エンタープライズWebアプリを構成する

システム要件

仕組み

Webアプリを構成する

1. Citrix Cloudにログオンし、Secure Private Accessを選択します。
2. Applications > App Configurationをクリックし、Add an appをクリックします。
3. Choose a templateセクションで、Skipをクリックします。テンプレートはSaaSアプリでのみ利用可能です。
4. 「アプリケーションの場所はどこですか？」で、「社内ネットワーク内」を選択します。
   • 組織のプライベートネットワークインフラストラクチャ内でホストされ、ファイアウォールの背後にあり、内部ネットワーク接続を介してのみアクセス可能なアプリケーションの場合は、Inside my corporate network を選択します。
   • 組織のプライベートネットワークインフラストラクチャの外部でホストされているアプリケーションの場合は、Outside my corporate network (Google Connector) を選択します。トラフィックルーティングは、Google Cloud Connector を介してユーザーから外部アプリケーションに直接行われます。
5. 「アプリの詳細」セクションに以下の詳細を入力し、「次へ」をクリックします。
   SPAアプリの詳細(/en-us/citrix-secure-private-access/media/spa-web-app-details.png)
   • アプリの種類 – アプリの種類を選択します。
     注:
     Chrome Enterprise Premium (CEP) では、HTTPSエンタープライズWebアプリとSaaSアプリのみがサポートされています。HTTPエンタープライズWebアプリとSaaSアプリはサポートされていません。

   • アプリ名 – アプリケーションの名前。
   • アプリの説明 - アプリの簡単な説明。この説明は、ストアでユーザーに表示されます。
   • アプリのカテゴリ - 公開するアプリがストアUIに表示されるカテゴリとサブカテゴリ名（該当する場合）を追加します。各アプリに新しいカテゴリを追加することも、ストアUIの既存のカテゴリを使用することもできます。WebアプリまたはSaaSアプリのカテゴリを指定すると、そのアプリはストアUIの特定のカテゴリの下に表示されます。
     • カテゴリ/サブカテゴリは管理者が構成可能であり、管理者はすべてのアプリに新しいカテゴリを追加できます。
     • 「アプリのカテゴリ」フィールドはHTTP/HTTPSアプリに適用され、TCP/UDPアプリでは非表示になります。
     • カテゴリ/サブカテゴリ名はバックスラッシュで区切る必要があります。例: Business And Productivity\Engineering。また、このフィールドでは大文字と小文字が区別されます。管理者は、正しいカテゴリが定義されていることを確認する必要があります。ストアUIの名前と、App categoryフィールドに入力されたカテゴリ名との間に不一致がある場合、そのカテゴリは新しいカテゴリとしてリストされます。
       例えば、「アプリのカテゴリ」フィールドに「Business and Productivity」カテゴリを誤って「Business And productivity」と入力した場合、「Business And Productivity」カテゴリに加えて、「Business and productivity」という新しいカテゴリがストアUIにリストされます。
   • アプリのアイコン – アプリのアイコンを変更するには、「アイコンの変更」をクリックします。アイコンファイルのサイズは128x128ピクセルである必要があります。アイコンを変更しない場合、デフォルトのアイコンが表示されます。
     アプリケーションアイコンを表示しない場合は、ユーザーにアプリケーションアイコンを表示しないを選択します。
   • ユーザーがクライアントブラウザから直接アプリにアクセスできるようにするには、エージェントレスアクセスを選択します。詳細については、「エンタープライズWebアプリへの直接アクセス」を参照してください。
   • URL – お客様の顧客IDを含むURL。URLにはお客様の顧客ID (Citrix Cloud™ 顧客ID) が含まれている必要があります。顧客IDの取得については、「Citrix Cloudへのサインアップ」を参照してください。SSOが失敗した場合、またはSSOを使用しない場合、ユーザーはこのURLにリダイレクトされます。
     顧客ドメイン名および顧客ドメインID - 顧客ドメイン名とIDは、SAML SSOページでアプリのURLおよびその他の後続のURLを作成するために使用されます。
     たとえば、Salesforceアプリを追加する場合、ドメイン名がsalesforceformyorgでIDが123754の場合、アプリのURLはhttps://salesforceformyorg.my.salesforce.com/?so=123754.になります。
     顧客ドメイン名と顧客IDのフィールドは、特定のアプリに固有のものです。
   • 関連ドメイン – 関連ドメインは、指定したURLに基づいて自動的に入力されます。関連ドメインは、サービスがURLをアプリの一部として識別し、それに応じてトラフィックをルーティングするのに役立ちます。複数の関連ドメインを追加できます。
     注：
     重複する関連ドメインが追加された場合、または関連ドメインが別のアプリのURLとしても追加された場合、警告メッセージが表示されます。これらの問題を回避するには、「WebおよびSaaSアプリケーション構成のベストプラクティス」を参照してください。

   • HARのインポート – HARファイルをアップロードして、アプリケーションがアクセスするドメインを自動的に検出できます。検出されたドメインを確認し、アプリケーションの関連ドメイン構成に追加するドメインを選択します。これにより、関連ドメインを手動で識別して構成する必要がなくなるため、アプリケーションのオンボーディングが簡素化されます。詳細については、「HARファイルを使用した関連ドメインの検出」を参照してください。
   • 一貫した接続を維持 - このチェックボックスをオンにすると、同じコネクタアプライアンスへの一貫した接続が有効になります。一貫した接続の詳細については、「一貫した接続を維持」を参照してください。
     注：
     一貫した接続を維持オプションが選択されている場合、アプリケーションのルーティングタイプは、アプリ接続セクションでコネクタ経由の内部に設定する必要があります。

   • アプリケーションをお気に入りWorkspaceアプリに追加をクリックして、このアプリをCitrix Workspaceアプリのお気に入りアプリとして追加します。
     • ユーザーがお気に入りから削除することを許可をクリックすると、アプリのサブスクライバーがCitrix Workspaceアプリのお気に入りアプリリストからアプリを削除できるようになります。このオプションを選択すると、Citrix Workspaceアプリのアプリの左上隅に黄色の星アイコンが表示されます。
     • 「ユーザーがお気に入りから削除することを許可しない」をクリックすると、サブスクライバーがCitrix Workspaceアプリのお気に入りアプリリストからアプリを削除するのを防ぐことができます。このオプションを選択すると、Citrix Workspaceアプリのアプリの左上隅に南京錠の付いた星のアイコンが表示されます。
       Secure Private Accessサービスコンソールからお気に入りとしてマークされたアプリを削除した場合、ユーザーはストアのお気に入りリストからアプリを手動で削除する必要があります。Secure Private Accessサービスコンソールから削除しても、アプリはストアから自動的に削除されません。
   「重要:」:
   • アプリへのゼロトラストベースのアクセスを有効にするため、アプリへのアクセスはデフォルトで拒否されます。アプリへのアクセスは、アクセスポリシーがアプリケーションに関連付けられている場合にのみ有効になります。
   • 複数のアプリが同じFQDNまたはワイルドカードFQDNの何らかのバリエーションで構成されている場合、競合する構成になる可能性があります。
   • これらの問題は、いくつかのベストプラクティスに従うことで解決できます。詳細については、「WebおよびSaaSアプリケーション構成のベストプラクティス」を参照してください。

6. 「アプリ接続」セクションでは、ドメインをCitrix Connector™ Applianceを介して外部または内部にルーティングする必要がある場合に、アプリケーションの関連ドメインのルーティングを定義します。
   「」
   • 「ルーティングタイプ - 次のいずれかを選択します。」:
     • 「内部 – プロキシをバイパス - ドメイントラフィックはConnector Appliance™を介してルーティングされ、Connector Applianceで構成された顧客のWebプロキシをバイパスします。」.
     • 「コネクタ経由の内部 - アプリは外部のものでもかまいませんが、トラフィックはConnector Applianceを介して外部ネットワークに流れる必要があります。」.
     • 「外部 – トラフィックはインターネットに直接流れます。」.
   • 「プライマリおよびセカンダリリソースロケーション - 管理者は、セカンダリリソースロケーションを構成するか、最初に利用可能オプションを使用することで、中断時でもアプリケーションの高可用性を確保できます。」.
     • 「プライマリリソースロケーション: アプリケーションがホストされているプライマリリソースロケーションを選択します。または、管理者はプライマリリソースロケーションで最初に利用可能オプションを選択することもできます。」.
     • 「最初に利用可能: 最初に利用可能オプションは、動作中のリソースロケーションが使用されることを保証します。最初に利用可能が選択されている場合、システムはトラフィックを最初に利用可能なロケーションに自動的にルーティングします。これにより、手動介入なしで継続的なアプリケーションアクセスが保証されます。たとえば、ResourceLocation1が利用できないがResourceLocation2に到達可能な場合、ResourceLocation2がデフォルトで選択され、アプリケーションのフロントエンドとして機能します。」.
     • セカンダリリソースロケーション - セカンダリリソースロケーションオプションは、プライマリリソースロケーションが明示的に指定されている場合にのみ使用可能になります。コネクタアプライアンスまたはデータセンターの障害などの理由により、プライマリリソースロケーションが利用できなくなった場合、アプリケーションは指定されたセカンダリリソースロケーションにフェールオーバーします。セカンダリリソースロケーションは、アプリケーションが別のデータセンターでホストされている場合でも、フェールオーバーとして機能できます。
     関連ドメインごとに、プライマリおよびセカンダリリソースロケーションを設定するか、First Availableオプションを選択することもできます。
     1. 関連ドメインテーブルのアクション列にある編集アイコンをクリックします。
     2. プライマリおよびセカンダリリソースロケーションを設定するか、First Availableオプションを選択します。
     関連ドメイン(/en-us/citrix-secure-private-access/media/backup-rl-related-domains.png)
     注:
     • バックアップリソースロケーションの設定とFirst Availableオプション機能の使用は、現在プレビュー段階です。
     • アプリケーションを削除すると、そのルーティングエントリは自動的に削除されます。詳細については、「アプリケーション削除時のルーティングエントリの自動クリーンアップ」を参照してください。

   • 一貫した接続を維持 - このチェックボックスをオンにすると、同じコネクタアプライアンスへの一貫した接続が可能になります。一貫した接続の詳細については、「一貫した接続を維持」を参照してください。
     注:
     一貫した接続を維持オプションが選択されている場合、アプリケーションのルーティングタイプは、アプリ接続セクションでコネクタ経由の内部に設定する必要があります。

7. 優先するサインオン方法を設定します。
   注:
   シングルサインオンオプションは、Chrome Enterprise (CEP) を使用するCitrix Secure Accessには適用されません。
   1. シングルサインオンセクションで、アプリケーションに使用する優先シングルサインオンタイプを選択し、保存をクリックします。以下のシングルサインオンタイプが利用可能です。
      
      • Basic – バックエンドサーバーからbasic-401チャレンジが提示された場合は、Basic SSOを選択します。Basic SSOタイプには、構成の詳細を指定する必要はありません。
      • Kerberos – バックエンドサーバーからnegotiate-401チャレンジが提示された場合は、Kerberosを選択します。Kerberos SSOタイプには、構成の詳細を指定する必要はありません。
      • フォームベース – バックエンドサーバーから認証用のHTMLフォームが提示された場合は、フォームベースを選択します。フォームベースSSOタイプの構成の詳細を入力します。
      • SAML - WebアプリケーションへのSAMLベースのSSOには、SAMLを選択します。SAML SSOタイプの構成の詳細を入力します。
      • SSOを使用しない – バックエンドサーバーでユーザーを認証する必要がない場合は、SSOを使用しないオプションを使用します。SSOを使用しないオプションが選択されている場合、ユーザーはアプリの詳細セクションで構成されたURLにリダイレクトされます。
      フォームベースの詳細:
      シングルサインオンセクションに以下のフォームベースの構成詳細を入力し、保存をクリックします。
      
      • アクションURL - 完了したフォームが送信されるURLを入力します。
      • ログオンフォームURL – ログオンフォームが表示されるURLを入力します。
      • ユーザー名形式 - ユーザー名の形式を選択します。
      • ユーザー名フォームフィールド – ユーザー名属性を入力します。
      • パスワードフォームフィールド – パスワード属性を入力します。
      SAML:
      サインオンセクションに以下の詳細を入力し、保存をクリックします。
      設定を保存2(/en-us/citrix-secure-private-access/media/saml-sso-details.png)
      • アサーションの署名 - アサーションまたは応答に署名すると、応答またはアサーションが証明書利用者 (SP) に配信される際のメッセージの整合性が保証されます。アサーション、応答、両方、またはなしを選択できます。
      • アサーションURL – アサーションURLはアプリケーションベンダーによって提供されます。SAMLアサーションはこのURLに送信されます。
      • リレーステート – リレーステートパラメーターは、ユーザーがサインインして証明書利用者のフェデレーションサーバーにリダイレクトされた後にアクセスする特定のリソースを識別するために使用されます。リレーステートはユーザー向けに単一のURLを生成します。ユーザーはこのURLをクリックしてターゲットアプリケーションにログオンできます。
      • オーディエンス – オーディエンスはアプリケーションベンダーによって提供されます。この値は、SAMLアサーションが正しいアプリケーションに対して生成されたことを確認します。
      • 名前ID形式 – サポートされている名前識別子形式を選択します。
      • 名前ID – サポートされている名前IDを選択します。
      1. 詳細属性 (オプション) で、アクセス制御の決定のためにアプリケーションに送信されるユーザーに関する追加情報を追加します。
      2. SAMLメタデータの下のリンクをクリックして、メタデータファイルをダウンロードします。ダウンロードしたメタデータファイルを使用して、SaaSアプリサーバーでSSOを構成します。
         • ログインURLの下にあるSSOログインURLをコピーし、SaaSアプリサーバーでSSOを構成する際にこのURLを使用できます。
         • 証明書リストから証明書をダウンロードし、SaaSアプリサーバーでSSOを構成する際にその証明書を使用することもできます。
8. 保存をクリックし、次に完了をクリックします。
   完了をクリックすると、アプリがアプリケーションページに追加されます。アプリケーションを構成した後、アプリケーションページからアプリを編集または削除できます。そのためには、アプリの省略記号ボタンをクリックし、それに応じてアクションを選択します。
   • アプリケーションの編集
   • 削除

アプリケーション削除時のルーティングエントリの自動クリーンアップ

• 参照されていないエントリは削除されます - 削除されたアプリケーションに関連付けられているルーティングエントリ（FQDNまたはアプリケーションドメイン）が他のどのアプリケーションからも参照されていない場合、Secure Private Accessはルーティングテーブルから自動的に削除します。
• 共有エントリは保持されます - ルーティングエントリが複数のアプリケーションで使用されている場合、それらのアプリケーションの1つを削除しても、共有エントリは削除されません。そのエントリは、少なくとも1つのアクティブなアプリケーションがそれを参照している限り、ルーティングテーブルに残ります。
• 遡及的な削除はありません - ルーティングエントリは、アプリケーションの削除の一部としてのみ評価および削除されます。既存のエントリは、どのアプリケーションにも使用されていないことが確認されない限り、遡及的に削除されることはありません。