認証

最終公開日 : Oct 24, 2026
Related information
セキュリティと認証

事前入力されたユーザー名でCitrix®セキュリティを強化

バージョン2411以降、管理者はモバイルデバイス管理 (MDM) を使用して、特定の形式でユーザー名を管理対象デバイスにプッシュできます。Citrix Workspace™アプリはこの構成を読み取り、ユーザー名を取得し、認証プロンプト内に事前入力して読み取り専用にします。これにより、Macが登録されているエンドユーザーのみが、その特定のデバイスでCitrix Workspaceアプリに認証できるようになります。この機能はサインインセキュリティを強化し、管理者に認証に対するより詳細な制御を提供します。
この機能は、以下の設定を使用してMDM経由で構成できます。
 <array>
    <dict>
        <key>LockUserName</key>
        <true/>
        <key>CitrixUserName</key>
        <string>UserNameValue</string>
    </dict>
 </array>
事前入力されたユーザー名
制限事項:
  • このソリューションは、基本認証を使用するオンプレミスストアでのみ機能します。
  • SAML (WebView) 認証とは互換性がありません。
  • 適用範囲はCitrix Workspaceアプリに限定されており、ブラウザベースのログインは管理されません。
MDMの使用方法の詳細については、「モバイルデバイス管理」を参照してください。

エンドユーザーにネイティブアプリを介したアプリとデスクトップの認証およびアクセスを義務付ける

バージョン2411以降、管理者はMacデバイスのユーザーに対し、Citrix Workspaceアプリへのアクセスをネイティブアプリ経由のみに義務付けることができます。この機能が有効になっている場合、ストアURLやサードパーティ製ブラウザにアクセスしようとするユーザーは、自動的にCitrix Workspaceアプリにリダイレクトされます。これにより、ユーザーはネイティブアプリのすべての機能を活用し、シームレスなユーザーエクスペリエンスを享受できます。また、ブラウザ経由でHDX™エンジンを起動するユーザーには、今後のアクセスに備えてストアをネイティブクライアントに追加するよう促されます。この機能は、認証プロセスをネイティブアプリ内に保持することで、管理者にユーザー環境に対するより詳細な制御を提供し、ICAファイルのダウンロードの必要性を排除することでセキュリティを強化します。
管理者はCitrix Cloudアカウントを使用してこの機能を有効にできます。この機能は現在、Cloudストアでのみサポートされています。詳細については、「エンドユーザーにネイティブアプリを介したアプリとデスクトップの認証およびアクセスを義務付ける」を参照してください。

スマートカードリーダー認証の機能強化

バージョン2409以降、Citrix Workspaceアプリはスマートカードリーダーのプラグアンドプレイ機能をサポートしています。この機能により、ユーザーはICA®セッションを起動する前にリーダーを手動で接続することなく、スマートカードを便利に使用できます。スマートカードが挿入されると、システムは自動的にリーダーを検出し、初期化します。
また、Citrix Workspaceアプリは、同時スマートカードコマンド要求をより効率的に処理します。Virtual Delivery Agent (VDA) 上の複数のプロセスがスマートカードを同時に読み取る場合、リダイレクト速度が向上します。
これらの機能強化により、認証にスマートカードリーダーを使用する際によりスムーズなユーザーエクスペリエンスが保証されます。

高速スマートカードのサポート

バージョン2409以降、Citrix Workspaceアプリは高速スマートカード機能をサポートしています。高速スマートカードは、既存のHDX PC/SCベースのスマートカードリダイレクトを改善したものです。これにより、スマートカードが高遅延WAN環境で使用される場合のパフォーマンスが大幅に向上します。

Citrix Workspaceアプリでの高速スマートカードログオンの有効化

この機能を有効にするには、Citrix Workspaceアプリの環境設定にあるスマートカード設定でPKCS#11ライブラリファイルの場所を指定する必要があります。詳細については、「スマートカード認証用のPKCS#11モジュールの指定」を参照してください。

Citrix Workspaceアプリでの高速スマートカードログオンの無効化

Citrix Workspaceアプリで高速スマートカードログオンを無効にするには、Citrix Workspaceアプリの環境設定で「PKCS#11モジュール」を「選択なし」に設定します。
注：
  • 高速スマートカードログオンは、VDAではデフォルトで有効になっており、Citrix Workspaceアプリではデフォルトで無効になっています。
  • 以前のバージョンのCitrix Workspaceアプリfor Macでは、スマートカードのリダイレクトと認証に依存するのではなく、SSL接続を確立するためにPKCS#11モジュールを使用していました。現在、Citrix Workspaceアプリfor Macの高速スマートカードは、RSAアルゴリズムを使用するカードのみをサポートしています。互換性のないPKCS#11モジュールを構成しようとすると、認証の失敗につながる可能性があります。

スマートカード

Citrix Workspaceアプリfor Macは、次の構成でスマートカード認証をサポートしています。
  • Workspace for WebまたはStoreFront 3.12以降へのスマートカード認証。
  • シトリックス バーチャルアプリおよびデスクトップ™ 7 2203 以降。
  • XenApp and XenDesktop 7.15以降。
  • 仮想デスクトップまたはアプリケーションセッションで利用可能なドキュメントにデジタル署名したり暗号化したりできる、Microsoft OutlookやMicrosoft Officeなどのスマートカード対応アプリケーション。
  • Citrix Workspaceアプリfor Macは、1枚のスマートカードまたは複数のスマートカードで複数の証明書を使用することをサポートしています。ユーザーがスマートカードをカードリーダーに挿入すると、Citrix Workspaceアプリfor Macを含む、デバイス上で実行されているすべてのアプリケーションで証明書が利用可能になります。
  • ダブルホップセッションの場合、Citrix Workspaceアプリfor Macとユーザーの仮想デスクトップとの間にさらなる接続が確立されます。

Citrix Gatewayへのスマートカード認証について

スマートカードを使用して接続を認証する場合、複数の利用可能な証明書があります。Citrix Workspaceアプリfor Macは、証明書の選択を求めます。証明書を選択すると、Citrix Workspaceアプリfor Macはスマートカードのパスワードの入力を求めます。認証が完了すると、セッションが起動します。
スマートカードに適切な証明書が1つしかない場合、Citrix Workspaceアプリfor Macはその証明書を使用し、選択を求めません。ただし、接続を認証しセッションを開始するには、スマートカードに関連付けられたパスワードを入力する必要があります。

スマートカード認証用のPKCS#11モジュールの指定

注：
PKCS#11モジュールのインストールは必須ではありません。このセクションはICAセッションにのみ適用されます。スマートカードが必要なCitrix GatewayまたはStoreFrontへのCitrix Workspaceアクセスには適用されません。
スマートカード認証用のPKCS#11モジュールを指定するには：
  1. Citrix Workspaceアプリfor Macで、**［環境設定］**を選択します。
  2. **［セキュリティとプライバシー］**をクリックします。
  3. **［セキュリティとプライバシー］セクションで、［スマートカード］**をクリックします。
  4. **［PKCS#11］フィールドで、適切なモジュールを選択します。目的のモジュールが一覧にない場合は、［その他］**をクリックしてPKCS#11モジュールの場所を参照します。
  5. 適切なモジュールを選択した後、追加をクリックします。

サポートされているリーダー、ミドルウェア、およびスマートカードプロファイル

Mac用Citrix Workspaceアプリは、ほとんどのmacOS互換スマートカードリーダーと暗号化ミドルウェアをサポートしています。Citrixは以下の動作を検証済みです。
サポートされているリーダー：
  • 一般的なUSB接続スマートカードリーダー
サポートされているミドルウェア：
  • 明確化
  • ActivIdentityクライアントバージョン
  • Charismathicsクライントバージョン
サポートされているスマートカード：
  • PIVカード
  • 共通アクセスカード (CAC)
  • Gemalto .NETカード
ユーザーデバイスを構成するには、ベンダーが提供するmacOS互換スマートカードリーダーおよび暗号化ミドルウェアの指示に従ってください。

制限事項

  • 証明書はユーザーデバイスではなく、スマートカードに保存する必要があります。
  • Citrix Workspaceアプリfor Macは、ユーザーの証明書の選択を保存しません。
  • Citrix Workspaceアプリfor Macは、ユーザーのスマートカードPINを保存しません。OSがPINの取得を処理し、独自のキャッシュメカニズムを持つ場合があります。
  • スマートカードが挿入されても、Citrix Workspaceアプリfor Macはセッションを再接続しません。
  • スマートカード認証でVPNトンネルを使用するには、Citrix Gateway Plug-inをインストールし、Webページからログオンする必要があります。各ステップでスマートカードとPINを使用して認証してください。Citrix Gateway Plug-inを使用したStoreFrontへのパススルー認証は、スマートカードユーザーには利用できません。

Azure Active Directoryによる条件付きアクセス

この認証方法は現在、Citrix Workspaceアプリfor Macではサポートされていません。

ユーザーエージェント

Citrix Workspaceアプリは、ネットワーク要求でユーザーエージェントを送信します。これは、認証を他のIDプロバイダー（IdP）にリダイレクトすることを含む認証ポリシーを構成するために使用できます。
注：
ポリシーを構成する際にバージョン番号を記載しないでください。
シナリオ 説明 ユーザーエージェント
通常のHTTPリクエスト
Citrix Workspaceアプリによって行われるネットワークリクエストには、一般的に汎用User-Agentが含まれています。
例えば、以下のネットワークリクエストには汎用User-Agentが含まれています。
  • GET /Citrix/Roaming/Accounts
  • GET / AGServices/discover
 CitrixReceiver/23.05.0.36 MacOSX/13.4.0 com.citrix.receiver.nomas X1Class CWACapable
クラウドストア ユーザーがCitrix Workspaceアプリにクラウドストアを追加すると、Citrix Workspaceアプリが行うネットワークリクエストには特定のUser-Agentが含まれます。
例えば、パス /core/connect/authorize を持つネットワークリクエストには特定のUser-Agentが含まれます。
Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Citrix Workspace/23.05.0.36 MacOSX/13.4.0 com.citrix.receiver.nomas X1Class CWACapable
Gateway Advanced Auth を使用したオンプレミスストア ユーザーがGatewayでAdvanced Authが構成されたオンプレミスストアをCitrix Workspaceアプリに追加すると、Citrix Workspaceアプリが行うネットワークリクエストには特定のUser-Agentが含まれます。 Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko), CWAWEBVIEW/23.05.0.36
例えば、以下を含むリクエストを伴うネットワークリクエストの場合：
  • GET /nf/auth/doWebview.do
  • GET /logon/LogonPoint/tmindex.html
カスタムWebストア ユーザーがカスタムWebストアをCitrix Workspaceアプリに追加すると、Citrix Workspaceアプリによって行われるネットワークリクエストには特定のUser-Agentが含まれます。 Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Safari CWA/23.05.0.18 MacOSX/13.4.0

パスワードレス認証のためのFIDO2

Mac版Citrix Workspaceアプリは、クラウドストアに接続する場合、またはHDXセッション内で、FIDO2セキュリティキーを使用したパスワードレス認証をサポートしています。FIDO2セキュリティキーは、企業従業員がユーザー名やパスワードを入力することなく、FIDO2をサポートするアプリやデスクトップに認証するためのシームレスな方法を提供します。この機能は現在、PINコードとTouch IDを備えたローミング認証器（USBのみ）をサポートしています。この機能はmacOS 12以降のバージョンでサポートされています。
FIDO2の詳細については、FIDO2認証を参照してください。
この機能の前提条件と使用方法については、FIDO2を使用したローカル認証と仮想認証を参照してください。

クラウドおよびオンプレミスストアへの接続時のFIDO2ベースの認証

Citrix Workspaceアプリは、クラウドおよびオンプレミスストアに接続する際、FIDO2認証（Web認証）にユーザーのデフォルトブラウザを使用します。管理者は、Citrix Workspaceアプリへの認証に使用するブラウザの種類を設定できます。Webブラウザの設定の詳細については、Global App Configuration serviceのドキュメントを参照してください。
以下の設定により、エンドユーザーをCitrix Workspaceアプリに認証するために使用されるブラウザの種類を選択できます。
設定 説明
システム 認証にユーザーのデフォルトブラウザ（SafariやChromeなど）を使用できます。認証はCitrix Workspaceアプリの外部で行われます。この設定を使用して、パスワードレス認証をサポートします。この設定は、ユーザーのブラウザから既存のユーザーセッションを使用しようとします。
SystemWithPrivateSession この設定はシステム設定に似ています。Citrix Workspaceアプリは、認証のためにブラウザでプライベートセッションを使用します。ブラウザは認証クッキーやデータを保存しません。このオプションではシングルサインオンはサポートされません。
埋め込み Citrix Workspaceアプリ内で認証できます。拡張シングルサインオン機能が有効になっている場合、Citrix Workspaceアプリはシングルサインオン（SaaSアプリなど）のセッションデータまたはCookieを保存します。この認証方法は、FIDO2のようなパスワードレス認証をサポートしていません。
EmbeddedWithPrivateSession この設定は埋め込み設定に似ています。セッションデータやCookieがCitrix Workspaceアプリに存在しないため、シングルサインオンはサポートされません。
設定された設定をプッシュするには、モバイルデバイス管理（MDM）、Global App Configurationサービス（GACS）、またはコマンドラインインターフェイスの方法を使用して、次のコマンドを実行します。
  • MDMを使用したFIDO2の有効化: MDMを介した認証を有効にするには、管理者は次の設定を使用する必要があります。
    <key>WebBrowserForAuthentication</key><string>System</string>
MDM の使用方法の詳細については、Mobile Device Managementを参照してください。
  • GACS を使用して FIDO2 を有効にする: GACS を介した認証を有効にするには、管理者は次の設定を使用する必要があります。

{
    "serviceURL": {
      "url": "https://serviceURL:443"
    },
    "settings": {
      "name": "Web browser for Authenticating into Citrix Workspace",
      "description": "Allows admin to select the type of browser used for authenticating an end user into Citrix Workspace app",
      "useForAppConfig": true,
      "appSettings": {
        "macos": [
          {
            "assignedTo": [
              "AllUsersNoAuthentication"
            ],
            "category": "authentication",
            "settings": [
              {
                "name": "web browser for authentication",
                "value": "SystemWithPrivateSession"
              }
            ],
            "userOverride": false
          }
        ]
      }
    }
  }
  • コマンドラインインターフェイスを使用して FIDO2 を有効にする: コマンドラインインターフェイスを使用して認証を有効にするには、管理者は次のコマンドを実行する必要があります。
    defaults write com.citrix.receiver.nomas WebBrowserForAuthentication System

HDX セッション内での FIDO2 ベースの認証

HDX セッション内で認証するように FIDO2 セキュリティキーを構成できます。この機能は現在、PIN コード付きのローミング認証器（USB のみ）をサポートしています。
FIDO2 をサポートするアプリまたは Web サイトにアクセスすると、セキュリティキーへのアクセスを要求するプロンプトが表示されます。以前に PIN（最小 4 文字、最大 64 文字）でセキュリティキーを登録している場合は、サインイン時に PIN を入力する必要があります。
以前に PIN なしでセキュリティキーを登録している場合は、セキュリティキーに触れるだけでサインインできます。
この機能は、Citrix Workspace アプリ 2307 およびそれ以降のリリースではデフォルトで有効になっています。Mobile Device Management (MDM) またはコマンドラインインターフェイスの方法を使用して、次のコマンドを実行することで FIDO2 認証を無効にできます。
  • MDM を使用して FIDO2 ベースの認証を無効にする: MDM を介してこの機能を無効にするには、管理者は次の設定を使用する必要があります。
    <key>Fido2Enabled</key><false/>
MDM の使用方法の詳細については、Mobile Device Managementを参照してください。
  • コマンドラインインターフェイスを使用して FIDO2 ベースの認証を無効にする: この機能を無効にするには、コマンドラインインターフェイスで次のコマンドを実行します。
    defaults write com.citrix.receiver.nomas Fido2Enabled -bool NO

FIDO2パスワードレス認証のためのデバイスTouch IDのサポート

以前は、Citrix Workspaceアプリは、PINコードとタッチによるローミング認証器（USBのみ）を介したFIDO2パスワードレス認証をサポートしていました。
バージョン2405以降、Citrix WorkspaceアプリはFIDO2パスワードレス認証用のデバイスTouch IDをサポートし、ユーザーのサインインエクスペリエンスを向上させます。この機能により、ユーザーはデバイスのTouch IDを使用してCitrix Workspaceアプリに構成されたストアに安全にサインインでき、パスコードやパスワードが不要になります。この機能は、macOSユーザー向けのCitrix Workspaceアプリの使いやすさとセキュリティの両方を向上させます。この機能はデフォルトで有効になっています。

証明書ベースの認証のサポート

バージョン2305以降、Workspace管理者は、Citrix Workspaceアプリに認証するユーザーに対してAzure Active Directoryの条件付きアクセス ポリシーを構成および適用できます。
条件付きアクセスを使用した認証を有効にするには、次の方法を使用できます。
  • モバイルデバイス管理 (MDM)
  • グローバル アプリ設定サービス (GACS)
Citrix Workspaceアプリが読み取るフラグ値は、次の順序で優先されます。
  • モバイルデバイス管理 (MDM)
  • グローバル アプリ設定サービス (GACS)

MDMを介した条件付きアクセスによる認証の有効化

MDMを介してAzure ADで条件付きアクセスを使用した認証を有効にするには、管理者は次の設定を使用する必要があります。
<key>enableAAD</key> <true/>
この設定はブール値をサポートします。値はデフォルトでfalseに設定されています。キー値が利用できない場合、デフォルト値が考慮されます。
MDMの使用方法の詳細については、「モバイルデバイス管理」を参照してください。

GACSを介した条件付きアクセスによる認証の有効化

GACSを介してAzure ADによる条件付きアクセスを使用した認証を有効にするには、管理者は次の設定を使用する必要があります。
enable conditional AAD
詳細については、GACSドキュメントのmacOSに関する「サポートされている設定とそのプラットフォームごとの値」を参照してください。

オンプレミスストアへの認証の簡素化

バージョン2505以降、管理者はCitrix Workspaceアプリfor Macでパスワードを記憶するチェックボックスの動作を制御できます。
管理者は、MDMベースのキーと値のペアを使用してこの機能を構成できます。
key: SaveCredentials
value type: Boolean
StoreFront™の構成とSaveCredentials MDMキーの有無に基づいて、パスワードを記憶するチェックボックスの動作は次のロジックによって決定されます。
  • StoreFrontでSaveCredentialが設定されていない場合:
    • システムはユーザーにパスワードを記憶するチェックボックスを表示します。
    • MDMキーSaveCredentialsが存在する場合:
      • SaveCredentials = trueの場合: システムはチェックボックスを選択して無効にするため、ユーザーはその状態を変更できません。
      • SaveCredentials = falseの場合：システムはチェックボックスのチェックを外し、無効にし、ロックします。
    • MDMキーが存在しない場合：StoreFrontの設定のみがチェックボックスの動作を制御します。
  • StoreFrontでSaveCredentialがFalseに設定されている場合：
    • システムはユーザーにパスワードを記憶するチェックボックスを表示しません。
    • MDMキーが設定されている場合、システムはその値に従って資格情報をディスクに保存しますが、チェックボックスは非表示のままです。
注：
  • MDMキーが存在する場合、それはチェックボックスに対するユーザーの操作を上書きします。
  • UI要素が非表示の場合でも、MDMポリシーは資格情報を管理します。

制限事項

このソリューションは、Citrix Workspaceアプリがユーザー名とパスワード認証方法のみを使用してStoreFrontに直接アクセスできるオンプレミス環境にのみ適用されます。

Entra IDシングルサインオン (SSO) のサポート

バージョン2508以降、Mac版Citrix WorkspaceアプリはMicrosoft Entra IDとのシングルサインオン (SSO) をサポートしています。

Microsoft Entra IDによるシングルサインオン

ユーザーはMicrosoft Entra IDの資格情報を使用してCitrix Workspaceアプリにサインインし、SSOでCitrix Virtual Apps and Desktopsをシームレスに起動できるため、繰り返しのプロンプトが減り、全体的なサインインエクスペリエンスが向上します。
詳細な構成手順については、Entra ID SSO構成ガイドを参照してください。

デフォルトの認証動作

デフォルトの認証フローでは、ユーザーは最初のセッション起動時に一度認証を行います。それ以降のセッションでは、自動的にシングルサインオン (SSO) が使用されます。
この認証方法は、オンプレミス展開とクラウド展開の両方をサポートしています。

システムブラウザ認証の動作

システムブラウザ認証を使用する場合、macOSは以下の内容を示すモーダルダイアログを表示します。
  • 認証されているドメイン。
  • 認証を続行するためのプロンプト。
システムブラウザ認証は、MDMまたはGACSを介して有効にできます。
  • GACS構成: 認証カテゴリで、 を に設定します。詳細については、「プラットフォームごとのサポートされる設定とその値」を参照してください。
  • MDM構成: 次の設定を使用します。
<key>WebBrowserForAuthentication</key><string>System</string>
注:
  • システムブラウザ認証は、オンプレミスストアをサポートしていません。
  • SystemWithPrivateSessionオプションを使用する場合、ブラウザはCookieやデータを保存しないプライベートセッションで動作するため、SSOはサポートされません。

Entra IDサポートを無効にする

Citrix Workspaceアプリ for MACのEntra IDサポートを無効にするには、次のコマンドを実行します。
defaults write com.citrix.receiver.nomas UseLegacyTermsrvResourceUri -bool YES

PassKey (FIDO2) 認証のサポート

バージョン 2603 以降、Mac 向け Citrix Workspace アプリは、外部セキュリティキーに加えて、TouchID またはパスワードを使用した PassKey (FIDO2) 認証をサポートします。PassKey はローカルの macOS ユーザープロファイルに固有のもので、Secure Enclave に保存され、Citrix Viewer のみからアクセスできます。この機能は、Secure Enclave を搭載した Mac でサポートされています。
注：
  • Mac 向け Citrix Workspace アプリは、アクティブなセッション内でのみ有効な PassKey を作成および管理します。
  • 組織が認定された認証システムを必要とする場合は、管理者に問い合わせてください。