Citrix Federated Authentication Service を使用してシングルサインオンを有効にする
Citrix Federated Authentication Service (FAS) は、Active Directory に参加している VDA でホストされているリソースへのシングルサインオン (SSO) を可能にします。これにより、ユーザーはストアにログオンすると、資格情報を再入力するよう求められることなく、仮想アプリとデスクトップを起動できます。
認証に以下のいずれかの ID プロバイダーを使用している場合、通常 FAS が採用されます。
-
マイクロソフト エントラ ID
-
オクタ
-
SAML 2.0
-
シトリックス ゲートウェイ
-
グーグル クラウド アイデンティティ
Active Directory (AD)、AD plus Token、または Citrix Gateway の特定の構成を使用している場合、リソースへの SSO に FAS は必要ありません。Citrix Gateway の構成の詳細については、「オンプレミス Citrix Gateway で OAuth IdP ポリシーを作成する」を参照してください。
Entra に参加している VDA へのシングルサインオンについては、「Entra ID SSO to VDAs」を参照してください。
FAS サーバー
各リソースの場所内で、負荷分散とフェールオーバーのために複数の FAS サーバーを Citrix Cloud™ に接続できます。
Citrix Cloud は、以下のシナリオで FAS サーバーの使用をサポートしています。
どちらのシナリオでも、フェデレーション ID プロバイダーを介してストアにサインインするエンドユーザーは、アプリやデスクトップにアクセスするために資格情報を一度だけ入力します。
単一のリソースの場所に接続された FAS サーバー
リソースの場所にさまざまなインフラストラクチャ (たとえば、異なるリソースの場所に異なる AD フォレスト) が含まれている場合は、VDA が存在するリソースの場所に FAS サーバーを展開します。SSO は、1 つ以上の FAS サーバーが接続されているリソースの場所でのみアクティブになります。
複数のリソースの場所に接続された FAS サーバー
リソースの場所間にネットワーク接続があり、同様のインフラストラクチャが含まれている場合は、FASサーバーを複数のリソースの場所に接続できます。それらのリソースの場所にあるアプリやデスクトップに接続するストアのエンドユーザーに対してSSOがアクティブになります。このシナリオでは、各リソースの場所に個別のFASサーバーを接続する必要はありません。
エンドユーザーが仮想アプリまたはデスクトップを起動すると、Citrix Cloudは、起動されるアプリまたはデスクトップと同じリソースの場所にあるFASサーバーを選択します。Citrix Cloudは、選択されたFASサーバーに接続して、FASサーバーに保存されているユーザー証明書へのアクセスを許可するチケットを取得します。エンドユーザーを認証するために、VDAはFASサーバーに接続し、チケットを提示します。
適切なルール構成により、オンプレミスとCitrix Cloudの両方で同じFASサーバーを使用できます。
複数のリソースの場所のフェイルオーバー優先度
複数のリソースの場所でFASサーバーを使用する場合、あるリソースの場所のFASサーバーは、他のリソースの場所のFASサーバーへのフェイルオーバーを提供できます。他のリソースの場所にFASサーバーを追加するときは、各サーバーをプライマリまたはセカンダリとして指定します。エンドユーザーが仮想アプリまたはデスクトップを起動すると、Citrix Cloudは次の方法でこの指定を使用してFASサーバーを選択します。
-
指定されたリソースの場所でプライマリとして指定されているFASサーバーが最初に考慮されます。
-
プライマリサーバーが利用できない場合、セカンダリとして指定されているFASサーバーが考慮されます。
-
セカンダリサーバーが利用できない場合、起動は続行されますが、シングルサインオンは発生しません。
ビデオの概要
Citrix® StoreFront Cloud向けフェデレーション認証サービスの概要については、このTech Insightビデオをご覧ください。
[](https://www.youtube.com/watch?v=WQfn_rLyZWs "Tech Insight - Federated Authentication Service for Citrix Workspace ")
要件
接続要件
FAS管理コンソールを使用して、FASサーバーをCitrix Cloudに接続します。このコンソールを使用して、ローカルまたはリモートのFASサーバーを構成できます。FASでストアのSSOを有効にするには、FAS管理コンソールとFASサービスが、それぞれコンソールユーザーのアカウントとネットワークサービスアカウントを使用して、次のアドレスにアクセスします。
-
FAS管理コンソール（コンソールユーザーのアカウントを使用）：
-
*.cloud.com -
*.citrixworkspacesapi.net -
環境で使用されている場合、サードパーティのIDプロバイダーが必要とするアドレス
-
-
ネットワークサービスアカウントを使用するFASサービス:
-
*.citrixworkspacesapi.net -
https://*.citrixnetworkapi.net/
-
環境にプロキシサーバーが含まれている場合は、FAS管理コンソールのアドレスでユーザープロキシを構成します。また、ネットワークサービスアカウントのアドレスが環境に合わせて適切に構成されていることを確認してください。
FASのシステム要件
シングルサインオンを有効にする各リソースの場所に、Federated Authentication Service 2003 (バージョン 10.1) 以降を導入する必要があります。FASサーバーの完全なシステム要件については、FAS製品ドキュメントのシステム要件セクションで説明されています。
シトリックス DaaS™
サービス統合でCitrix DaaSがプロビジョニングされ、有効になっている必要があります。
クラウドコネクタ
Citrix Cloud Connectorは、リソースの場所（VDAがある場所）とCitrix Cloud間の通信を可能にします。高可用性を確保するために、少なくとも2つのCloud Connectorを展開してください。Cloud Connectorソフトウェアをインストールするサーバーは、次の要件を満たしている必要があります。
-
Cloud Connector Technical Detailsに記載されているシステム要件
-
他のCitrixコンポーネントがインストールされておらず、サーバーがActive Directoryドメインコントローラーではなく、リソースの場所のインフラストラクチャにとって重要ではないマシンであること。
-
VDAがあるドメインに参加していること。
Cloud Connectorの展開の詳細については、次の記事を参照してください。
セットアップの概要
-
新しいFASサーバーを展開する場合は、要件を確認し、この記事のFASのインストールと構成の手順に従ってください。
-
この記事の「FASサーバーをCitrix Cloudに接続する」で説明されているように、FASサーバーをCitrix Cloudに接続します。このタスクを完了すると、FASサーバーが単一のリソースの場所に接続されます。
-
FASサーバーを複数のリソースの場所に接続する予定がある場合は、この記事の「複数のリソースの場所にFASサーバーを追加する」の手順に従ってください。
FASのインストールと構成
FAS製品ドキュメントに記載されているFASのインストールおよび構成プロセスに従ってください。StoreFrontおよびDelivery Controllerの構成手順は不要です。
ヒント:
Citrix CloudコンソールからFederated Authentication Serviceインストーラーをダウンロードすることもできます。
FASサーバーをCitrix Cloudに接続する
FAS管理コンソールを使用して、FAS製品ドキュメントの「インストールと構成」で説明されているように、FASサーバーをCitrix Cloudに接続します。
クラウド通知のサポート
FASはクラウド通知をサポートするようになりました。FASサーバーの新しいクラウド通知により、次の場合に通知を受け取ります。
-
FASサーバーがダウンしているか、利用できません。
-
FASサーバーのレジストリ機関 (RA) 証明書の有効期限が切れているか、まもなく切れます。
-
FASの新しいバージョンをダウンロードできます。
通知の発生
新しい通知の定期的なチェックが実行され、Citrix Cloud管理コンソールに表示されます。通知は、Citrix Cloud管理コンソールの右上隅にあるベルアイコンの下に表示されます。すべての通知を表示するには、通知アイコンのすべて表示を選択します。詳細については、「通知」を参照してください。
注:
通知が発生すると、問題が解決されない限り、定期的に再度発生します。
すべての通知には、影響を受けるFASサーバーのFQDNが含まれています。RA証明書の有効期限通知は、バージョン10.10.0.14以降のFASサーバーにのみ表示されます。
複数のリソースの場所にFASサーバーを追加する
-
Citrix Cloudメニューから、リソースの場所を選択し、次にFASサーバータブを選択します。
-
管理するFASサーバーを見つけ、エントリの右側にある省略記号 (...) をクリックし、サーバーの管理を選択します。
-
リソースの場所に追加を選択し、目的のリソースの場所を選択します。
-
選択した各リソースの場所で、FASサーバーのフェイルオーバー優先度としてプライマリまたはセカンダリを選択します。
-
変更を保存を選択します。
追加されたFASサーバーを表示するには、Citrix Cloudメニューからリソースの場所を選択し、次にFASサーバータブを選択します。接続されているすべてのリソースの場所のFASサーバーのリストが表示されます。特定のリソースの場所のFASサーバーを表示するには、ドロップダウンリストからリソースの場所を選択します。
FASサーバーのフェイルオーバー優先度を変更する
-
「リソースの場所」ページから、管理するリソースの場所の「FASサーバー」タイルを選択します。
-
「FASサーバー」タブを選択します。
-
管理するFASサーバーを見つけ、エントリの右側にある省略記号をクリックし、「サーバーの管理」を選択します。
-
優先度を変更したいリソースの場所を見つけ、ドロップダウンリストから新しい優先度を選択します。
-
「変更を保存」を選択します。
ストアのフェデレーション認証を有効にする
-
Citrix Cloudメニューから、「StoreFront Cloud」を選択し、次に「認証」を選択します。
-
「FASを有効にする」をクリックします。この変更がエンドユーザーセッションに適用されるまで、最大5分かかる場合があります。
その後、Citrix® StoreFront Cloudからのすべての仮想アプリおよびデスクトップの起動に対して、フェデレーション認証サービスがアクティブになります。
エンドユーザーがストアにサインインし、FASサーバーと同じリソースの場所にある仮想アプリまたはデスクトップを起動すると、資格情報の入力を求められることなくアプリまたはデスクトップが起動します。
注:
リソースの場所にあるすべてのFASサーバーがダウンしているか、メンテナンスモードの場合、アプリケーションの起動は成功しますが、シングルサインオンはアクティブになりません。エンドユーザーは、各アプリケーションまたはデスクトップにアクセスするためにAD資格情報の入力を求められます。
FASサーバーを削除する
単一のリソースの場所からFASサーバーを削除するには：
-
「リソースの場所」ページで、管理するリソースの場所の「FASサーバー」タイルを選択します。
-
「FASサーバー」タブを選択します。
-
管理するFASサーバーを見つけ、エントリの右側にある省略記号をクリックし、「サーバーの管理」を選択します。
-
削除するリソースの場所を見つけて、「X」アイコンをクリックします。
接続されているすべてのリソースの場所からFASサーバーを削除するには：
-
Citrix Cloudメニューから、「リソースの場所」を選択します。
-
管理するリソースの場所を見つけて、「FASサーバー」タイルを選択します。
-
削除するFASサーバーを見つけ、エントリの右側にある省略記号をクリックし、「FASサーバーの削除」を選択します。
-
FAS管理コンソール（オンプレミスのFASサーバー上）で、「Citrix Cloudに接続」の「切断」を選択します。または、FASをアンインストールすることもできます。
トラブルシューティング
FASサーバーが利用できない場合、FASサーバーページに警告メッセージが表示されます。
問題を診断するには、オンプレミスのFASサーバーでFAS管理コンソールを開き、ステータスを確認します。たとえば、FASサーバーがFASサーバーGPOに存在しない場合：
FAS管理コンソールがサーバーが正常に動作していることを示しているにもかかわらず、VDAログオンの問題が依然として発生する場合は、FASトラブルシューティングガイドを参照してください。