CEP統合の問題のトラブルシューティング

最終公開日 : Oct 24, 2026
この記事では、Citrix Secure Private Access と Chrome Enterprise Premium (CEP) の統合を完了したがアプリケーションにアクセスできない顧客管理者向けのトラブルシューティングワークフローを提供します。
基本的な前提条件:
  • 顧客管理者は、Google Directory とのディレクトリ同期を完了していること。
  • 顧客は、Secure Private Access で Chrome Enterprise のオンボーディングを正常に完了していること。
  • Secure Private Access 管理コンソールで、ユーザーまたはユーザーが属するグループに対して関連するアプリケーションへのアクセスを許可するように、アプリケーションとアクセスポリシーが構成されていること。
  • ユーザーがオンボーディングされたドメインにログインしていること。
  • ブラウザがインターネットに接続されていること。
CEP統合のトラブルシューティング
Related information
グーグル クローム エンタープライズ プレミアム との統合

CEPトラブルシューティング用の診断ログ

調査を効率化するために、サポートケースを開く前に以下の診断情報を収集し、すべての提出物に含めてください。
  1. Chromeポリシーをエクスポートします。
    1. Chromeを開き、chrome://policy/ に移動します。
    2. その他の操作をクリックし、次にJSONにエクスポートを選択します。
    3. エクスポートされたファイルをサポートケースに添付します。
  2. Secure Enterprise Browser 拡張機能の詳細ログを有効にします。
    1. Secure Enterprise Browser 拡張機能の横にある省略記号アイコンをクリックします。
    2. オプションをクリックし、ログレベルをすべてに設定します。
    3. Chrome を閉じて再度開きます。
    4. 拡張機能のオプション（省略記号アイコン）に戻り、ログをダウンロードをクリックします。
  3. 拡張機能のログを収集します。
    1. Chrome を閉じて再度開きます。
    2. 手順2を繰り返して拡張機能オプションにアクセスし、ログをダウンロードをクリックします。
    3. ダウンロードしたファイルをサポートケースに添付します。
  4. ネットワークログをキャプチャします。
    1. Chrome で chrome://net-export/ に移動し、ディスクへのログ記録を開始をクリックします（デフォルトのファイル名は chrome-net-export-log.json です）。
    2. いくつかのSaaSおよびWebアプリケーションにアクセスし、chrome://net-export/ に戻ってログ記録を停止をクリックします。
    3. 結果のファイルをサポートケースに添付します。

ユーザーが正しいChromeプロファイルにログインしていることを確認します

確認方法: Chromeブラウザの右上隅にあるプロフィールアイコンをクリックします。アプリケーションにアクセスしようとしているプロファイルの正しいユーザーと正しいドメインが表示されている必要があります。
また、プロファイルが一時停止またはサインインするにはクリックと表示されていないことを確認してください。表示されている場合は、再認証する必要があります。
  • プロファイルが正しく認証されている場合: Secure Enterprise Browser拡張機能がインストールされているか確認するに進みます。
  • プロファイルが正しくないか、認証されていない場合: 正しいプロファイルでログインまたは再認証してください。ユーザーのメールのドメインサフィックスが、Secure Private AccessがインストールされているGoogle管理アカウントのドメインと一致していることを確認してください。

Secure Enterprise Browser拡張機能がインストールされているか確認する

確認方法: Chromeブラウザの右上隅に、Secure Enterprise Browser拡張機能に対応する緑色の盾のアイコンがあるはずです。すべての拡張機能を表示するには、ジグソーパズルのピースをクリックする必要があるかもしれません。

ExtensionInstallForcelistポリシーを確認する

確認方法: chrome://policyに移動し、Chromeポリシーの下でExtensionInstallForcelistという名前のポリシーを探します。対応する行の末尾にある詳細を表示をクリックして、ポリシーの詳細を確認します。
この強制リスト内に、ID: ekajlcmdfcigmdbphhifahdfjbkcifljの拡張機能が表示されるはずです。これはSecure Enterprise Browser拡張機能に対応します。
2つの競合するポリシーがあることを示唆する警告が表示される可能性があります。

競合する拡張機能インストールリストポリシーのトラブルシューティング

競合するポリシーがあることは、必ずしもSecure Private AccessでCEPをサポートする上での障害となるわけではありません。ただし、有効なポリシーは以下の3つの拡張機能のインストールを強制する必要があります。
  • セキュアエンタープライズブラウザ (ekajlcmdfcigmdbphhifahdfjbkciflj)
  • Citrix セキュアアクセス (loifegnemklkgbmonigcdkmniboielgl)
  • エンドポイント検証 (callobklhcbilhphinckomhgkigmfocg)
Secure Private Accessの拡張機能ポリシーの競合を解決するには、Chrome Policy Hierarchy Guideに基づいて以下の手順に従ってください。
  1. 競合の特定: chrome://policyに移動します。ExtensionInstallForcelistを見つけて、StatusとSourceを確認します。
  2. 優先順位の分析: マシンレベルのポリシー (GPO) は、通常、クラウド/ユーザーレベルのポリシーよりも優先されることに注意してください。
  3. 調和: 最も優先順位の高いポリシーに、必要な3つの拡張機能IDすべてが含まれていることを確認します（追加の拡張機能が含まれていても問題ありません）。あるいは、ブラウザとプロファイルが同じGoogle Workspace組織によって管理されている場合は、ポリシーマージ機能を使用できます。
  4. 確認: Reload policiesをクリックします。Applies toとLevelの列で、必要な拡張機能がMandatoryであり、有効なレベルでアクティブであることを確認する必要があります。
拡張機能のインストールリストポリシーを修正しても問題が解決しない場合は、Secure Enterprise Browser拡張機能ポリシーの確認に進んでください。

Secure Enterprise Browser拡張機能ポリシーの確認

確認方法: chrome://policyに移動し、Secure Enterprise Browserの下にあるsecurityGatewayという名前のポリシーを探します。Show Moreをクリックして、完全なポリシー構成を表示します。その値は次の形式であると予想されます。
{
  "authentication": {},
  "context": {
    "resource": "projects/project-<tenant_id>-<random-hex-characters>/locations/global/securityGateways/securitygateway-<tenant_id>-<random-hex-characters>"
  },
  "externalHelper": {
    "id": "com.citrix.device_posture_context_provider",
    "metadata": {
      "action": "device/metadata",
      "input": [
        {
          "key": "tenantId",
          "stringValue": "<tenant_id>"
        }
      ]
    }
  },
  ...
}
tenant_idフィールドに、Citrix CloudテナントIDに対応する値があることを確認してください。この値が異なる場合、2番目のテナントがこのGoogleアカウントと統合するように構成されている可能性があります。

Google 管理コンソール内でユーザー拡張機能の設定を確認する

確認方法: https://admin.google.comに移動します。ここから、Chrome ブラウザ > アプリと拡張機能に移動します。このビュー内で、適用されているすべてのポリシー構成を見つける必要があります。
「概要」タブ（存在する場合）をクリックし、「Secure Enterprise Browser」アプリを選択します。左側の「インストールポリシー」の下には、「\&lt;primary domain\>に強制インストールされ、固定されています」と表示されている必要があります。ここで、\&lt;primary domain\>は Google 管理コンソールの最上位組織部門に対応します。
拡張機能の展開設定を確認するためにクリックすると、拡張機能のポリシー構成を探します。これは、Secure Enterprise Browser 拡張機能のポリシーを確認するセクションで説明されている内容と一致している必要があります。
  • 単一のポリシーが正しいように見える場合: 親 OU のポリシーが正しいように見える場合、テストしているユーザーが該当するアカウントに属していること、およびサブ OU またはグループレベルで親 OU のポリシーを上書きする可能性のある他の構成がないことを確認する必要があります。メンバーシップが確認されても問題が解決しない場合は、Citrix サポートにお問い合わせください。
  • ポリシーが見つからない場合: ポリシーが完全に存在しない場合、この Google アカウントは Secure Enterprise Browser を使用するように構成されていないことを示唆しており、Secure Private Access 管理コンソールで CEP 統合を検証する必要があります。
  • 複数のポリシー - 複数の Citrix アカウント: Secure Enterprise Browser 拡張機能に複数の構成が表示される場合、これは関連するポリシーの構成が正しくない原因である可能性があります。複数の Citrix アカウントを同じ Google アカウントに関連付けることは禁止されていませんが、統合が機能しない原因となる可能性があります。
  • 複数のポリシー - 単一の Citrix アカウント: Citrix テナントを 1 つだけ統合している場合、組織内の他の管理機能がこの拡張機能を構成していないことを確認する必要があります。この拡張機能のポリシー構成を提供している人が他にいないと確信している場合は、Secure Private Access 管理コンソールを通じて統合した Citrix テナントに対応しないポリシー構成を削除することができます。
    不要な拡張機能の構成を削除し、ブラウザを再起動してもアプリケーションにアクセスできない場合は、Citrix サポートにお問い合わせください。

ルートがフェッチされているか確認する

確認方法: chrome://extensions/?options=ekajlcmdfcigmdbphhifahdfjbkciflj に移動するか、Secure Enterprise Browser 拡張機能を右クリックしてオプションを選択します。
ログレベルをALLに設定し、SHOW LOGをクリックします。ログが表示されたら、ブラウザを閉じて、ログページに移動するプロセスを繰り返します。これにより、トラブルシューティングに必要なすべてのログが取得されていることを確認できます。
ログ内で、次の内容を含むログ行を検索します。
Calling 'https://api.prod.securegateway.goog/api/v1/routes'
これに続いて、次のような応答があるはずです。
[260220 17:07:51.64] [SG.ApiClient] [DEBUG] Response: {expirationTime: '2026-02-20T15:37:51Z', proxyUrl: 'https://api.prod.securegateway.goog',....
  • コンテキストルートがログに403ステータスコードを表示する: この403は、Zscaler、Umbrellaなどの傍受ファイアウォールによって返される可能性があります。
    • この場合、Google Security Gateway宛てのトラフィックが、統合ソリューションの前提条件に従って許可されていることを確認してください。
    • そうでない場合、ユーザープロファイルに認証の問題がある可能性があり、Secure Private AccessとCEPの統合が不完全であることを示唆している可能性があります。Secure Private Access管理コンソールでCEP統合を検証するに進んでください。
  • コンテキストルートがタイムアウト、DNSエラー、または503エラーを表示する: Google Secure Gatewayの到達可能性のトラブルシューティングに進んでください。
  • コンテキストルートが成功したと表示される (200 OK): ルートへのアプリケーションの組み込みを確認するに進んでください。

Secure Private Access管理コンソールでCEP統合を検証する

Citrix CloudコンソールのSecure Private Access内にある「ブラウザ設定」セクションにアクセスします。
このセクションで、以下を確認します。
  • Google Chrome統合ステータスが「完了」と表示されている必要があります。失敗している場合は、ドキュメントに従ってCEP統合の前提条件を完了していることを確認し、再試行してください。問題が解決しない場合は、Citrixサポートにお問い合わせください。
  • 顧客IDは、統合しているGoogleアカウントに対応する値である必要があります。この値は、Google管理コンソールの「アカウント > アカウント設定」で確認できます。
上記のすべての値が正しいにもかかわらず、Chromeブラウザで正しい拡張機能構成が取得できない場合は、Citrixサポートにお問い合わせください。

Google Secure Gatewayの到達可能性のトラブルシューティング

確認方法: URL https://api.prod.securegateway.goog/api/v1/routesをコピーし、ブラウザのアドレスバーでこのURLにアクセスします。HTTP 401エラー応答が表示されるはずです。これは予期される動作であり、Google Secure Gatewayへのネットワーク接続が正常に確立できることを示しています。
  • DNS解決エラー: これは、貴社がGoogle Security Gateway FQDNのルックアップを妨げるような、制限的なDNS解決設定を導入している可能性があることを示唆しています。しかし、これはこの機能を使用するための前提条件であり、該当するFQDNは解決可能である必要があります。
  • リクエストがハングするか、タイムアウトエラーページが表示される: これは、ブラウザとインターネット間のファイアウォールが、Google Security Gateway宛てのトラフィックを破棄している可能性が高いことを強く示唆しています。ネットワークから前提条件となるインターネットロケーションに到達できることを確認するには、統合ソリューションの前提条件に従ってください。
正しいルートがまだ受信されない場合は、Citrixサポートにお問い合わせください。

ルートへのアプリケーションの組み込みを確認する

正常なルート応答には、Secure Private Access管理者によって構成されたアプリケーションに対応するFQDNが含まれます。例:
[260318 06:42:38.99] [SG.ApiClient] [DEBUG] Response: {expirationTime: '2026-03-18T14:15:05Z', proxyUrl: 'https://via.prod.securegateway.goog', endpointMatchers: [{hostname: 'telemetry.netscalergateway.net'}, {hostname: 'www.workday.com'}, {hostname: '*.workday.com'}, {hostname: 'jira.internal.corp'}, {hostname: '*.jira.internal.corp'}]}.
この行に、アクセスしようとしているアプリケーションが含まれていますか？
  • アクセスできないアプリケーションがルート応答に含まれている: ルーティングされたアプリケーションアクセスをトラブルシューティングするに進んでください。
  • ルート応答にtelemetry.netscalergateway.netのみが含まれている: 追加のアプリケーションと包括的なアプリケーションポリシーを構成してみてください。ルートにまだ表示されない場合は、グループメンバーシップの問題、またはCitrixで構成されたIdPとGoogle Directory間のグループの不一致が強く示唆されます。IdPとGoogle Directoryの整合性を確保するに進んでください。
  • アクセスできないアプリケーションがルート応答に含まれていない: これは、Secure Private Access管理コンソールでアプリケーションが正しく構成されていないことを示唆しています。アプリケーションが存在し、ポリシー（アクセスを許可または拒否するいずれか）が関連付けられていることを確認してください。アプリケーションが構成されていると確信しているにもかかわらず、以前のルートにまだ表示されない場合は、Citrixサポートにお問い合わせください。

ルーティングされたアプリケーションアクセスのトラブルシューティング

（ルートリストに表示される）アプリケーションにアクセスしようとすると、どのような動作が観察されますか？
  • ドメイン解決エラー (ERR_NAME_NOT_FOUND) が発生する
    これは、アプリケーションが正しく構成されていないか、コンテキストルートが正しく受信されていない可能性が高いことを示唆しています。
  • 「アクセス拒否」と表示されたクリーム色のページ
    これは、Secure Private Accessコンソールでのポリシー構成が、現在のユーザーを含めるように構成されていないことを示唆しています。
  • 「おっと！何か問題が発生しました。」と表示されるクリーム色のページ
    このエラーページが表示される最も一般的な原因は、コネクタがターゲットアプリケーションに到達できないことです。この場合、Citrixのドキュメントに従って、内部アプリケーションへのコネクタアクセスをトラブルシューティングしてください。一般的な問題は次のとおりです。
    • 内部DNSの到達可能性
    • バックエンドサービスが停止している
    • ファイアウォールルール
  • 大きな赤いフォントで「Service Unavailable」と表示される白いページ
    これは一時的なエラーである可能性があり、数分後に解決する場合があります。
    問題が解決しない場合は、Citrixサポートにお問い合わせください。
  • タイムアウト
    • まず、Chromeのアドレスバーにvia.prod.securegateway.googを入力して、到達可能であることを確認します。401応答を受信する必要があります。タイムアウトする場合は、中間ファイアウォールまたはプロキシがアクセスをブロックしており、アプリケーションにアクセスする前に解決する必要があります。
    • アプリケーションのタイムアウトのもう1つの潜在的な原因は、インターネット、特にGoogle Security Gatewayへのトラフィックをブロックするファイアウォールです。これは、顧客がインターネットに到達するために明示的なプロキシを必要とするシナリオで一般的です。Chrome Enterprise PremiumとのSecure Private Access統合は、このプロキシ構成をサポートしていません。
  • 証明書エラー
    アプリケーションがプライベートCA証明書を使用している可能性があり、そのためブラウザが「信頼されていない証明書エラー」をスローする場合があります。Chrome Enterprise Premiumの設定を通じて、顧客は信頼されたルートCAをブラウザにプッシュできます。詳細については、「Chrome Enterprise Premiumを使用してルート証明書構成を管理する」を参照してください。

IdPとGoogleディレクトリの整合性を確保する

Chrome Enterprise PremiumとのSecure Private Access統合の場合、ディレクトリをGoogleディレクトリに同期するには、統合ソリューションの前提条件で説明されているいくつかの仕様に従う必要があります。
ユーザーとユーザーグループのメールが正しく、ソースディレクトリで構成されている内容と一致している場合は、Google 管理コンソールでグループのアクセス設定を確認するに進みます。

Google 管理コンソールでグループのアクセス設定を確認する

Google 管理コンソールで、ディレクトリ > グループに移動し、アクセス ポリシーを構成したグループ、およびアプリケーションがロードされないグループを選択します。
そこから、アクセス設定を選択し、メンバーを表示できるユーザーの行でグループメンバーオプションが有効になっていることを確認します。この構成は、Secure Private Access でポリシーを作成するすべてのグループに適用する必要があります。
このオプションがすでに有効になっている場合は、Citrix サポートにお問い合わせください。