Microsoft Entra シングルサインオン

最終公開日 : Nov 13, 2026
Microsoft Entra ID の資格情報を使用して Microsoft Entra ハイブリッド参加セッションホスト上の仮想アプリケーションとデスクトップにアクセスする際に、シングルサインオン (SSO) を活用できます。
DaaS については、Microsoft Entra single sign-on を参照してください。
Related information
セッション認証
セッション認証

サポートされるインフラストラクチャ

以下は、Microsoft Entraシングルサインオンでサポートされるインフラストラクチャコンポーネントの概要です。
マシンID シトリックス DaaS CVAD オンプレミス Citrix Storefront クラウド シトリックス ストアフロント シトリックス ゲートウェイ サービス ネットスケーラー ゲートウェイ
Microsoft Entra参加済み はい いいえ はい いいえ はい はい
Microsoft Entra ハイブリッド参加済み はい はい はい はい はい はい
注：
StoreFront では、Microsoft Entra シングルサインオンは Modern UI エクスペリエンスでのみサポートされており、Classic UI エクスペリエンスではサポートされていません。

サポートされているアクセス方法

Citrix環境で利用できるアクセス方法は次のとおりです:
  • ネイティブアクセス: ネイティブの Citrix Workspace アプリクライアントを使用して Citrix Storefront にアクセスし、セッション接続を確立します。
  • ブラウザアクセス: ブラウザを介して Citrix Storefront にアクセスし、Citrix Workspace アプリ for HTML5 クライアントを使用して仮想アプリまたはデスクトップセッションに接続します。
  • ハイブリッドアクセス: ブラウザを介して Citrix Storefront にアクセスし、ネイティブの Workspace アプリクライアントを使用して仮想アプリまたはデスクトップセッションに接続します。
以下は、Microsoft Entraシングルサインオンでサポートされているアクセス方法の概要です。
アクセス方法 ウィンドウズ リナックス Mac クローム OS アンドロイド iOS
ネイティブ はい はい はい はい はい はい
ブラウザ はい はい はい はい はい はい
ハイブリッド はい はい はい いいえ いいえ いいえ
注：
ブラウザアクセスおよびハイブリッドアクセスでシングルサインオンが機能するように、ポップアップを許可する必要があります。

システム要件

Microsoft Entraシングルサインオンを使用するためのシステム要件は次のとおりです。
注：
Citrix Web Extension は、ユーザーが Windows または Mac デバイスでハイブリッドアクセスを利用する場合にのみ必要です。ユーザーがネイティブアクセスまたはブラウザアクセスを利用する場合、Citrix Web Extension は必要ありません。

考慮事項

  • ユーザーがハイブリッドアクセスを利用する場合は、Microsoft Edge または Google Chrome のいずれかを使用し、Citrix Web Extension をインストールする必要があります。ハイブリッドアクセスでの Microsoft Entra シングルサインオンは、他のブラウザではサポートされていません。
  • Microsoft Entra シングルサインオンを使用してセッションにログオンする場合、自動クライアント再接続はサポートされていません。このログオン方法が使用されると、この機能は自動的に無効になります。ネットワーク障害が発生した場合でも、セッションの信頼性は自動再接続に利用できます。
  • 仮想デスクトップがロックされると、デフォルトの動作としてWindowsロック画面が表示されます。認証要件によっては、セッションロックの動作を変更する必要がある場合があります。詳細については、セッションロックの動作を参照してください。
  • Microsoft Entra ハイブリッド参加済みセッションホストでは、Domain Admins のような特権グループのメンバーに対して、シングルサインオンはデフォルトでは機能しません。これを有効にするには、Microsoft Entra Kerberos アクセス用の読み取り専用ドメインコントローラー (RODC) 許可リストにグループまたはユーザーを追加します。詳細については、Microsoft Entra Kerberos TGT と Active Directory アクセス制御 を参照してください。
  • Microsoft Entraシングルサインオンでは、Windows設定「カスタムSSPとAPのLSASSへの読み込みを許可する」を有効にする必要があります（デフォルト）。Microsoft Intune経由で「Windows 10 以降のセキュリティベースライン」テンプレートを展開すると、この設定は自動的に無効になり、SSOがブロックされるため、Intuneデバイス構成ポリシーを更新して有効な状態を維持する必要があります。

Microsoft Entraシングルサインオンの構成方法

概要

Microsoft Entraシングルサインオンの構成は、次の手順で構成されます。
  1. Azure および Microsoft Entra ID の構成。
    1. Citrixリソースおよびクライアントアプリケーションを登録する。
    2. Citrixリソースアプリケーションに対してMicrosoft Entra ID Remote Desktop Services認証プロトコルを有効にする。
    3. ユーザーの同意プロンプトを非表示にする。
    4. クライアントアプリケーションを承認する。
    5. Kerberosサーバーオブジェクトを作成する (Microsoft Entraハイブリッド参加環境のみ)。
    6. Microsoft Entra条件付きアクセスポリシーを確認する。
  2. Citrix の構成。
    1. 必要なOSバージョン、IDタイプ、VDAバージョンでセッションホストをプロビジョニングします。
    2. StoreFront を構成します。
    3. サイトで Microsoft Entra シングルサインオンを有効にします。
    4. デリバリーグループで Microsoft Entra シングルサインオンを有効にします。

AzureとMicrosoft Entra IDの構成

Microsoft Entraシングルサインオンを利用するには、まずMicrosoft Entra IDテナントでWindows向けMicrosoft Entra認証を許可する必要があります。これにより、Microsoft Entra参加済みおよびMicrosoft Entraハイブリッド参加済みセッションホストにユーザーがサインインするために必要な認証トークンが発行されます。
Azure構成を行う担当者には、最低でも以下のいずれかのMicrosoft Entra built-in rolesまたは同等のロールが割り当てられている必要があります。
構成は、Azure Portal、Microsoft Graph PowerShell SDK、またはMicrosoft Graph APIを使用して完了できます。以下のセクションでは、Azure Portalを介して構成を完了するための詳細を説明します。Microsoft Graph PowerShell SDKまたはMicrosoft Graph APIの使用を希望する場合は、Microsoft Entra single sign-on Azure configurationを参照してください。

Citrixアプリケーションの登録

AzureテナントにマルチテナントのCitrix Resourceアプリケーションを登録し、シングルテナントのClientアプリケーションを作成する必要があります。
まず、Citrix Resourceアプリケーションを登録する必要があります。そのためには、以下の同意URLのいずれかを使用します。
  • 米国、EU、APS: https://login.microsoftonline.com/common/adminconsent?client_id=3a510bb1-e334-4298-831e-3eac97f8b26c
  • 日本: https://login.microsoftonline.com/common/adminconsent?client_id=0027603f-364b-40f2-98be-8ca4bb79bf8b
Resourceアプリケーションが登録されたら、シングルテナントのClientアプリケーションを作成する必要があります。
シングルテナントのClientアプリケーションを作成する
  1. Azure Portalに移動します。
  2. Microsoft Entra ID > エンタープライズ アプリケーション に移動します。
  3. New applicationを選択します。
  4. Create your own applicationを選択します。
  5. アプリケーションの名前を入力し、Register an application to integrate with Microsoft Entra IDを選択し、Createをクリックします。
  6. Supported account typesで、Single tenant onlyを選択し、Registerをクリックします。
  7. Microsoft Entra ID > App registrationsに移動し、All applicationsを選択します。
  8. 作成したばかりのアプリケーションを検索してクリックします。
  9. リダイレクト URI の追加をクリックします。
  10. 3つのリダイレクトURIを追加する必要があります: Web、シングルページアプリケーション、モバイルおよびデスクトップアプリケーション。
    1. 各URIについて、リダイレクト URI の追加を選択します。
    2. リダイレクトURIを入力します。追加する内容の詳細については、以下の表を参照してください。
      プラットフォームの種類 リダイレクトURI 注
      Web 顧客固有のNetScalerログインURI URI文字列は、特定のNetScaler URLに基づいて計算されます。
      モバイルおよびデスクトップアプリケーション ctxaadsso://citrix.aad.redirect このURIをそのまま入力します。
      SPAアプリ（シングルページアプリケーション） StoreFrontストアWeb URL StoreFrontストアのWeb URLを入力します。たとえば、ブラウザ経由でストアにアクセスするために使用するURLがhttps://finance.acme.com/Citrix/MyStoreWebの場合、SPAリダイレクトURIはhttps://finance.acme.com/Citrix/MyStoreWebである必要があります。環境内に複数のストアがある場合は、すべてのストアのWeb URLをSPAリダイレクトURIとして入力する必要があります。
    3. を選択します。
  11. すべてのリダイレクトURIが追加されたら、クライアントアプリケーションにAPIアクセス許可を追加する必要があります。
    1. 左側のペインの の下にある を選択します。
    2. を選択します。
    3. を選択します。
    4. Citrixリソースアプリケーション (Citrix-Workspace-Resource) を選択します。
    5. アクセス許可のリストで、user_impersonation をオンにします。
    6. を選択します。
  12. 左側のペインで を選択し、割り当てられたアプリケーションIDをメモします。
クライアントアプリケーションを登録する
アプリケーションが作成および構成されたら、アプリケーションのアクセス許可に同意する必要があります。
Azure portal内でアプリケーションのアクセス許可に同意できます。
  1. > に移動します。
  2. クライアントアプリケーションを検索して選択します。
  3. 「セキュリティ」の下にある左側のペインで「アクセス許可」を選択します。
  4. 「\<tenantName\> の管理者の同意を付与」をクリックします。
  5. アクセス許可に同意します。
または、管理者同意URLを使用することもできます: https://login.microsoftonline.com/<EntraTenantID>/adminconsent?client_id=<clientAppID>
注：
<EntraTenantID> を Entra テナントの ID に、<clientAppID> をクライアントアプリケーションのアプリケーション ID に置き換える必要があります。
Citrix Resource アプリケーションのアクセス許可
アプリケーションのアクセス許可は次のとおりです。
API名 クレーム値 アクセス許可 タイプ
マイクロソフト グラフ User.Read サインインおよびユーザープロファイルの読み取り 委任
米国、EU、およびAPSの場合、アプリケーションは Citrix-Workspace-Resource (アプリケーションID 3a510bb1-e334-4298-831e-3eac97f8b26c) と呼ばれます。
日本の場合、アプリケーションは Citrix-Workspace-Resource-JP (アプリケーションID 0027603f-364b-40f2-98be-8ca4bb79bf8b) と呼ばれます。
Citrix Client アプリケーションのアクセス許可
アプリケーションのアクセス許可は次のとおりです。
API名 クレーム値 アクセス許可 タイプ
シトリックス-ワークスペース-リソース
シトリックス-ワークスペース-リソース-JP
user_impersonation シトリックス Entra ID SSO 委任
マイクロソフト グラフ User.Read サインインおよびユーザープロファイルの読み取り 委任

Microsoft Entra ID Remote Desktop Services認証プロトコルを有効にする

Citrix ResourceアプリケーションでMicrosoft Entra ID Remote Desktop Services認証プロトコルを有効にする必要があります。手順は次のとおりです。
  1. Azure Portalで、Microsoft Entra ID > Devices > Manage > Remote connection configurationに移動します。
    Entraアプリ構成1
  2. Citrix-Workspace-Resourceを選択します。
  3. Microsoft Entra ID Remote Desktop Services認証プロトコルを有効にします。
    Entraアプリ構成2
  4. ユーザー同意プロンプトを非表示にするに進みます。

ユーザー同意プロンプトダイアログを非表示にする

デフォルトでは、Microsoft Entraシングルサインオンが有効なMicrosoft Entra参加済みまたはMicrosoft Entraハイブリッド参加済みセッションホストに接続する際、ユーザーはリモートデスクトップ接続を許可するよう求められ、シングルサインオンを許可するためにはいを選択する必要があります。Microsoft Entraは、再度プロンプトを表示するまで、最大15個の一意のセッションホストを30日間記憶します。
ターゲットデバイスのリストを構成することで、このダイアログを非表示にできます。デバイスのリストを構成するには、Microsoft Entra IDでMicrosoft Entra参加済みおよび/またはMicrosoft Entraハイブリッド参加済みセッションホストを含む1つ以上のグループを作成し、その後、リソースアプリケーションでそのグループを承認する必要があります（最大10グループまで）。
Microsoft Entra ID Remote Desktop Services 認証プロトコルを有効にし、グループが作成されたら:
  1. ターゲットデバイスグループを追加するためのリンクをクリックし、適切なグループを選択します。
    Entra アプリ構成 3
注
グループのメンバーシップ管理を簡素化するために、動的グループを作成することを強くお勧めします。動的グループは通常5～10分以内に更新されますが、大規模なテナントでは最大24時間かかる場合があります。
動的グループには、Microsoft Entra ID P1 ライセンスまたは Intune for Education ライセンスが必要です。詳細については、「グループの動的メンバーシップルール」を参照してください。
  1. クライアントアプリケーションの承認に進みます。

クライアントアプリケーションを承認する

Citrix Resource アプリケーションで、Citrix Client アプリケーションを承認済みクライアントとして明示的に追加する必要があります。
  1. 信頼済みクライアントアプリケーションを追加するためのリンクをクリックします。
    Entra アプリ構成 4
  2. Citrix Client アプリケーションを選択します。
    Entra アプリ構成 5
  3. 保存を選択して、Citrix Resource アプリケーションに構成変更を適用します。
    Entra アプリ構成 6
  4. Kerberos サーバーオブジェクトの作成に進みます。

Kerberos サーバーオブジェクトを作成する

セッションホストがMicrosoft Entraハイブリッド参加済みの場合、ユーザーアカウントとコンピューターアカウントが存在するActive DirectoryドメインにKerberosサーバーオブジェクトを構成する必要があります。詳細については、Kerberosサーバーオブジェクトの作成を参照してください。

Microsoft Entra条件付きアクセス ポリシーの確認

Microsoft Entra 条件付きアクセス ポリシーを使用している、または使用する予定がある場合は、ユーザーが意図したサインインエクスペリエンスを得られるように、Citrix Resource application に適用されている構成を確認してください。
Microsoft Entra シングルサインオンを使用する際の条件付きアクセスの構成に関する詳細なガイダンスについては、Microsoft ドキュメント を参照してください。必要な条件付きアクセス設定は、Citrix Client アプリケーションや Microsoft アプリケーションではなく、Citrix Resource application に適用する必要があることに注意してください。

Citrixセッションホスト

セッションホストのシステム要件が満たされていることを確認してください。
  1. セッションホストがMicrosoft Entraハイブリッド参加済みであることを確認します。
  2. システム要件で指定されている必要なオペレーティングシステムのバージョンとビルドをインストールします。
  3. システム要件で指定されている必要なVDAバージョンをインストールします。

Microsoft Entraハイブリッド参加済みセッションホスト

Citrix Machines Creation Services、Citrix Provisioning、またはWindows 365を使用してMicrosoft Entraハイブリッド参加済みセッションホストを展開する場合は、次のセクションに進んでください。他のツールまたは方法を使用してMicrosoft Entraハイブリッド参加済みホストをプロビジョニングする場合は、セッションホストに次のレジストリ値を追加する必要があります。
  • キー: HKLM\SYSTEM\CurrentControlSet\Control\Citrix
  • 値の型: DWORD
  • 値の名前: AzureADJoinType
  • データ: 1

セッションロックの動作

仮想デスクトップがロックされている場合、デフォルトの動作はWindowsのロック画面を表示することです。この時点では、デスクトップのロック解除にサポートされている認証方法は、ユーザー名とパスワードまたはスマートカードです。
注
Citrix Webサインイン（プレビュー）を使用すると、WebベースのEntra認証を使用してデスクトップのロックを解除できます。詳細については、Webサインインを参照してください。
ユーザーがパスワードを知らないパスワードレス展開を使用している場合は、ロック画面を表示する代わりにセッションを切断するようにセッションロックの動作を構成することをお勧めします。
この動作は、Intuneまたはグループポリシーを通じて「Microsoft IDプラットフォーム認証のロック時にリモートセッションを切断する」設定を有効にすることで構成できます。詳細な手順については、Azure Virtual Desktopのセッションロック動作を構成するを参照してください。

Citrixアクセスおよびコントロールプレーン

StoreFrontの構成

StoreFrontでMicrosoft Entraシングルサインオンを有効にするには、StoreFrontドキュメントのEntra ID single-onを参照してください。

Web StudioでMicrosoft Entraシングルサインオンを有効にする

サイトでMicrosoft Entraシングルサインオンを有効にするには、クライアントおよびリソースアプリケーションの詳細とリダイレクトURIを追加する必要があります。詳細については、Settingsドキュメントを参照してください。

デリバリーグループのMicrosoft Entraシングルサインオンを有効にする

Web Studioの使用
  1. Web Studioでデリバリーグループに移動し、**［デリバリーグループの作成］**をクリックします。
  2. **［ユーザー］ページで、IDの種類として［Microsoft Entraハイブリッド参加済み］**を選択します。
  3. 次のページで構成を完了します。参照については、「デリバリーグループの作成」を参照してください。
PowerShellの使用
  1. 新しいデリバリーグループを作成し、VDAをデリバリーグループに追加します。ユーザー（ADアカウント）をVDAに割り当てます。
  2. デリバリーグループMachineLogonTypeをHybridAzureAdに設定します。例：
    Get-BrokerDesktopGroup -Name <dgName> | Set-BrokerDesktopGroup -MachineLogOnType "HybridAzureAd"
  3. Xml Serviceを信頼します。
    Add-PSSnapin Citrix.Broker.Admin.V2
    Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true
  4. SSOパラメーターを設定します（ガイダンスについては以下の表を参照）。
    Set-BrokerSite -AzureGlobalCloudId "B16898C6-A148-4967-9171-64D755DA8520" -AzureSSOnAuthorizeUrl "<URL>" -AzureSSOnClientId "<clientAppID>" -AzureSSOnRedirectUrl "<URL>" -AzureSSOnResourceAppId "<resourceAppID>"
    以下の表に、パラメーターとその既定値の詳細を示します。
    パラメーター デフォルト値 説明
    AzureGlobalCloudId B16898C6-A148-4967-9171-64D755DA8520 Windows の Entra CloudAP を識別します。
    AzureSSOnAuthorizeUrl https://login.microsoftonline.com/common/ 初期ログイン URL。これは、Entra テナントが存在する Azure クラウド (例: Azure Commercial と Azure Gov) によって決定されます。
    AzureSSOnClientId 既定値なし クライアントアプリケーションのアプリケーション ID。
    AzureSSOnRedirectUrl 既定値なし 認証後のリダイレクト URI。クライアントアプリケーションでリダイレクト URI として構成されている URL である必要があります。
    AzureSSOnResourceAppId 3a510bb1-e334-4298-831e-3eac97f8b26c Citrix リソースアプリケーションのアプリケーション ID。

VDA での Microsoft Entra シングルサインオンの構成

デフォルトでは、VDA で Microsoft Entra シングルサインオンが有効になっています。セッションホストのサブセットに対してこの機能を有効または無効にするには、Microsoft Entra シングルサインオンポリシー設定を使用します。

クライアントデバイス

クライアントデバイスのシステム要件が満たされていることを確認してください。
  1. システム要件に記載されている必要なCitrix Workspaceアプリのバージョンをインストールします。
  2. ユーザーがハイブリッドアクセスを利用する場合は、Citrix Web Extensionがインストールされていることを確認してください。ユーザーがネイティブアクセスまたはブラウザアクセスを使用する場合は、Citrix Web Extensionは不要です。

トラブルシューティング

注
StoreFrontの問題のトラブルシューティングについては、「診断ログ」を参照してください。

既知の問題

  • StoreFrontでエラーThere was a failure with the mapped accountが表示される場合、そのユーザーはActive Directoryに一致するユーザーがいないEntra IDユーザーである可能性が高いです。
  • ICAファイルが発行される前にセッション起動が失敗する場合は、XML信頼が有効になっていることを確認してください。
  • VDAのステータスが「初期化中」で停止している場合は、Active Directory内のコンピューターオブジェクトがEntra IDと同期されているOUにあることを確認してください。
  • Entra ID で サインイン状態を維持 (KMSI) が無効になっている場合、Linux および macOS クライアントデバイスでシングルサインオンが失敗します。

シングルサインオンが失敗する場合

仮想デスクトップまたはアプリケーションへのアクセス時にシングルサインオンが失敗した場合は、次のように進めます。
  1. StoreFrontでMicrosoft Entraシングルサインオンが有効になっていることを確認してください。
  2. サイトでMicrosoft Entraシングルサインオンが有効になっていることを確認してください。
  3. デリバリーグループでMicrosoft Entraシングルサインオンが有効になっていることを確認してください。
  4. ユーザーが利用しているアクセス方法がサポートされていることを確認してください。
  5. ユーザーがハイブリッドアクセスを利用している場合は、Citrix Web Extensionがインストールされていることを確認してください。
  6. クライアントデバイスで必要なCitrix Workspaceアプリのバージョンが実行されていることを確認してください。
  7. セッションホストで必要なWindowsビルドが実行されていることを確認してください。
  8. セッションホストで必要なVDAバージョンが実行されていることを確認してください。
  9. セッションホストでWindows設定Always prompt for password upon connectionが有効になっていないことを確認してください。この設定はデフォルトで無効になっており、Computer Configuration\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Securityの下にあるグループポリシーまたはIntuneを通じて構成できます。レジストリで設定が有効になっているかどうかは、HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Servicesの下にある値fPromptForPasswordを探すことで確認できます。値が1に設定されている場合、設定は有効になっており、シングルサインオンは利用できません。値がないか、0に設定されている場合、設定は無効になっています。
  10. セッションホストでAzureADJoinType設定が正しく構成されていることを確認します。
    • キー: HKLM\SYSTEM\CurrentControlSet\Control\Citrix
    • 値の型: DWORD
    • 値の名前: AzureADJoinType
    • 値のデータ: 1 (Microsoft Entraハイブリッド参加済み)
  11. Citrix Studioで、仮想デスクトップまたはアプリケーションがEntra ID IDではなくActive Directory IDに割り当てられていることを確認してください。
  12. 次のPowerShellコマンドを実行して、デリバリーグループのログオンタイプが正しく構成されていることを確認してください。
    Get-BrokerDesktopGroup -Name <deliveryGroupName>
    Microsoft Entra ハイブリッド参加済みセッションホストの場合、MachineLogOnType は HybridAzureAd に設定されている必要があります。
  13. Citrix リソースアプリケーションとシングルテナントクライアントアプリケーションが Microsoft Entra テナントに登録されていることを確認します。
  14. Microsoft Entra ID RDS 認証プロトコルが Citrix リソースアプリケーションで有効になっていることを確認します。
  15. クライアントアプリケーションが、Citrix リソースアプリケーションで承認済みクライアントアプリケーションとして追加されていることを確認します。
  16. セッションホストが Microsoft Entra ハイブリッド参加済みである場合、ユーザーアカウントとコンピューターアカウントが存在する Active Directory ドメインに Kerberos サーバーオブジェクトが作成されていることを確認します。
  17. Microsoft Entra条件付きアクセス ポリシーを確認してください。Citrixクライアントアプリケーションにポリシーが適用されていないこと、およびCitrixリソースアプリケーションまたはセッションホストに適用されているポリシーが、シングルサインオンエクスペリエンスに影響を与えないように正しく構成されていることを確認してください。