Secure Private Access のオンボーディングとセットアップ
Secure Private Access™ 管理コンソールを使用すると、管理者はSaaS、Web、およびTCP/UDPアプリケーションをオンボーディングおよび管理し、ユーザーがそれらのアプリケーションとどのようにやり取りするかを制御する詳細なアクセスポリシーを定義できます。
Citrix Secure Private Access は Google Chrome Enterprise Premium と統合されており、お客様は Google Chrome Enterprise Premium をエンタープライズブラウザとして使用して、プライベートWebアプリケーションやSaaSアプリケーションに安全にアクセスできます。
Secure Private Access をオンボーディングしてセットアップするための大まかな手順は次のとおりです。
重要：
Google Chrome をエンタープライズブラウザとして設定できます。詳細については、以下のトピックを参照してください。
Secure Private Access にユーザーをオンボーディングする
Secure Private Access にユーザーをオンボーディングするには、次の手順を実行します。
-
Citrix Cloud™ にログインし、Secure Private Access をクリックします。
-
Setup for cloud を選択し、Continue をクリックします。
管理者ガイド付きワークフローの概要(/en-us/citrix-secure-private-access/media/spa-overview1.png)
トポロジ図は、Secure Private Access クラウド展開で使用されるコンポーネントを示しています。ヘルプアイコンをクリックすると、フロー内の各コンポーネントの簡単な説明を表示できます。
トポロジ図(/en-us/citrix-secure-private-access/media/spa-onboarding-topology.png)
-
新規のお客様の場合、Citrix Cloud コンソールで Secure Private Access サービスを選択すると、セットアップページが開き、Connector Appliance と CEP を構成できます。
-
Connector Appliance を構成するには、Connector Appliance Configuration ペインで Add をクリックします。詳細については、「Connector Appliance の構成」を参照してください。
-
Google Chrome Enterprise Premium (CEP) を構成するには、Google Chrome Enterprise Premium ペインで Set up をクリックし、画面の指示に従います。詳細については、「Google Chrome 統合のセットアップ」を参照してください。
セットアップが完了すると、その後のアクセス時に、管理者が Citrix Cloud コンソールで Secure Private Access をクリックすると、Secure Private Access ダッシュボードにリダイレクトされます。 -
-
既存のお客様の場合、システムは以下を確認します。
-
Connector Appliance の可用性
-
Chrome Enterprise Premium のステータス
Connector Appliance の確認: システムは、1 つ以上の Connector Appliance が構成されているかどうか、および利用可能な数を確認します。この確認は、管理者が、ユーザーが社内アプリケーション (Web、TCP/UDP) に正常に接続するために Connector Appliance の構成が必須であることを理解するのに役立ちます。Connector Appliance は、ネイティブの Citrix Secure Access クライアントを介したエンドユーザー接続を可能にし、顧客が選択した任意のブラウザをサポートします。Chrome Enterprise Premium 構成の確認: Chrome Enterprise Premium 構成の確認は、Citrix Secure Private Access と Chrome Enterprise Premium の統合が有効になっているかどうかを管理者が判断するのに役立ちます。この統合により、エンドユーザーはネイティブの Citrix Secure Access クライアントを必要とせずに、Chrome ブラウザを介して企業の Web アプリケーションに安全にアクセスできます。 -
注:
Google Chrome Enterprise Premium のセットアップはオプションであり、スキップできます。
Citrix StoreFront CloudでストアURLを構成する
Secure Private AccessサービスをCitrix® StoreFront Cloudと統合できます。ユーザーには、WebブラウザまたはCitrix Workspace™アプリで開くことができるストアURLを提供します。このストアは、構成されたSaaSアプリ、Webアプリ、仮想アプリ、およびその他の構成されたリソースに対して、統一されたユーザーエクスペリエンスを提供します。
デフォルトでは、ストアはURL
customerid.cloud.comで作成されます。このURLを変更したり、たとえば store.company.com のような独自のカスタムURLを追加したりできます。ストアを構成するには、「ストアへのアクセスを構成する」を参照してください。
Google Chrome統合のセットアップ
Google Chrome統合ページで、次の手順を実行します。
-
自動生成されたサービスアカウントのメールアドレスをコピーし、Google管理コンソールの適切なフィールドに貼り付けます。
-
Google管理コンソールで、管理者ロールに移動します。
-
Secure Private Accessサービス用に作成されたロールを選択し、推奨される権限を適用します。権限のリストについては、「管理者ロールと権限」を参照してください。
-
管理者の下で、サービスアカウントの割り当てを選択します。
-
Citrixサービスアカウント (
tenant-sa-<random-string>.iam.gserviceaccount.com) を貼り付け、追加を選択します。その後、ロールの割り当てを選択します。ロールの詳細については、「管理者ロールについて」を参照してください。 -
Google管理コンソールで、ディレクトリ > ユーザーに移動します。
-
新しいユーザーを追加をクリックし、新しいユーザーを作成します (名: Citrix Service、姓: Account、プライマリメール: caccount)。新しく作成したユーザーのメールアドレスを控えておきます。
-
新しいユーザーが作成されたら、そのユーザーを選択し、ユーザーの詳細に移動します。管理者ロールと権限で、このユーザーに同じロールを選択して割り当てます。
-
セキュリティ > アクセスとデータ制御 > API制御に移動し、ドメイン全体の委任を管理をクリックします。
-
「API クライアント」で「新規追加」をクリックし、Google Chrome 統合ページに記載されているそれぞれの情報でクライアント ID と OAuth スコープを入力します。
-
Google 管理コンソール内の「Google アカウント設定」にある Google 顧客 ID を、「Google Chrome 統合」ページの「Google 顧客 ID」フィールドにコピーします。
-
Google Chrome 統合ページの「ユーザーメールフィールド」に、以前作成したユーザーのメールアドレスを入力します。
-
-
「CEP 検証を実行」をクリックして Google Workspace の構成を検証し、次のステップに進む前に Chrome Enterprise Premium 統合の準備が整っていることを確認します。
-
検証で失敗または警告が返された場合は、トラブルシューティングのガイダンスについて「既知の検証の失敗と警告」を参照してください。
-
CEP 検証が成功すると、Secure Private Access サービスは Google 顧客 ID に正常に接続され、セキュアゲートウェイが作成されます。
-
セキュアゲートウェイが正常に作成されると、システムにはそれに割り当てられたエグレス IP アドレスが表示されます。管理者は、Chrome Enterprise Premium が SaaS アプリケーションのトラフィックに使用するエグレスリージョンを選択できます。詳細については、「エグレスハブリージョンの構成」を参照してください。
-
ユーザーが SaaS アプリケーションにアクセスしようとすると、リクエストは SaaS プロバイダーに直接送信されません。代わりに、トラフィックはまずパートナーコネクタとして機能するセキュアゲートウェイを経由してルーティングされます。このゲートウェイは仲介役として機能し、すべてのトラフィックが宛先アプリケーションに到達する前に検査および保護します。
-
-
「保存」をクリックします。
重要：
-
顧客が CEP にオンボーディングされた後でも、統合の詳細を更新できます。詳細については、「オンボーディング後の Google 統合詳細の更新」を参照してください。
-
オンボーディング中に、すべてのユーザーとユーザーグループに加えて、選択した Google Directory 組織部門に CEP 構成を適用できます。詳細については、「Google Directory 組織部門の CEP の構成」を参照してください。
-
Google Chrome Enterprise Premium との Secure Private Access 統合の詳細については、「Google Chrome Enterprise Premium との統合」を参照してください。
SaaS アプリの IP アドレスを追加する
Secure Private Access と Chrome Enterprise Premium に顧客をオンボーディングした後、SaaS アプリケーションで使用される IP アドレスのリストを許可する必要があります。この手順は、以下を確実にするために重要です。
-
ユーザーがネットワークセキュリティ制御による接続の問題やブロックなしに SaaS アプリケーションにアクセスできること。
-
Citrix Secure Private AccessとChrome Enterprise Premiumからのトラフィックは正当なものとして認識され、誤ってフィルタリングされたり拒否されたりすることはありません。
注:
コネクタアプライアンス経由でルーティングされるアプリケーションで、「Internal via Connector」ルーティングタイプを使用する場合、お客様はCitrix IP許可リストを使用する必要があります。
プリンシパルアクセス境界ポリシーの構成
プリンシパルアクセス境界ポリシーは、エンドユーザーがCitrix管理のGoogle Secure Gatewayにアクセスするのを防ぐことができます。
GCP組織に、デフォルトでテナント間リソースへのアクセスをブロックするプリンシパルアクセス境界ポリシーがある場合は、Google Secure Gatewayへのアクセスを許可するプリンシパルアクセス境界ポリシーを作成します。Secure Gateway識別子は、ブラウザ設定 > ブラウザページから取得できます。適切なポリシーの構成の詳細については、Google Cloud IAM - Principal access boundary policies documentationを参照してください。
オンボーディング後のGoogle統合詳細の更新
お客様がChrome Enterprise Premiumに正常にオンボーディングされると、Secure Private Accessはオンボーディング後の統合詳細の管理を可能にします。これには、顧客IDなどの重要な識別子を更新したり、関連するユーザーグループを変更したりする機能が含まれます。
オンボーディング後に統合詳細を更新するには、次の手順を実行します。
-
Secure Private Access管理コンソールで、ブラウザ設定 > ブラウザに移動します。ブラウザページには、Google Chrome統合の詳細が表示されます。システムは、Secure Gatewayに関連付けられたエグレスIPアドレスも表示します。ユーザーがこの統合内でサービスとしてのソフトウェア (SaaS) アプリケーションにアクセスしようとするたびに、トラフィックはSaaSアプリケーションに直接接続するのではなく、パートナーコネクタとして機能するGoogle Secure Gatewayを経由してルーティングされます。このゲートウェイはトラフィックを検査および保護し、セキュリティポリシーとアクセス制御を適用し、組織のセキュリティ体制への準拠を保証します。
-
編集アイコンをクリックして、顧客IDまたはユーザーグループ、あるいはその両方を更新します。
-
CEP検証を実行をクリックして、Google Workspaceの構成がChrome Enterprise Premium統合の準備ができていることを確認します。統合の詳細に問題がある場合、CEP検証は、解決に役立つ詳細を含む失敗または警告メッセージを表示します。ガイダンスについては、既知の検証の失敗と警告を参照してください。
Googleディレクトリ組織部門のCEPを構成する
すべてのユーザーとGoogleディレクトリユーザーグループに加えて、選択したGoogleディレクトリ組織部門にChrome Enterprise Premium (CEP) 構成を適用できます。ユーザーグループと組織部門は相互に排他的ではないため、単一の構成で両方をターゲットにできます。また、ユーザーグループを選択せずに、組織部門のみを使用する構成を保存することもできます。このオプションは、Secure Private Accessクラウド展開とハイブリッド展開の両方で利用できます。
選択された組織部門は継承されます。構成はその組織部門のユーザーと、そのすべての子組織部門（後で作成されるものも含む）に適用されます。
組織部門は、Googleディレクトリユーザーグループと同じパネルで選択されます。次の手順を実行します。
-
Chrome Enterprise Premiumセットアップカードで、編集をクリックします。
または、Secure Private Access管理コンソールで、ブラウザ設定 > ブラウザに移動し、編集アイコンをクリックします。カードには、現在選択されている組織部門が一覧表示されます。 -
組織部門をクリックして、Googleディレクトリ階層をチェックボックスのツリーとして表示します。
注: -
含める組織部門を選択します。組織部門を選択すると、その子組織部門も選択されます。子ユニットは選択された状態で表示され、グレー表示されます。個別にクリアすることはできません。サブセットのみを含めるには、親をクリアし、必要な特定の子組織部門を選択します。
-
「CEP検証を実行」をクリックし、「保存」をクリックします。検証が成功した後で選択を変更した場合は、保存する前にもう一度検証を実行してください。検証が報告する失敗と警告については、「既知の検証の失敗と警告」を参照してください。パネルを再度開くと、ツリーが展開され、保存された選択内容が表示されます。Google Directoryで削除された組織単位は、パネルから削除されます。
既知の検証の失敗と警告
CEP構成を検証する際、Secure Private Accessは、構成が完了する前に、選択されたセットアップで特定された失敗または警告をフラグ付けします。
構成を続行する前に、特定されたすべての失敗を解決する必要があります。検証中に検出された特定の失敗を特定して修正するには、次の表を使用してください。
| 失敗メッセージ | アクション |
|---|---|
| 無効なGoogle顧客ID、またはサービスアカウントにGoogle Workspaceへのアクセス権限がありません。 | Google顧客IDが正しいことを確認してください。 |
| \^ | 必要な権限がサービスアカウントに割り当てられていることを確認してください。詳細については、「管理者ロールと権限」を参照してください。 |
| サービスアカウントにChrome拡張機能ポリシーへのアクセス権限がありません。 | 必要な権限がサービスアカウントに割り当てられていることを確認してください。詳細については、「管理者ロールと権限」を参照してください。 |
| \^サービスアカウントにユーザーグループのChrome拡張機能ポリシーへのアクセス権限がありません。 | \^ |
| \^サービスアカウントにChromeクライアント証明書ポリシーへのアクセス権限がありません。 | \^ |
| Google Workspace で Null または空のユーザーグループ ID が見つかりました。 | これは一時的な問題である可能性があります。問題が解決しない場合は、Google グループに問題がある可能性があります。 |
| \^ | 複数の Google グループで問題が続く場合は、Citrix サポートにお問い合わせください。 |
| 無効または存在しないユーザーグループ | Google グループ名にスペルミスがないか確認してください。 |
| \^ | Google 管理コンソールでグループがまだ存在することを確認してください。 |
| サービスアカウントには、組織部門に Chrome 拡張機能ポリシーを適用する権限がありません。 | 必要な権限がサービスアカウントに割り当てられていることを確認してください。詳細については、「管理者ロールと権限」を参照してください。 |
特定された警告はすべて記録して調査する必要がありますが、それらが構成の完了を妨げることはありません。以下に、一般的な警告とその対処法を示します。
| 警告メッセージ | アクション |
|---|---|
| Google 顧客 ID は既に使用されています | お客様の組織では、Chrome Enterprise Premium 統合に同じ Google 顧客 ID を使用する複数の Citrix Secure Private Access テナントがあります。重複する Google グループ（1 つ以上のテナントで「すべてのユーザー」を選択することを含む）は、他の Citrix テナントの既存の Chrome Enterprise Premium 設定を上書きまたは部分的に上書きする可能性があるため、慎重に設定してください。 |
| 重複するGoogleディレクトリユーザーグループが検出されました | 指定されたGoogleグループについて、他のCitrixテナントでのChrome Enterprise Premium統合を確認してください。 |
| \^ | 関連する各Googleグループについて、どのCitrixテナントでChrome Enterprise Premiumを設定する必要があるかを決定します。 |
| \^ | 他のCitrixテナントから該当する設定を削除します。 |
| \^ | クリーンアップ中に削除された場合は、選択したCitrixテナントにGoogleグループ設定を再適用します。 |
| 「すべてのユーザー」オプションは、このGoogle顧客IDにリンクされている他の顧客と競合する可能性があります | 「すべてのユーザー」（ルートGoogle組織単位）に対してChrome Enterprise Premiumを設定すると、同じGoogle顧客IDを使用する他のSecure Private Access設定が上書きされる可能性があります。 |
| \^ | この設定は、他のCitrixテナントがユーザーによって積極的に使用されていない場合にのみ使用してください。 |
| 「すべてのユーザー」オプションは、このGoogle顧客IDにリンクされている少なくとも1つの顧客によって使用されています | 別のCitrixテナントが「すべてのユーザー」（ルートGoogle組織単位）に対してChrome Enterprise Premiumを設定している場合、このCitrixテナントで計画されているGoogleグループ統合が上書きされる可能性があります。 |
| \^ | 他のCitrixテナントが「すべてのユーザー」統合を必要とするかどうか確認してください。必要としない場合は、そのテナントを特定のGoogleグループに変更してください。 |
| 重複するGoogleディレクトリの組織部門が検出されました | このGoogle顧客IDにリンクされている別の顧客が、すでにその組織部門、またはそのパスにある組織部門を使用しています。 |
| \^ | 重複は、その組織部門とそのすべての子組織部門に適用されます。リストされた組織部門について、他のCitrixテナントでChrome Enterprise Premium統合を確認してください。 |
サービスアカウントに権限 Services > Chrome Management > Settings > Managed Browsers > Read がありません |
該当する権限が割り当てられていることを確認してください。割り当てられている場合は、Google管理コンソール（[請求] > [サブスクリプション]）でChrome Enterprise CoreまたはChrome Enterprise Premiumのいずれかのサブスクリプションがあることを確認してください。 |
複数のユーザーグループでのプロビジョニング失敗の問題
Secure Private AccessでChrome Enterprise統合を構成する際（オンボーディング中またはブラウザ設定ページから）、8つを超えるユーザーグループを指定すると、プロビジョニングの失敗を引き起こす可能性があります。回避策として、以下を実行してください。
-
必要なすべてのグループを包含する専用のディレクトリ親グループを使用してください。
-
オンボーディング中にこの親グループを構成してください。
-
ディレクトリでグループメンバーシップが変更された場合は、Googleのディレクトリへの同期プロセスを繰り返してください。
次のステップ
Connector ApplianceとChrome Enterprise Premiumを構成した後、ユーザー向けにアプリケーションとポリシーを構成できます。
-
アクセスポリシーを構成する(/ja-jp/citrix-secure-private-access/service/adaptive-access-to-web-and-saas-apps.html)。