CEP 統合の問題のトラブルシューティング

最終公開日 : Oct 24, 2026
この記事では、Citrix Secure Private Access と Chrome Enterprise Premium (CEP) の統合を完了したが、アプリケーションにアクセスできない顧客管理者向けのトラブルシューティングワークフローについて説明します。
基本的な前提条件:
  • 顧客管理者が Google Directory とのディレクトリ同期を完了していること。
  • 顧客が Secure Private Access で Chrome Enterprise のオンボーディングを正常に完了していること。
  • ユーザーまたはユーザーが属するグループが関連するアプリケーションにアクセスできるように、アプリケーションとアクセスポリシーが Secure Private Access 管理コンソールで構成されていること。
  • ユーザーがオンボーディングされたドメインにログインしていること。
  • ブラウザがインターネットに接続されていること。
CEP 統合のトラブルシューティング(/en-us/citrix-secure-private-access/media/troubleshooting-cep-integration.png)
Related information
グーグル クローム エンタープライズ プレミアム との統合

CEP トラブルシューティングのための診断ログ

調査を効率化するために、サポートケースを開く前に以下の診断情報を収集し、すべての提出物に含めてください。
  1. Chrome ポリシーをエクスポートします。
    1. Chrome を開き、chrome://policy/ に移動します。
    2. その他の操作をクリックし、JSON にエクスポートを選択します。
    3. エクスポートされたファイルをサポートケースに添付します。
  2. Secure Enterprise Browser拡張機能の詳細ログを有効にします。
    1. Secure Enterprise Browser拡張機能の横にある省略記号アイコンをクリックします。
    2. オプションをクリックし、ログレベルをすべてに設定します。
    3. Chromeを閉じて再度開きます。
    4. 拡張機能オプション (省略記号アイコン) に戻り、ログをダウンロードをクリックします。
  3. 拡張機能ログを収集します。
    1. Chromeを閉じて再度開きます。
    2. ステップ2を繰り返して拡張機能オプションにアクセスし、ログをダウンロードをクリックします。
    3. ダウンロードしたファイルをサポートケースに添付します。
  4. ネットワークログをキャプチャします。
    1. Chromeでchrome://net-export/に移動し、ディスクへのログ記録を開始をクリックします (デフォルトのファイル名はchrome-net-export-log.jsonです)。
    2. いくつかのSaaSおよびWebアプリケーションにアクセスし、chrome://net-export/に戻ってログ記録を停止をクリックします。
    3. 結果のファイルをサポートケースに添付します。

ユーザーが正しいChromeプロファイルにログインしていることを確認します

確認方法: Chromeブラウザの右上隅でプロファイルアイコンをクリックします。アプリケーションにアクセスしようとしているプロファイルに対して、正しいユーザーと正しいドメインが表示されている必要があります。
また、プロファイルが一時停止またはサインインをクリックと表示されていないことを確認してください。表示されている場合は、再認証する必要があります。
  • プロファイルが正しく認証されている場合: (#check-secure-enterprise-browser-extension-installed)に進みます。
  • プロファイルが正しくないか、認証されていない場合: 正しいプロファイルでログインまたは再認証してください。ユーザーのメールのドメインサフィックスが、Secure Private AccessがインストールされているGoogle管理アカウントのドメインと一致していることを確認してください。

Secure Enterprise Browser拡張機能がインストールされているか確認する

確認方法: Chromeブラウザの右上隅に、Secure Enterprise Browser拡張機能に対応する緑色の盾のアイコンがあるはずです。すべての拡張機能を表示するには、ジグソーパズルのピースをクリックする必要があるかもしれません。
  • 拡張機能が存在する場合: (#check-secure-enterprise-browser-extension-policy)に進みます。
  • 拡張機能が存在しない場合: (#check-extensioninstallforcelist-policy)に進みます。

ExtensionInstallForcelistポリシーを確認する

確認方法: (chrome://policy/)に移動し、Chromeポリシーの下でExtensionInstallForcelistという名前のポリシーを探します。対応する行の末尾にある詳細を表示をクリックして、ポリシーの詳細を確認します。
この強制リスト内に、ID: ekajlcmdfcigmdbphhifahdfjbkcifljの拡張機能が表示されるはずです。これはSecure Enterprise Browser拡張機能に対応します。
2つの競合するポリシーがあることを示唆する警告が表示される可能性があります。
  • 競合の警告と競合するポリシー内の拡張機能: (#troubleshoot-conflicting-extension-install-list-policies)に進みます。
  • ポリシーが見つからない場合: ポリシーが完全に存在しない場合、ユーザーはSecure Enterprise Browserを使用するように構成されておらず、(#check-user-extension-configuration-within-google-admin-console)を実行する必要があります。
  • ポリシーから拡張機能が見つからない場合: (#check-user-extension-configuration-within-google-admin-console)に進みます。

競合する拡張機能インストールリストポリシーのトラブルシューティング

競合するポリシーがあることは、必ずしもSecure Private AccessでCEPをサポートする上での障害となるわけではありません。ただし、有効なポリシーは以下の3つの拡張機能のインストールを強制する必要があります。
  • セキュア エンタープライズ ブラウザ (ekajlcmdfcigmdbphhifahdfjbkciflj)
  • シトリックス セキュア アクセス (loifegnemklkgbmonigcdkmniboielgl)
  • エンドポイント検証 (callobklhcbilhphinckomhgkigmfocg)
Secure Private Accessの拡張機能ポリシーの競合を解決するには、Chrome Policy Hierarchy Guideに基づいて、以下の手順に従ってください。
  1. 競合の特定: chrome://policyに移動します。ExtensionInstallForcelistを見つけて、StatusとSourceを確認します。
  2. 優先順位の分析: マシンレベルのポリシー (GPO) は、通常、クラウド/ユーザーレベルのポリシーよりも優先されることに注意してください。
  3. 調和: 最も優先順位の高いポリシーに、必要な3つの拡張機能IDすべてが含まれていることを確認します（追加の拡張機能が含まれていても問題ありません）。あるいは、ブラウザとプロファイルが同じGoogle Workspace組織によって管理されている場合は、ポリシーマージ機能を使用できます。
  4. 確認: Reload policiesをクリックします。Applies toとLevelの列で、必要な拡張機能がMandatoryであり、有効なレベルでアクティブであることを確認する必要があります。
拡張機能のインストールリストポリシーを修正した後も問題が解決しない場合は、Secure Enterprise Browser拡張機能ポリシーの確認に進んでください。

Secure Enterprise Browser拡張機能ポリシーの確認

確認方法: chrome://policyに移動し、Secure Enterprise Browserの下にあるsecurityGatewayという名前のポリシーを探します。Show Moreをクリックして、完全なポリシー構成を表示します。その値は次の形式であると予想されます。
{
  "authentication": {},
  "context": {
    "resource": "projects/project-<tenant_id>-<random-hex-characters>/locations/global/securityGateways/securitygateway-<tenant_id>-<random-hex-characters>"
  },
  "externalHelper": {
    "id": "com.citrix.device_posture_context_provider",
    "metadata": {
      "action": "device/metadata",
      "input": [
        {
          "key": "tenantId",
          "stringValue": "<tenant_id>"
        }
      ]
    }
  },
  ...
}
tenant_idフィールドに、Citrix CloudテナントIDに対応する値があることを確認してください。この値が異なる場合、2番目のテナントがこのGoogleアカウントと統合するように構成されている可能性があります。

Google 管理コンソール内のユーザー拡張機能構成を確認する

確認方法: https://admin.google.comに移動します。ここから、Chrome ブラウザ > アプリと拡張機能に移動します。このビュー内で、適用されているすべてのポリシー構成を見つける必要があります。
概要タブ（存在する場合）をクリックし、Secure Enterprise Browserアプリを選択します。左側のインストールポリシーの下には、\&lt;primary domain\> に強制インストールされ、固定されていますと表示されている必要があります。ここで、\&lt;primary domain\> は Google 管理コンソールの最上位組織部門に対応します。
拡張機能の展開設定を表示するためにクリックすると、拡張機能のポリシー構成を探します。これは、Secure Enterprise Browser 拡張機能ポリシーの確認セクションで説明されている内容と一致している必要があります。
  • 単一のポリシーが正しい場合: 親 OU のポリシーが正しいように見える場合、テストしているユーザーが該当するアカウントに属していること、およびサブ OU またはグループレベルで親 OU のポリシーを上書きする可能性のある他の構成がないことを確認する必要があります。メンバーシップが確認されても問題が解決しない場合は、Citrix サポートにお問い合わせください。
  • ポリシーが見つからない場合: ポリシーが完全に存在しない場合、この Google アカウントは Secure Enterprise Browser を使用するように構成されておらず、Secure Private Access 管理コンソールで CEP 統合を検証する必要があります。
  • 複数のポリシー - 複数の Citrix アカウント: Secure Enterprise Browser 拡張機能に複数の構成が表示される場合、これは関連するポリシーの構成が正しくない原因である可能性があります。複数の Citrix アカウントを同じ Google アカウントに関連付けることは禁止されていませんが、統合が機能しない原因となる可能性があります。
  • 複数のポリシー - 単一の Citrix アカウント: 1つの Citrix テナントのみを統合している場合、組織内の他の管理機能がこの拡張機能を構成していないことを確認する必要があります。この拡張機能のポリシー構成を提供している人が他にいないと確信できる場合は、Secure Private Access 管理コンソールを通じて統合した Citrix テナントに対応しないポリシー構成を削除することができます。
    不要な拡張機能構成を削除し、ブラウザを再起動してもアプリケーションにアクセスできない場合は、Citrix サポートにお問い合わせください。

ルートがフェッチされているか確認する

確認方法: chrome://extensions/?options=ekajlcmdfcigmdbphhifahdfjbkciflj に移動するか、Secure Enterprise Browser 拡張機能を右クリックしてオプションを選択します。
ログレベルをすべてに設定し、ログを表示をクリックします。ログが表示されたら、ブラウザを閉じて、ログページに移動するプロセスを繰り返します。これにより、トラブルシューティングに必要なログの完全なセットが取得されます。
ログ内で、次の内容を含むログ行を検索します。
Calling 'https://api.prod.securegateway.goog/api/v1/routes'
これに続いて、次のような応答が表示されるはずです。
[260220 17:07:51.64] [SG.ApiClient] [DEBUG] Response: {expirationTime: '2026-02-20T15:37:51Z', proxyUrl: 'https://api.prod.securegateway.goog',....

Secure Private Access管理コンソールでCEP統合を検証する

Citrix CloudコンソールのSecure Private Access内にあるブラウザ設定セクションにアクセスします。
このセクションで、以下を確認します。
  • Google Chrome統合ステータスが完了と表示されている必要があります。失敗している場合は、ドキュメントに従ってCEP統合の前提条件の手順を完了していることを確認し、再試行してください。問題が解決しない場合は、Citrixサポートにお問い合わせください。
  • 顧客IDには、統合するGoogleアカウントに対応する値が必要です。この値は、Google管理コンソールのアカウント > アカウント設定で確認できます。
上記のすべての値が正しいにもかかわらず、Chromeブラウザで正しい拡張機能構成が得られない場合は、Citrixサポートにお問い合わせください。

Google Secure Gatewayの到達可能性のトラブルシューティング

確認方法: URL https://api.prod.securegateway.goog/api/v1/routesをコピーし、ブラウザのアドレスバーでこのURLに移動します。HTTP 401エラー応答が表示されるはずです。これは予期される動作であり、Google Secure Gatewayへのネットワーク接続が正常に確立できることを示しています。
  • DNS解決エラー: これは、貴社がGoogle Security Gateway FQDNのルックアップを妨げるような、制限的なDNS解決設定を導入している可能性があることを示唆しています。ただし、これはこの機能を使用するための前提条件であり、該当するFQDNは解決可能である必要があります。
  • リクエストがハングするか、タイムアウトエラーページが表示される: これは、ブラウザとインターネット間のファイアウォールが、Googleのセキュリティゲートウェイ宛てのトラフィックを破棄している可能性が高いことを強く示唆しています。統合ソリューションの前提条件に従って、前提条件となるインターネットロケーションがネットワークから到達可能であることを確認してください。
正しいルートがまだ受信されない場合は、Citrixサポートにお問い合わせください。

ルートへのアプリケーションの組み込みを確認する

正常なルート応答には、Secure Private Access管理者によって構成されたアプリケーションに対応するFQDNが含まれます。例:
[260318 06:42:38.99] [SG.ApiClient] [DEBUG] Response: {expirationTime: '2026-03-18T14:15:05Z', proxyUrl: 'https://via.prod.securegateway.goog', endpointMatchers: [{hostname: 'telemetry.netscalergateway.net'}, {hostname: 'www.workday.com'}, {hostname: '*.workday.com'}, {hostname: 'jira.internal.corp'}, {hostname: '*.jira.internal.corp'}]}.
この行に、アクセスしようとしているアプリケーションが含まれていますか？
  • アクセスできないアプリケーションがルート応答に含まれている: ルーティングされたアプリケーションアクセスをトラブルシューティングするに進んでください。
  • ルート応答にtelemetry.netscalergateway.netのみが含まれている: 追加のアプリケーションと包括的なアプリケーションポリシーを構成してみてください。それでもルートに表示されない場合は、グループメンバーシップの問題、またはCitrixで構成されたIdPとGoogle Directory間のグループの不一致が強く示唆されます。IdPとGoogle Directoryの整合性を確保するに進んでください。
  • アクセスできないアプリケーションがルート応答に含まれていない: これは、Secure Private Access管理コンソールでアプリケーションが正しく構成されていないことを示唆しています。アプリケーションが存在し、ポリシー（アクセスを許可または拒否するいずれか）が関連付けられていることを確認してください。アプリケーションが構成されていると確信しているにもかかわらず、上記のルートにまだ表示されない場合は、Citrixサポートにお問い合わせください。

ルーティングされたアプリケーションアクセスのトラブルシューティング

アプリケーション（ルートリストに表示されるもの）にアクセスしようとしたとき、どのような動作が観察されますか？
  • ドメイン解決エラー (ERR_NAME_NOT_FOUND) が発生している
    これは、アプリケーションが正しく構成されていないか、コンテキストルートが正しく受信されていない可能性が高いことを示唆しています。
  • 「アクセス拒否」と表示されたクリーム色のページ
    これは、Secure Private Accessコンソールでのポリシー構成が、現在のユーザーを含むように設定されていないことを示唆しています。
  • 「Oops! Something went wrong.」と表示されたクリーム色のページ
    このエラーページが表示される最も一般的な原因は、コネクタがターゲットアプリケーションに到達できないことです。この場合、Citrixのドキュメントに従って、内部アプリケーションへのコネクタアクセスをトラブルシューティングしてください。一般的な問題には、次のものがあります。
    • 内部DNSの到達可能性
    • バックエンドサービスがダウンしている
    • ファイアウォールルール
  • 大きな赤いフォントで「Service Unavailable」と表示された白いページ
    これは一時的なエラーである可能性があり、数分後に解決する場合があります。
    問題が解決しない場合は、Citrixサポートにお問い合わせください。
  • タイムアウト
    • まず、Chromeのアドレスバーに via.prod.securegateway.goog を入力して、到達可能であることを確認します。401応答を受信する必要があります。タイムアウトする場合は、中間ファイアウォールまたはプロキシがアクセスをブロックしており、アプリケーションにアクセスする前に解決する必要があります。
    • アプリケーションのタイムアウトのもう1つの潜在的な原因は、インターネットおよび特にGoogle Security Gatewayへのトラフィックをブロックするファイアウォールです。これは、顧客がインターネットにアクセスするために明示的なプロキシを必要とするシナリオでよく見られます。Chrome Enterprise PremiumとのSecure Private Access統合は、このプロキシ構成をサポートしていません。
  • 証明書エラー
    アプリケーションがプライベートCA証明書を使用している場合、ブラウザが「信頼されていない証明書エラー」をスローする可能性があります。Chrome Enterprise Premiumの設定を通じて、顧客は信頼されたルートCAをブラウザにプッシュできます。詳細については、「Chrome Enterprise Premiumを使用してルート証明書構成を管理する」を参照してください。

IdPとGoogleディレクトリの整合性を確保する

Chrome Enterprise PremiumとのSecure Private Access統合の場合、ディレクトリとGoogleディレクトリの同期は、「統合ソリューションの前提条件」で説明されているいくつかの仕様に従う必要があります。
ユーザーおよびユーザーグループのメールアドレスが正しく、ソースディレクトリで構成されている内容と一致している場合は、Google 管理コンソールでグループのアクセス設定を確認するに進みます。

Google 管理コンソールでグループのアクセス設定を確認する

Google 管理コンソールで、ディレクトリ > グループに移動し、アクセス ポリシーを構成し、アプリケーションがロードされないグループを選択します。
そこから、アクセス設定を選択し、メンバーを表示できるユーザーの行でグループメンバーオプションが有効になっていることを確認します。この構成は、Secure Private Access でポリシーを作成するすべてのグループに適用する必要があります。
このオプションがすでに有効になっている場合は、Citrix サポートにお問い合わせください。