iOS Kerberos拡張機能を使用したKerberos認証

最終公開日 : Oct 24, 2026
このトピックでは、Citrix Secure Access for iOSアプリを介して、社内Webアプリ向けにKerberosベースのシングルサインオン (SSO) を有効にするために必要なエンドツーエンドの構成について概説します。
  • iOSクライアントの構成
  • MDMサーバーの構成
  • IISの構成
  • ドメインコントローラーの構成
Related information
モバイルデバイス用 Citrix Secure Private Access

iOSクライアントの構成

以下のセクションでは、iOSクライアントの構成に関する詳細情報を提供します。

前提条件

iOSデバイスがMDMに登録されていることを確認してください。 SSO構成を適用する前に、iOSデバイスがMDMソリューション（例：Microsoft Intune）に登録されている必要があります。MDM登録により、Kerberos SSO拡張プロファイルをデバイスにプッシュできます。

iOSデバイスでのMDM登録の検証

  1. iOSデバイスで、設定 > 一般 > VPNとデバイス管理 に移動します。
    デバイス管理の下に、組織のMDMプロファイル（例：Microsoft Intuneまたは会社のMDMプロファイル名）がリストされていることを確認する必要があります。
  2. プロファイルをタップして、インストールされていること、およびステータスが 確認済み または インストール済み と表示されていることを確認します。
  3. Kerberos SSO拡張機能がMDMによってプッシュされたことを確認するには：
    • 「設定 > 一般 > VPNとデバイス管理」に移動します。
    • MDMプロファイルをタップし、プロファイルの詳細で「シングルサインオン拡張機能」または「Kerberos」を探します。
    • または、「設定 > 一般 > VPNとデバイス管理 > シングルサインオン」に移動し、Kerberos拡張機能がリストされていることを確認します。
    デバイスが登録されていないか、プロファイルが見つからない場合は、続行する前にMDM管理者に連絡してデバイスを登録してください。

MDMサーバーの構成

注:
MDM SSO拡張機能ペイロードの構成は、Appleの公式ドキュメントに基づいています。
MDM SSO拡張機能ペイロードで、以下のフィールドが構成されていることを確認してください。
  1. ドメイン: Kerberosに使用されるURL。
  2. AppBundleIDs: 使用されるアプリの許可リスト。(例: Chrome: com.google.chrome.ios、Citrix Secure Access: com.citrix.securehub)
  3. レルム: データセンターの場所。

Intuneポリシーの構成

前提条件: iOSデバイスがIntuneに登録されていることを確認してください。
  1. In the Intune Admin console, go to ホーム > デバイス | iOS/iPadOS → iOS/iPadOS | 構成.
  2. 新しいポリシーを作成します。
  3. プロファイルの種類でテンプレートを選択し、次にデバイスの機能を選択します。
    Intune ポリシープロファイル
  4. 作成を押します。
  5. ポリシーの名前を入力し、構成設定に進みます。
  6. シングルサインオンアプリ拡張機能 > SSOアプリ拡張機能の種類でKerberosを選択します。
    Intune ポリシー SSO 拡張機能
  7. セットアップ要件に従って情報を入力します。
    Intune ポリシーデバイス機能1Intune ポリシーデバイス機能2
  8. 確認 + 保存を押します。
  9. ポリシーをデバイスにバインドします。
    • ポリシーの編集に移動し、ポリシーをクリックします。
    • 割り当てを編集します。
    • デバイスグループを選択します（まだ作成していない場合は、まずデバイスでデバイスグループを作成してください）。
  10. デバイスを同期します。

IIS構成

IIS Webサーバーで、Kerberosベースの認証を強制するために、Negotiateプロバイダーを使用してWindows認証を有効にし、匿名認証を無効にします。
IIS認証を構成する手順：
  1. IISマネージャーを開きます（ファイル名を指定して実行またはスタートからinetmgr）。
  2. 「接続」ペインで、構成するサイトまたはアプリケーションを選択します。
  3. 機能ビューのIISセクションで、認証をダブルクリックします。
  4. 匿名認証を無効にします。
    • 匿名認証を選択し、「操作」ペインで無効をクリックします。
  5. Windows認証を有効にします。
    • Windows認証を選択し、「操作」ペインで有効をクリックします。
  6. Negotiateプロバイダーを設定します。
    • Windows認証が選択されている状態で、「操作」ペインで**プロバイダー…**をクリックします。
    • Negotiateが最初にリストされていること（NTLMの上）を確認します。不足している場合は追加します。
    • 「OK」をクリックします。
  7. 変更を保存するには、「Actions」ペインで「Apply」をクリックします。
  8. 必要に応じて、管理者権限のコマンドプロンプトから iisreset を実行して、設定をすぐに適用します。
    IIS認証構成

ドメインコントローラー側の構成

短縮名とFQDNのSPN登録: Kerberosでは、クライアントが使用するURLとドメイン上の登録済みSPNとの正確な一致が必要です。http://testwebdemo にアクセスするクライアントは、http://testwebdemo.example.com にアクセスするクライアントとは異なるSPNを使用するため、両方を登録する必要があります。
  1. 以下の <dc-hostname> をドメインコントローラーのホスト名に置き換えます。
  2. 両方の形式を登録します。
    • 短縮ホスト名 (クライアントが短縮名でアクセスする場合に使用されます。例: http://testwebdemo)
      setspn -s HTTP/testwebdemo example.com\<dc-hostname>
    • FQDN (クライアントが完全修飾ドメイン名でアクセスする場合に使用されます。例: http://testwebdemo.example.com)
      setspn -s HTTP/testwebdemo.example.com example.com\<dc-hostname>
  3. 両方が正しいアカウントに登録されていることを確認します
    • setspn -L example.com\&lt;dc-hostname> の設定
  4. 期待される出力には両方を含める必要があります:
    • HTTP/testwebdemo の値
    • HTTP/testwebdemo.example.com