エンタープライズWebアプリへのエージェントレスアクセス

仕組み

• 構成済みのエンタープライズWebアプリ用に、新しいDNSレコードを追加するか、既存のDNSレコードを変更します。
• IT管理者は、構成済みのエンタープライズWebアプリのFQDNに対して新しいパブリックDNSレコードを追加するか、既存のパブリックDNSレコードを変更して、ユーザーをCitrix Secure Private Access™サービスにリダイレクトします。
• エンドユーザーが構成済みのエンタープライズWebアプリへのアクセスを開始すると、アプリのトラフィックはCitrix Secure Private Accessサービスに誘導され、その後、アプリへのアクセスをプロキシします。
• リクエストがCitrix Secure Private Accessサービスに到達すると、ユーザー認証とアプリケーション承認（コンテキストアクセスポリシーチェックを含む）を確認します。
• 検証が成功すると、Citrix Secure Private Accessサービスは、顧客の環境（オンプレミスまたはクラウドのいずれか）に展開されているCitrix Cloud Connector™アプライアンスと通信し、構成済みのエンタープライズWebアプリへのアクセスを有効にします。

エンタープライズWebアプリへのエージェントレスアクセス用にCitrix Secure Private Accessを構成する

• アプリケーションFQDN
• SSL証明書 – 構成するアプリの公開証明書
• リソースの場所 – Citrix Cloud™ Connectorアプライアンスをインストールする
• アプリケーション構成中にCitrix®から提供される正規名（CNAME）で更新するためのパブリックDNSレコードへのアクセス。

1. Citrix Cloudにログインし、Secure Private Accessを選択します。
2. Applications > App Configurationをクリックし、Add an appをクリックします。
3. Choose a templateセクションで、Skipをクリックします。テンプレートはSaaSアプリでのみ利用可能です。
4. **アプリケーションの場所はどこですか？**で、社内ネットワーク内を選択します。
   • 組織のプライベートネットワークインフラストラクチャ内にホストされ、ファイアウォールの背後にあり、内部ネットワーク接続を介してのみアクセス可能なアプリケーションの場合は、Inside my corporate networkを選択します。
   • Outside my corporate network (Google Connector): 組織のプライベートネットワークインフラストラクチャの外部にホストされているアプリケーションの場合。トラフィックルーティングは、Google Cloud Connectorを介してユーザーから外部アプリケーションに直接行われます。
5. App Detailsセクションに以下の詳細を入力し、Nextをクリックします。
   
   • App type – アプリの種類（HTTPまたはHTTPS）を選択します。
     注:
     Chrome Enterprise Premium (CEP) では、HTTPSエンタープライズWebアプリとSaaSアプリのみがサポートされています。HTTPエンタープライズWebアプリとSaaSアプリはサポートされていません。

   • App name – アプリケーションの名前。
   • App description - アプリの簡単な説明。この説明はストアでユーザーに表示されます。
   • App icon – アプリのアイコンを変更するには、Change iconをクリックします。アイコンファイルのサイズは128x128ピクセルである必要があります。アイコンを変更しない場合、デフォルトのアイコンが表示されます。
     アプリのアイコンを表示しない場合は、ユーザーにアプリケーションアイコンを表示しないを選択します。
6. ユーザーがクライアントブラウザから直接アプリにアクセスできるようにするには、エージェントレスアクセスを選択します。以下の詳細を入力します。
   エージェントレスアクセスオプションは、エンタープライズWebアプリでのみ利用可能です。
   
   • URL – バックエンドアプリケーションのURL。URLはHTTPS形式である必要があり、対応するDNSエントリを管理者が追加する必要があります。
   • SSL証明書 – ドロップダウンメニューから既存のSSL証明書を選択するか、新しいSSL証明書の追加をクリックして新しいSSL証明書を追加します。
     • パブリックまたは信頼されたCA証明書のみがサポートされています。
     • 証明書の完全なチェーンをアップロードする必要があります。
     重要:
     • Secure Private Accessは独自の証明書ストアを管理しているため、管理者は証明書をSecure Private Accessコンソールに直接アップロードする必要があります。詳細については、「Secure Private Accessコンソールでの証明書の管理」を参照してください。
     • NetScaler®コンソールに追加された証明書は、両システム間で同期されないため、Secure Private Accessでは使用できなくなります。

   • 関連ドメイン – 関連ドメインは、提供されたURLに基づいて自動的に入力されます。関連ドメインは、サービスがURLをアプリの一部として識別し、それに応じてトラフィックをルーティングするのに役立ちます。複数の関連ドメインを追加できます。各関連ドメインにSSL証明書をバインドできますが、これはオプションです。
     注:
     重複する関連ドメインが追加された場合、または関連ドメインが別のアプリのURLとして追加された場合は、警告メッセージが表示されます。これらの問題を回避するには、「WebおよびSaaSアプリケーション構成のベストプラクティス」を参照してください。

   • HARのインポート – HARファイルをアップロードして、アプリケーションがアクセスするドメインを自動的に検出できます。検出されたドメインを確認し、アプリケーションの関連ドメイン構成に追加するドメインを選択します。これにより、関連ドメインを手動で特定して構成する必要が減り、アプリケーションのオンボーディングが簡素化されます。詳細については、「HARファイルを使用した関連ドメインの検出」を参照してください。
   • CNameレコード – Secure Private Accessによって自動生成されます。これは、アプリケーションへのエージェントレスアクセスを有効にするためにDNSに入力する必要がある値です。
7. 「アプリ接続」セクションでは、ドメインをCitrix Connector™ Applianceを介して外部または内部にルーティングする必要がある場合に、アプリケーションの関連ドメインのルーティングを定義します。
   
   • ルーティングの種類 - 次のいずれかを選択します。
     • 内部 – プロキシをバイパス - ドメインのトラフィックはConnector Appliance™を介してルーティングされ、Connector Applianceで構成された顧客のWebプロキシをバイパスします。
     • コネクタ経由の内部 - アプリは外部にある可能性がありますが、トラフィックはConnector Applianceを介して外部ネットワークに流れる必要があります。
     • 外部 – トラフィックはインターネットに直接流れます。
   • プライマリおよびセカンダリリソースロケーション - 管理者は、セカンダリリソースロケーションを構成するか、「最初に利用可能なもの」オプションを使用することによって、中断が発生した場合でもアプリケーションの高可用性を確保できます。
     • プライマリリソースロケーション: アプリケーションがホストされているプライマリリソースロケーションを選択します。または、管理者は「プライマリリソースロケーション」で「最初に利用可能なもの」オプションを選択できます。
     • 最初に利用可能なもの: 「最初に利用可能なもの」オプションは、動作中のリソースロケーションが使用されることを保証します。「最初に利用可能なもの」が選択されている場合、システムはトラフィックを最初に利用可能なロケーションに自動的にルーティングします。これにより、手動介入なしで継続的なアプリケーションアクセスが保証されます。たとえば、ResourceLocation1が利用できないがResourceLocation2に到達可能な場合、ResourceLocation2がデフォルトで選択され、アプリケーションのフロントエンドとして機能します。
     • セカンダリリソースロケーション - 「セカンダリリソースロケーション」オプションは、プライマリリソースロケーションが明示的に指定されている場合にのみ利用可能になります。Connector Applianceまたはデータセンターの障害などの理由でプライマリリソースロケーションが利用できなくなった場合、アプリケーションは指定されたセカンダリリソースロケーションにフェイルオーバーします。セカンダリリソースロケーションは、アプリケーションが別のデータセンターでホストされている場合でも、フェイルオーバーとして機能できます。
     プライマリおよびセカンダリリソースロケーションを設定することも、関連する各ドメインに対して「最初に利用可能なもの」オプションを選択することもできます。
     1. 関連ドメインテーブルの「アクション」列にある編集アイコンをクリックします。
     2. プライマリおよびセカンダリリソースロケーションを設定するか、「最初に利用可能なもの」オプションを選択します。
     
     注記:
     • バックアップリソースの場所を設定し、「First Available」オプション機能を使用することはプレビュー版です。
     • アプリケーションを削除すると、そのルーティングエントリは自動的に削除されます。詳細については、アプリケーション削除時のルーティングエントリの自動クリーンアップを参照してください。

8. 「App Connectivity」セクションで、ドメインをCitrix Connector™ Applianceを介して外部または内部にルーティングする必要がある場合に、アプリケーションの関連ドメインのルーティングを定義します。
   
9. 一貫した接続を維持 - このチェックボックスをオンにして、同じコネクタアプライアンスへの一貫した接続を有効にします。一貫した接続の詳細については、一貫した接続を維持を参照してください。
   注記:
   「一貫した接続を維持」オプションが選択されている場合、アプリケーションのルーティングタイプは「App Connectivity」セクションで「Internal via Connector」に設定する必要があります。

10. 優先するサインオン方法を設定します。
    注記:
    シングルサインオンオプションは、Chrome Enterprise (CEP) を使用するCitrix Secure Accessには適用されません。
    1. 「Single Sign On」セクションで、アプリケーションに使用する優先シングルサインオンタイプを選択し、「保存」をクリックします。次のシングルサインオンタイプが利用可能です。
       
       • Basic – バックエンドサーバーがbasic-401チャレンジを提示する場合、「Basic SSO」を選択します。「Basic」SSOタイプには、構成の詳細を指定する必要はありません。
       • Kerberos – バックエンドサーバーがnegotiate-401チャレンジを提示する場合、「Kerberos」を選択します。「Kerberos」SSOタイプには、構成の詳細を指定する必要はありません。
       • フォームベース – バックエンドサーバーが認証のためにHTMLフォームを提示する場合、「フォームベース」を選択します。「フォームベース」SSOタイプの構成詳細を入力します。
       • SAML - ウェブアプリケーションへのSAMLベースのSSOには「SAML」を選択します。「SAML」SSOタイプの構成詳細を入力します。
       • SSOを使用しない – バックエンドサーバーでユーザーを認証する必要がない場合は、「SSOを使用しない」オプションを使用します。「SSOを使用しない」オプションが選択されている場合、ユーザーは「アプリの詳細」セクションで構成されたURLにリダイレクトされます。
       フォームベースの詳細:
       シングルサインオンセクションに以下のフォームベースの構成詳細を入力し、「保存」をクリックします。
       
       • アクションURL - 完成したフォームが送信されるURLを入力します。
       • ログオンフォームURL – ログオンフォームが表示されるURLを入力します。
       • ユーザー名形式 - ユーザー名の形式を選択します。
       • ユーザー名フォームフィールド – ユーザー名属性を入力します。
       • パスワードフォームフィールド – パスワード属性を入力します。
       SAML:
       サインオンセクションに以下の詳細を入力し、「保存.**」をクリックします。
       
       • アサーションの署名 - アサーションまたは応答に署名することで、応答またはアサーションが依拠当事者 (SP) に配信される際のメッセージの整合性が保証されます。アサーション、応答、両方、 または なし を選択できます。
       • アサーションURL – アプリケーションベンダーによって提供されます。SAMLアサーションはこのURLに送信されます。
       • リレーステート – リレーステートパラメータは、ユーザーがサインインして依拠当事者のフェデレーションサーバーにリダイレクトされた後、アクセスする特定のリソースを識別するために使用されます。リレーステートは、ユーザー向けに単一のURLを生成します。ユーザーはこのURLをクリックして、ターゲットアプリケーションにログオンできます。
       • オーディエンス – アプリケーションベンダーによって提供されます。この値は、SAMLアサーションが正しいアプリケーションに対して生成されたことを確認します。
       • 名前ID形式 – サポートされている名前識別子形式を選択します。
       • 名前ID – サポートされている名前IDを選択します。
       1. 詳細属性 (オプション) で、アクセス制御の決定のためにアプリケーションに送信されるユーザーに関する追加情報を追加します。
       2. SAMLメタデータ の下のリンクをクリックして、メタデータファイルをダウンロードします。ダウンロードしたメタデータファイルを使用して、SaaSアプリサーバーでSSOを構成します。
          • ログインURL の下のSSOログインURLをコピーし、SaaSアプリサーバーでSSOを構成する際にこのURLを使用できます。
          • 証明書 リストから証明書をダウンロードし、SaaSアプリサーバーでSSOを構成する際にその証明書を使用することもできます。
11. 保存 をクリックし、次に 完了 をクリックします。アプリが ページに追加されます。アプリケーションを構成した後、 ページからアプリを編集または削除できます。そのためには、アプリの省略記号ボタンをクリックし、それに応じてアクションを選択します。
    • アプリケーションの編集
    • 削除

アプリケーション削除時のルーティングエントリの自動クリーンアップ

• 参照されていないエントリは削除されます - 削除されたアプリケーションに関連付けられているルーティングエントリ (FQDN またはアプリケーションドメイン) が他のアプリケーションによって参照されていない場合、Secure Private Access はルーティングテーブルから自動的に削除します。
• 共有エントリは保持されます - ルーティングエントリが複数のアプリケーションで使用されている場合、それらのアプリケーションのいずれかを削除しても、共有エントリは削除されません。エントリは、少なくとも1つのアクティブなアプリケーションがそれを参照している限り、ルーティングテーブルに残ります。
• 遡及的な削除はありません - ルーティングエントリは、アプリケーションの削除の一部としてのみ評価および削除されます。既存のエントリは、どのアプリケーションによっても使用されていないことが確認されない限り、遡及的に削除されることはありません。

エージェントレスアクセスアプリとDevice Postureサービス