Open ID Connect と Citrix Identity およびアクセス管理

最終公開日 : Oct 24, 2026
Citrix Cloud 向けに、OpenID Connect (OIDC) 認証プロバイダーを使用して、Chrome Enterprise Premium (CEP) のシングルサインオン (SSO) を構成できます。OIDC と Citrix Identity の統合は、次の利点を提供します。
  • Device Posture サービス統合: Device Posture サービスを Google Chrome Enterprise Premium と統合することで、デバイスコンプライアンスチェックを Chrome ブラウザベースのアクセスシナリオに拡張できます。この統合により、ユーザーが管理対象の Google Chrome プロファイルを通じてアプリケーションにアクセスする際に、組織はデバイスポスチャポリシーを適用できます。この統合に Device Posture サービスを使用するには、定期的なデバイスポスチャスキャンを構成することをお勧めします。
    注:
    この統合は、Device Posture サービスが複数ストアモードで構成されている場合には機能しません。
    Device Posture サービスの詳細については、「Device Posture の概要」を参照してください。
  • 統合されたサインオンエクスペリエンス: Chrome の SSO を、Active Directory (AD) および Microsoft Entra (旧 Azure AD) を含むがこれらに限定されない、ほとんどの一般的なIDプロバイダーに対して構成できますが、クラウドストアと CEP の両方で統合されたサインオンエクスペリエンスを選択できます。
Related information
グーグル クローム エンタープライズ プレミアム との統合

概要

OIDC は、Citrix Identity を OIDC 認証プロバイダーとして使用して SSO を可能にします。OIDC に関連するコンポーネントを次の図に示します。
OIDC コンポーネント
Google Chrome は、管理対象プロファイルを作成する際に、常に Google Directory に対して認証を試みます。OIDC を使用すると、Google Directory は実質的に OIDC Connect Provider である Citrix Identity に対するリライングパーティ (RP) となります。その結果、Citrix Identity は次のことを可能にします。
  • デバイスポスチャ機能
  • Chrome およびクラウドストア向けの、共通の統合されたサインインエクスペリエンス。

前提条件

Citrix Identity との OIDC 認証を構成する前に、次の前提条件が満たされていることを確認してください。
  • Google Admin consoleへの管理者アクセス権があること。
  • ディレクトリ同期を設定し、実行していること。詳細については、「Citrix IDで構成されたユーザーディレクトリをGoogle Cloudユーザーディレクトリと同期する」(/ja-jp/citrix-secure-private-access/service/prerequisites-for-cep-spa-integration.html#synchronize-user-directory-configured-in-citrix-workspace-with-the-google-cloud-user-directory)を参照してください。
  • ユーザーIDプロバイダー (IdP) がCitrix Cloud Identity and Access Managementで設定および構成されていること。以下のIDプロバイダーがサポートされています。
    • Active Directory (AD) - 標準的なオンプレミスActive Directory統合
    • トークン付きActive Directory - トークンベース認証によるAD統合
    • Microsoft Entra ID - クラウドベースのIDサービス (旧Azure AD)
    • Okta
    • SAML 2.0
注:
Citrix CloudをOpenID Connect (OIDC) 認証プロバイダーとして使用するChrome Enterprise Premium (CEP) のシングルサインオン (SSO) は、条件付き認証をサポートするようになりました。
  • Citrix Cloud Identity and Access Managementの詳細については、「IDおよびアクセス管理」(/ja-jp/citrix-cloud/citrix-cloud-management/identity-access-management.html)を参照してください。
  • 前述のIDプロバイダーのいずれかを選択して、サブスクライバーがストアに対して認証する方法を構成していること。ストア認証の構成方法については、「認証の構成」(/ja-jp/citrix-workspace/authentication.html)を参照してください。
  • Secure Private Accessの初期設定とオンボーディングをすでに完了していること。詳細については、「Secure Private Accessのオンボーディングとセットアップ」(/ja-jp/citrix-secure-private-access/service/admin-guided-workflow-for-easy-onboarding-and-setup.html)を参照してください。

OIDC統合の概要

Google Chromeの管理対象プロファイルログインを構成済みのCitrix Identity Providerと統合するには、Google OIDC SSOプロファイルをCitrix OIDCクライアントに関連付ける必要があります。これを行うには、次の手順を実行します。
  1. Google 管理コンソールで、プロファイル名を入力して新しいSSOプロファイルを作成します。他のフィールドは現時点では空白のままで構いません。新しいSSOプロファイルとリダイレクトURLの作成の詳細については、「Google OIDC SSOプロファイルの作成」を参照してください。
  2. SSOプロファイルが作成されたら、このプロファイル用に生成されたリダイレクトURLをコピーします。
  3. Secure Private Accessコンソールで、Citrix OIDCクライアントを作成し、（Google SSOプロファイルからの）リダイレクトURLをリダイレクトURLフィールドに貼り付けます。Citrix OIDCクライアントの作成の詳細については、「Citrix OIDCクライアントの作成」を参照してください。
  4. OIDCクライアントが作成されたら、Secure Private Accessコンソールに表示されるクライアントID、クライアントシークレット、および発行者URLをメモします。
  5. Google 管理コンソールに戻り、Secure Private AccessコンソールからのクライアントID、クライアントシークレット、および発行者URLでSSOプロファイルを更新します。
  6. SSOプロファイルの割り当ての管理で、統合を完了するために構成したGoogle SSOプロファイルを選択します。
注：
OIDCクライアントの作成後、Secure Private Accessコンソールでクライアントシークレットをローテーションし、Google 管理コンソールでSSOプロファイルを更新できます。
次の図は、OIDC統合ワークフローを示しています。
OIDCワークフロー

Google OIDC SSOプロファイルの作成

Google 管理コンソールで次の手順を実行します。
  1. セキュリティ > 認証 > サードパーティIdPとのSSOに移動し、次にOIDCプロファイルの追加を選択します。
  2. プロファイルの名前を指定します。
  3. クライアントIDとクライアントシークレットにダミー値を割り当てるか、これらを空のままにします。これらのフィールドは後で更新されます。
  4. 「発行者URL」に「https://accounts.cloud.com/core」を入力します。
  5. 「保存」をクリックします。
OIDC SSOプロファイルの作成
プロファイルを作成したら、それをクリックしてリダイレクトURIを取得します。これはOIDCクライアントの作成に必要です。
OIDCリダイレクトURI

Citrix OIDCクライアントを作成する

Secure Private Access管理コンソールで次の手順を実行します。
  1. ナビゲーションペインで、「ブラウザ設定 > Open ID Connect (OIDC)」をクリックします。
    「注:」:
    「ブラウザ設定」メニューの「Open ID Connect (OIDC)」オプションは、オンボーディングプロセスが完了した後にのみ利用可能です。
  2. 「所有者のメールアドレス」にユーザーのメールアドレスを入力します。このメールアドレスは、OIDCクライアントシークレットの有効期限が切れたときにアラートを送信するために必要です。
  3. 「リダイレクトURL」に、Google OIDC SSOプロファイルを作成したときにGoogle管理コンソールで生成されたリダイレクトURIを入力します。IDプロバイダーは、このURLを使用してユーザー認証要求に応答します。
  4. 環境で構成されているIDプロバイダーを選択します。
  5. 「作成」をクリックします。
    OIDCクライアントの作成
    OIDCクライアントを正常に作成すると、ポップアップウィンドウにクライアントID、クライアントシークレット、および発行者URLが表示されます。これらの詳細をGoogle管理コンソールの設定にコピーする必要があります。資格情報は、次のいずれかの方法で取得できます。
    • ポップアップウィンドウから値を直接コピーする
    • 詳細をCSVファイルとしてダウンロードし、安全に保存する
    重要:
    クライアントシークレットは、この初期設定ステップでのみ表示されます。ポップアップウィンドウを閉じるか、次のステップに進む前に、クライアントシークレットを取得する必要があります。ウィンドウが閉じられると、クライアントシークレットは再度表示できなくなり、新しいシークレットを取得するためにシークレットをローテーションする必要があります。
  6. 閉じるをクリックします。

OIDC SSOプロファイルの割り当て

OIDCクライアントが作成され、Google OIDC SSOプロファイルがクライアントIDとシークレットで更新されたら、SSOを有効にするためにOIDC SSOプロファイルをユーザーとグループに割り当てる必要があります。
  1. Google管理コンソールで、セキュリティ > 認証 > サードパーティIdPとのSSOに移動します。
  2. SSOプロファイルの割り当てを管理で、管理をクリックします。
  3. 左側のナビゲーションペインから、ルート組織部門（OU）とSSOプロファイルを選択して、組織のすべてのユーザーに対してSSOを有効にします。または、SSOプロファイルを特定のグループまたはOUに割り当てることもできます。

Citrix OIDCクライアントの更新

Citrix OIDCクライアントシークレットのデフォルトの有効期間は2年です。クライアントシークレットをローテーションすることで、OIDCのセキュリティを維持したり、潜在的なセキュリティインシデントに対応したりできます。クライアントシークレットのローテーションは、既存のシークレットの有効期限が近づいている場合、またはプロアクティブなセキュリティメンテナンスの一環として実行する必要がある重要なセキュリティ対策です。 クライアントシークレットをローテーションするたびに、新しいシークレットが生成されます。古いシークレットは、SSO認証の中断なしにスムーズな移行を確実にするために、元の有効期限まで有効です。ローテーション後、できるだけ早くGoogle管理コンソールの設定を新しいクライアントシークレットで更新してください。
クライアントシークレットをローテーションするには、次の手順を実行します。
  1. 管理コンソールで、設定 > Open ID Connect (OIDC) クライアントページをクリックします。
  2. 「クライアントシークレットをローテーション」をクリックして、新しいシークレットを生成します。確認メッセージが表示されます。
  3. トグルスイッチを有効にして確認メッセージに同意し、その後「ローテーション」をクリックします。
    「注：」:
    • 古いクライアントシークレットは、有効期限が切れるまで有効です。これにより、認証の中断なしにGoogle Workspaceを更新できます。
    • セキュリティ上の理由からすぐに期限切れにしたい場合は、「今すぐ期限切れにする」をクリックします。
    • このプロセス中、クライアントIDは変更されません。
  4. 「閉じる」をクリックします。
  5. Google Workspaceの設定で新しいシークレットをすぐに更新してください。
「重要：」:
  • OIDC認証の中断を防ぐために、以前のシークレットの有効期限が切れる前に、Google OIDC SSOプロファイル構成で新しいクライアントシークレットを更新する必要があります。そのようなタイムリーな方法でシークレットを更新しないと、認証が中断され、ユーザーやサービスにアクセス問題を引き起こす可能性があります。
  • 不正アクセスリスクを軽減し、認証システムの整合性を維持するために、クライアントシークレットの定期的なローテーションが推奨されます。
  • Google OIDC SSOプロファイルのシークレットを更新したら、古いシークレットを期限切れにすることをお勧めします。
OIDCクライアントを更新(/en-us/citrix-secure-private-access/media/spa-cep-update-oidc-client.png)

OIDCクライアントを削除する

クライアントシークレットは、有効期限が切れるとローテーションできません。クライアントシークレットがローテーションされる前に期限切れになった場合、それは無効になります。この場合、既存のクライアントを削除して新しいものを作成する必要があります。
Secure Private Admin コンソールで次の手順を実行します。
  1. Open ID Connect (OIDC) クライアントページで編集をクリックします。
  2. クライアントの削除をクリックします。
    確認メッセージが表示されます。
  3. トグルをONにスライドし、その後クライアントの削除をクリックします。