのクラウドアカウントに切り替える必要があります。そのためには、右上のメニューでアカウント名をクリックし、顧客の変更をクリックします。
カタログとは、同一の仮想マシンのグループです。カタログを作成するときは、マシンを作成するためのテンプレートとして、イメージ（およびその他の設定）が使用されます。詳細については、マシンカタログの作成を参照してください。
デリバリーグループとは、1つ以上のマシンカタログから選択されたマシンのコレクションです。デリバリーグループは、どのユーザーがそれらのマシンを使用できるか、およびそれらのユーザーが利用できるアプリケーションまたはデスクトップを指定します。詳細については、デリバリーグループの作成を参照してください。
アプリケーショングループを使用すると、アプリケーションのコレクションを管理できます。異なるデリバリーグループ間で共有されるアプリケーション、またはデリバリーグループ内のユーザーのサブセットによって使用されるアプリケーションに対して、アプリケーショングループを作成できます。詳細については、アプリケーショングループの作成を参照してください。
テナント向けのマシンカタログとデリバリーグループは、2つの方法で作成できます。パートナー管理者がパートナーアカウントで作成し、関連するテナントスコープに割り当てるか、テナント管理者が自身のテナントクラウドアカウントから作成します。
グループを構成する際は、次の点を確認してください。
-
デリバリーグループのスコープは、マシンカタログのスコープのサブセットです。たとえば、カタログのスコープがAとBであると仮定します。デリバリーグループのスコープは、AまたはB、あるいはAとBのいずれかになります。
-
アプリケーショングループのスコープは、デリバリーグループのスコープのサブセットです。たとえば、アプリケーショングループに関連付けられたデリバリーグループがスコープAとBを持つと仮定します。アプリケーショングループのスコープは、AまたはB、あるいはAとBのいずれかになります。
-
マルチテナント展開におけるセキュリティ上の考慮事項として、前述のすべてのオブジェクトを特定のテナントスコープで分離することをお勧めします。
注:
パートナーStudioコンソールはスコープを自動的に適用しません。適切なテナント向けにマシンカタログ、デリバリーグループ、およびアプリケーショングループを作成する際は、適切なスコープを選択する責任があります。
ステップ8: 顧客への管理者アクセスを制御する
顧客にCitrix DaaSを追加したときに作成された一意のスコープを使用することで、顧客への管理者アクセスを制御できます。アクセスは、管理者を追加するとき、または後で構成できます。
Citrix DaaSでロールとスコープを使用してアクセスを制限する方法については、委任管理を参照してください。
制限付きアクセス権を持つパートナー管理者を追加する
-
CSP資格情報を使用してCitrix Cloudにサインインし、利用可能なアカウントリストからパートナーアカウントを選択します。
管理者が招待を承諾すると、割り当てたアクセス権が付与されます。
DaaS管理者と割り当てられた役割およびスコープを表示する
-
CSP資格情報を使用してCitrix Cloudパートナーアカウントにサインインします。
-
左上のメニューでDaaSタイルを選択します。
-
左ペインで管理者を選択します。
情報は3つのタブで利用できます。
-
管理者タブには、作成された管理者と、その役割およびスコープが一覧表示されます。
-
役割タブにはすべての役割が一覧表示されます。役割の詳細を表示するには、中央ペインで役割を選択します。そのペインの下部には、役割のオブジェクトタイプと関連する権限が一覧表示されます。下部ペインで管理者タブを選択すると、現在この役割を持つ管理者の一覧が表示されます。
-
スコープタブには、Citrixパートナーの顧客向けに生成されたスコープを含む、すべてのスコープが一覧表示されます。
監査のために管理者アクティビティをエクスポートする
マルチテナントのCitrix DaaS環境では、複数のテナント顧客がDaaSインスタンスを共有します。各テナントには、独自のスコープ付き管理アクセスがあります。役割とスコープを可視化することで、安全な委任が保証され、監査が簡素化されます。
テナントアカウントで定義されたすべてのテナントレベルの管理者役割は、パートナーのStudioコンソールの管理者ダッシュボードに自動的に同期されます。フルアクセスを持つパートナー管理者は、レポートと分析のためにデータをCSVファイルとしてエクスポートできます。
さらに監査を行うには、Studioのログノードから管理者アクティビティ履歴をエクスポートすることもできます。
ステップ9：ストアを構成する
顧客は、顧客のクラウドアカウントで定義された一意の
customer.cloud.comまたはカスタムURLを持つ独自のストアを持つことができます。このストアは、顧客のユーザーが公開されたアプリやデスクトップにアクセスする場所です。あるいは、CSPはパートナーブランドのストアURLをさまざまなテナント顧客と共有することもできます。
パートナー共有ストアのURLを表示または構成するには:
-
CSP資格情報を使用して、Citrix Cloudパートナーアカウントにサインインします。
-
左上のメニューから StoreFront Cloud を選択します。
ストアへのアクセスと認証を変更できます。また、ストアの外観と設定をカスタマイズすることもできます。詳細については、以下の記事を参照してください:
テナント顧客のストアURLを表示または構成するには:
-
テナント顧客のCitrix Cloudアカウントにサインインします。
-
StoreFront Cloud に移動します。
注:
-
テナントアカウントで使用される認証方法については、テナントアカウントで構成する前に、パートナー管理者が親CSPアカウントの IDおよびアクセス管理 で同じ方法を有効にする必要があります。
-
マルチテナント環境でユーザーのSSOを処理するためにCitrix Federated Authentication Service (FAS) が展開されているシナリオでは、詳細についてFASマルチテナントサポートのドキュメントを参照してください。
顧客のサービスを監視する
CSP環境では、Monitor ダッシュボードは非CSP環境と同じように機能しますが、同じDaaSインスタンスの下に複数のテナントスコープが表示されます。詳細については、Monitorを参照してください。
デフォルトでは、Monitor ダッシュボードにはすべてのテナント顧客のデータが表示されます。特定のテナントの情報を表示するには、右上の すべてのテナント ドロップダウンリストからテナントスコープを選択します。
パートナー管理者が顧客のMonitorディスプレイを表示できるかどうかは、フル管理者の構成されたアクセスによって制御されることに留意してください。アクセスには、顧客の一意のスコープを含む役割とスコープのペアが含まれている必要があります。
組み込みロールを使用してアクセスを構成した場合: 組み込みロールは、管理者がStudioディスプレイを表示できるかどうかを制御します。Monitorノードの可視性を含まないロールと顧客スコープのペアのみを選択した場合、その管理者は選択した顧客のMonitorノードを表示できません。たとえば、管理者にRead Only Administrator,customerABCアクセス権を付与した場合、読み取り専用管理者はMonitorディスプレイにアクセスできないため、そのパートナー管理者はcustomerABCのMonitorノードを表示できません。
顧客からDaaSサービスを削除する
前提条件:
-
顧客スコープがCitrix DaaSオブジェクトにリンクされていないことを確認してください。リンクされている場合、サービスを削除できません。スコープのリンクを解除するには、Studio > Administrators > Scopesに移動してスコープを編集します。
-
顧客スコープを把握し、管理するには、「スコープの作成と管理」を参照してください。
顧客からDaaSサービスを削除するには:
-
顧客に対するフルアクセス権限を持つパートナー管理者資格情報を使用して、Citrix Cloudパートナーアカウントにサインインします。
-
My Customersダッシュボードで、Multi-tenantタブに移動し、顧客を見つけて、顧客の横にある省略記号メニュー（…）をクリックし、Citrix DaaSを削除を選択します。
次のダイアログボックスが表示されます。
-
サービスを削除するには、削除をクリックします。
