O365を構成する

最終公開日 : Oct 24, 2026
以下のセクションでは、O365の構成に関する詳細情報を提供します。
Related information
index

前提条件

Citrix WorkspaceアプリでO365アプリを構成するには、以下を完了していることを確認してください。
  • Microsoft Entra IDで、他のサービスとフェデレーションされていないプライマリドメインが利用可能な場合、そのドメインを使用してCitrix Secure Private Accessにフェデレーションできます。このドメイン（親ドメインまたは子ドメインのいずれか）がすでにフェデレーションされておらず、その親ドメインがMicrosoft Entra IDにまだ追加されていないことを確認してください。
    たとえば、ユーザーがuser1@demo.citrix.comを使用してログインする場合、demo.citrix.comがプライマリドメイン、citrix.comが親ドメイン、us.demo.citrix.comが子ドメインです。
  • プライマリドメインをフェデレーションできない場合、新しいドメインをMicrosoft Entra IDに追加し、Citrix Secure Private Accessにフェデレーションします。ドメインを作成し、検証を完了します。詳細については、<https://docs.microsoft.com/ja-jp/azure/active-directory/fundamentals/add-custom-domain>を参照してください。
    または
    Microsoft Entra IDにサブドメインを追加し、SSOのためにCitrix Secure Private Accessにフェデレーションするために活用できます。そのためには、サブドメインを追加してルートドメインに昇格させる必要があります。詳細については、<https://docs.microsoft.com/ja-jp/azure/active-directory/enterprise-users/domains-verify-custom-subdomain>を参照してください。
    注: サブドメインをルートドメインに変更するためのPOSTリクエストには、Microsoft Graph Explorerの代わりにMicrosoft Entra ID Graph Explorerを使用する必要がある場合があります。
    フェデレーションドメインが必要な理由の詳細については、ドメインフェデレーションの仕組みを参照してください。
  • 追加した新しいドメインまたはサブドメインが、Microsoft Entra IDで「検証済み」状態であることを確認してください。
  • SAML IDプロバイダーとMicrosoft Entra IDの間に信頼関係を確立します。 信頼関係を確立するには、Microsoft Entra IDで検証済みのドメインが必要です。ドメインを使用してMicrosoft Entra IDでフェデレーションが構成されている場合、Microsoft Entra IDは、ユーザーがフェデレーションドメインとは異なるドメインからのユーザーであっても、Microsoft Entra IDへのユーザー認証のためにSAMLプロバイダーを信頼します。SP開始フローでMicrosoft Entra IDが認証に使用するIdPを識別する必要がある場合（ユーザーをフェデレーションIdPに誘導する場合）、whr query paramまたはdomain_hintがURL <https://docs.microsoft.com/ja-jp/azure/active-directory/manage-apps/configure-authentication-for-federated-users-portal>に渡されることで識別されます。
    新しいドメインのフェデレーションを追加しても、既存のセットアップにある既存のフェデレーションには影響しません。ADFSがすでにドメインにフェデレーションされている場合でも、すでにフェデレーションされているドメインのサブドメインでも親ドメインでもない別のドメインにフェデレーションするため、影響はありません。
    SSOには以下の2つのフローがあります。
    IDP開始フロー: 通常、Microsoft Entra IDポータルにログインする場合に使用されます。Citrix Secure Private Accessサービスは、SAMLアサーションをMicrosoft Entra IDにポストします。Microsoft Entra IDは、以前に設定したフェデレーション設定に基づいてそれを検証します。検証が成功した場合、SAMLのnameid属性を抽出します。nameid属性は、Microsoft Entra IDに存在するユーザーのimmutableIdと一致する必要があります。
    SP開始フロー: 通常、Microsoft Entra IDポータルではなく、アプリに直接アクセスする場合に使用されます。このフローでは、Citrix Secure Private Accessサービスは、アプリ設定で構成されているURLをロードします。URLはMicrosoft Entra IDに送信され、URLにフェデレーションドメインの何らかの表示があるため、ユーザーはSAMLリクエストとリレーステートとともにCitrix Secure Private Accessサービスにリダイレクトされます。Citrix Secure Private Accessサービスは、リクエストで受信したのと同じリレーステートでSAMLアサーションをMicrosoft Entra IDにポストします。SAMLが検証されると、Microsoft Entra IDはユーザーをリレーステート内のコンテキストにリダイレクトし、それによってユーザーはアプリに直接アクセスします。
  • Citrix Secure Private AccessサービスでO365アプリを構成します。詳細については、「サービスとしてのソフトウェアアプリのサポート」を参照してください。

ドメインフェデレーションの仕組み

次の図は、ドメインフェデレーションが完了した後の一般的なフローを示しています。
ドメインフェデレーションの仕組み
Office 365アプリをCitrix Workspaceに追加し、透かしを有効にしてダウンロードを制限したいとします。一般的なフローは次のとおりです。
  1. Citrix WorkspaceでOffice 365アプリを起動します。
  2. リクエストはCitrix Secure Private Accessサービスに送信されます。
  3. Citrix Secure Private AccessサービスはSAMLアサーションを作成し、Microsoft Entra IDに転送します。
  4. リクエストが信頼されたSAML IdPから来ているため、Microsoft Entra IDは作成されたドメインフェデレーションを通じてそれを識別し、SAMLアサーションをOffice 365アプリに渡します。
    Office 365アプリが起動します。

Office 365アプリでサポートされている認証方法

デフォルトでは、Citrix Cloud™はCitrix IDプロバイダーを使用して、Citrix CloudアカウントのすべてのユーザーのID情報を管理します。
Citrix Workspaceは、Office 365に対して次の認証方法をサポートしています。OktaおよびGoogle IdPは現在サポートされていません。
  • オンプレミス Active Directory
  • Active Directory とトークン
  • マイクロソフト Entra ID
    注: Microsoft Entra ID を使用してワークスペースに認証する場合、ループが発生するため、プライマリドメイン (ユーザーのログインドメイン) をフェデレーションすることはできません。このような場合は、新しいドメインをフェデレーションする必要があります。
  • シトリックス セキュア プライベート アクセス
  • アクティブ ディレクトリ および RADIUS
詳細については、「ID およびアクセス管理」を参照してください。

Secure Private Access サービスで O365 アプリを構成する

Secure Private Access サービスで O365 アプリを構成するための大まかな手順は次のとおりです。詳細については、「サービスとしてのソフトウェアアプリのサポート」を参照してください。
  1. Citrix Cloud の Secure Private Access サービスに移動します。
  2. Office 365 を検索し、Office365 テンプレートを選択します。テンプレートを使用してアプリを構成する方法の詳細については、「サービスとしてのソフトウェアアプリのサポート」を参照してください。
    注:
    Office365 テンプレートを選択すると、アプリの詳細セクションに次の関連ドメインが自動入力されます。
    • *.office.com
    • *.office365.com
    • *.sharepoint.com
    • *.live.com
    • *.onenote.com
    • *.microsoft.com
    • *.powerbi.com
    • *.dynamics.com
    • *.microsoftstream.com
    • *.powerapps.com
    • *.yammer.com
    • *.windowsazure.com
    • *.msauth.net
    • *.msauthimages.net
    • *.msocdn.com
    • *.microsoftonline.com
    • *.windows.net
    • *.microsoftonline-p.com
    • *.akamaihd.net
    • *.sharepointonline.com
    • *.officescriptsservice.com
    • *.live.net
    • *.office.net
    • *.msftauth.net
  3. 必要に応じて、拡張セキュリティ制御を有効にします。
  4. SSO を構成します。
    注: 唯一の変更点は、「名前 ID」が Active Directory GUID であることを確認することです。
  5. 詳細属性も IDPEmail を送信することを確認します。
    • 属性名: IDPEmail
    • 属性形式: 指定なし
    • 属性値: メール
  6. SAML メタデータをクリックして、新しいタブで開きます。
    • 「entityID」をコピー
    • 「ログインURL」をコピー
    • CRT形式で証明書をダウンロード

Microsoft Entra ID から Citrix Workspace へのドメインフェデレーションを構成する

前提条件:
  • Microsoft Entra ID で PowerShell を有効にする
  • Microsoft MSOnline モジュールをインストールする
以下は、必要なモジュールをインストールするための PowerShell コマンドです。
`PS> Install-Module AzureAD -Force`

`PS> Import-Module AzureAD -Force`

`PS> Install-Module MSOnline -Force`

`PS> Import-module MSOnline -Force`
モジュールがすでにインストールされている場合は、以下のコマンドを実行します。
PS> connect-msolservice
注: msolservice に接続するには Microsoft クラウドアカウントが必要です。例: admin.user@onmicrosoft.com。

Microsoft Entra ID から Citrix Workspace へのドメインフェデレーションを構成する手順

  1. フェデレーションを構成するには、PowerShell で以下のコマンドを実行します:
    • PS> $dom = "ad-domain.com"
    注: ad-domain.com は Microsoft Entra ID に追加された新しいドメインです
    • PS> $IssuerUri = "https://citrix.com/[customerID]"
    注: customerID は以下の場所から確認できます。
    • Citrix Cloud > ID およびアクセス管理 > API アクセス
    • Citrix Cloud > Citrix Secure Private Access. customer ID はアプリ構成の詳細 (シングルサインオン > SAML メタデータファイル > entityID) で確認できます。
    • PS> $fedBrandName = “CitrixWorkspace”
    • PS> $logoffuri = "https://app.netscalergateway.net/cgi/logout"
    • PS> $uri = "https://app.netscalergateway.net/ngs/[customerID]/saml/login?APPID=[AppID]”
    注: $uri は、Citrix Secure Private Access Service > Web/SaaS アプリの追加 > シングルサインオン > ログイン URL または SAML メタデータ > 場所からコピーできます。
    • PS> $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(“<location of certificate downloaded from Citrix Secure Private Access service/filename.crt>”)
      例: PS> $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("c:\cert\saml_idp.crt")
    PS> $certData = [system.convert]::tobase64string($cert.rawdata)
  2. PS 文字列を実行して、Citrix Secure Private Access へのフェデレーションを完了します。
    PS> Set-MsolDomainAuthentication -DomainName $dom –federationBrandName $fedBrandName -Authentication Federated -PassiveLogOnUri $uri -LogOffUri $logoffuri -SigningCertificate $certData -IssuerUri $IssuerUri -PreferredAuthenticationProtocol SAMLP
  3. ドメインフェデレーション設定を確認するには、次のコマンドを実行します。
    Get-MsolDomainFederationSettings -DomainName <domain name>
フェデレーション設定の検証

Microsoft Entra ID から Citrix Workspace へのドメインの自動フェデレーション

Microsoft Entra ID から Citrix Workspace への手動ドメインフェデレーションでは、ユーザーはクラウドポータルと PowerShell を切り替えてデータをコピーし、スクリプトを実行する必要があります。例:
  • クラウドポータルから顧客 ID やアプリ ID などのデータをコピーします。
  • クラウドポータルから証明書をダウンロードします。
  • PowerShell スクリプトを実行します。
この手動のコピー＆ペースト操作はエラーを引き起こす可能性があり、その結果フェデレーションが成功しない場合があります。
ドメインをフェデレーションする手順は、Citrix Secure Private サービスユーザーインターフェイスに統合され、フェデレーションプロセスが自動化されました。ユーザーがインターフェイスの適切なリンクをクリックすると、PowerShell スクリプトがバックエンドで実行されます。ユーザーはクラウドポータルと PowerShell を切り替える必要がありません。

ドメインを自動的にフェデレーションする手順

  1. O365 アプリを構成します。詳細については、「Secure Private Access サービスで O365 アプリを構成する」を参照してください。
  2. シングルサインオンで、SAML を選択します。
    ユーザーインターフェイスでのドメインフェデレーション
  3. 資格情報を使用して Microsoft Entra ID にログオンします。 Log in to Entra ID をクリックすると、認証のために Microsoft Entra ID ログオンポータルにリダイレクトされます。
    • 認証には OAuth プロトコルが使用されます。認証が成功したら、ドメインのフェデレーションに同意する必要があります。
    • Select end user MFA option は、デフォルトで有効になっています。
  4. すべてのドメインのリストを表示するには、Click here to retrieve Entra ID Domains をクリックします。
  5. フェデレーションするドメインを選択し、ドメインのフェデレーションをクリックします。
    注：
    • ドメインのフェデレーションをクリックすると、PowerShellスクリプトがバックエンドで実行され、ドメインがフェデレーションされます。
    • 必要に応じて、インターフェイスからPowerShellスクリプトをダウンロードすることもできます。ドメインフェデレーションPowerShellスクリプトで、ダウンロードをクリックします。

多要素認証 (MFA) の抑制

ユーザーがCitrix Workspaceへのユーザー認証中にMFAをすでに入力している場合、MFAを抑制するオプションがO365アプリの高度な属性に追加されます。
  • 属性名：「http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod」、,
  • 属性値：「http://schemas.microsoft.com/claims/multipleauthn」
Microsoft Entra IDがこのクレームを受け入れるには、次のPowerShellコマンドを使用してフェデレーションします。
Set-MsolDomainAuthentication -DomainName $dom –federationBrandName $fedBrandName -Authentication Federated -PassiveLogOnUri $uri -LogOffUri $logoffuri -SigningCertificate $certData -IssuerUri $IssuerUri -PreferredAuthenticationProtocol SAMLP -SupportsMfa $true
注：
IdP開始フローはリレーステートを尊重しません。SP開始フローを使用して、アプリに直接アクセスしてください。

Citrix Workspaceでの個々のOfficeスイートアプリケーションの構成

個々のOfficeスイートアプリケーションを構成するには、以下を実行します。
  1. 前のセクションで詳述されているように、ドメインフェデレーションを完了します。
  2. O365テンプレートを選択します。
  3. アプリの名前を、たとえばMS Wordに変更します。
  4. それに応じてアプリのURLを変更します。
ワード: https://login.microsoftonline.com/login.srf?wa=wsignin1%2E0&rver=6%2E1%2E6206%2E0&wreply=https%3A%2F%2Fwww.office.com%2Flaunch%2FWord%3Fauth%3D2&whr=<federated domain>
パワーポイント: <https://login.microsoftonline.com/login.srf?wa=wsignin1%2E0&rver=6%2E1%2E6206%2E0&wreply=https%3A%2F%2Fwww.office.com%2Flaunch%2Fpowerpoint%3Fauth%3D2&whr=<federated domain>
エクセル: https://login.microsoftonline.com/login.srf?wa=wsignin1%2E0&rver=6%2E1%2E6206%2E0&wreply=https%3A%2F%2Fwww.office.com%2Flaunch%2FExcel%3Fauth%3D2&whr=<federated domain>
CRM/Dynamics オンライン: https://<tenant>.crm.dynamics.com/?whr=<federated domain>
ビジネス向け OneDrive: https://login.microsoftonline.com/login.srf?wa=wsignin1%2E0&rver=6%2E1%2E6206%2E0&wreply=https%3A%2F%2F<tenant>-my.sharepoint.com%2F&whr=<federated domain>
Outlook カレンダー: https://outlook.office.com/owa/?realm=<federated domain>&path=/calendar/view/Month
Exchange Online への アウトルック Web アクセス: https://outlook.com/owa/<federated domain>
SharePoint オンライン: https://login.microsoftonline.com/login.srf?wa=wsignin1%2E0&rver=6%2E1%2E6206%2E0&wreply=https%3A%2F%2F<tenant>.sharepoint.com%2F&whr=<federated domain>
チームズ: https://login.microsoftonline.com/common/oauth2/authorize?client_id=cc15fd57-2c6c-4117-a88c-83b1d56b4bbe&response_mode=form_post&response_type=code+id_token&scope=openid+profile&redirect_uri=https%3a%2f%2fteams.microsoft.com%2f&domain_hint=<federated domain>

Microsoft Entra ID に統合されたサードパーティ製アプリ

Box、Salesforce、ServiceNow、Workday などのサードパーティ製アプリケーションを統合している場合は、これらのアプリのスマートリンクをMicrosoft Entra IDから取得できます。
次の手順を実行します。
  1. Microsoft Entra ID ポータル <https://portal.azure.com> にログインします。
  2. すべてのサービス > Azure Active Directory を選択し、ディレクトリを選択します。
    すべてのサービスを選択 (/en-us/citrix-secure-private-access/media/all-services-aad.png)
  3. エンタープライズアプリケーション を選択し、スマートリンクを生成するアプリケーションを選択します。
    エンタープライズアプリケーションを選択 (/en-us/citrix-secure-private-access/media/select-enterprise-application.png)
  4. プロパティ を選択し、ユーザーアクセスURLをコピーします。
    プロパティを選択 (/en-us/citrix-secure-private-access/media/set-properties-and-copu-user-access-url.png)
  5. URLに whr を追加すると、例のURLに示されているように whr パラメーターが表示されます。
    例のURL: https://myapps.microsoft.com/signin/Workday/1234567891234567891234567896d64b&whr=ctxnsqa.net
    注: Microsoft Entra ID がフェデレーション設定に基づいてユーザーを認証するために使用するIdPを認識し、そのIdPに自動的にリダイレクトするように、URLに whr を追加します。
  6. 強化されたセキュリティ制御を設定します。
  7. SSOを構成します。
    • 名前ID = AD GUID
    • SP開始チェックボックスを有効にします
    • アサーションURL = ログインURL
      IdP開始フローを実行すると、ユーザーはMicrosoft Entra IDポータルページにリダイレクトされます。アプリページに直接アクセスしたい場合は、SAMLアサーションで正しいリレーステートを送信するSP開始フローが必要です。
注：
  • プライマリドメインのフェデレーションが有効になっている場合、すべてのMicrosoft Entra IDユーザーは、Office 365アプリケーションへの認証時にCitrix Workspaceにリダイレクトされます。これは、影響を理解せずに実行すると、顧客に障害/インシデントを引き起こす可能性があります。
  • ユーザーがMicrosoft Entra IDを使用してCitrix Workspaceにログオンする場合、ログインに使用されるユーザーのプライマリドメインはCitrix Gatewayサービスにフェデレーションされてはなりません。これによりループが発生します。このような場合は、Microsoft Entra IDにログインするユーザーのドメインとは異なる別のドメインを使用して、Citrix Secure Private Accessサービスにフェデレーションしてください。
  • プライマリドメインがCitrix Secure Private Accessサービスにフェデレーションされている場合、Microsoft Entra ID内のそのドメインでのすべてのユーザーログインはCitrix Secure Private Accessサービスにリダイレクトされます。POCの場合、必要に応じて、プライマリドメインをフェデレーションする前にテストドメインをフェデレーションできます。
  • Microsoft Entra IDでロケーションポリシーが有効になっている場合、ユーザーは企業ネットワークの許可されたIPアドレスのリストからのみアクセスする必要があります。このような場合、O365アプリをWebアプリとして公開し、そのトラフィックをConnector Appliance経由でルーティングできます。
  • Microsoft Entra IDにログオンする際に、**サインイン状態を維持しますか？**というプロンプトを回避したい場合は、Microsoft Entra IDを使用してこの設定を変更できます。設定を変更した際に表示される重要なメッセージに注意し、必要に応じて元に戻してください。
サインイン状態を維持するを選択設定を元に戻す際のメッセージ

参照リンク

Azure PowerShellモジュールリファレンス
Microsoft AzureでのOffice 365ディレクトリ同期の展開