ADFS展開
はじめに
このドキュメントでは、Citrix®環境をMicrosoft ADFSと統合する方法について説明します。
多くの組織では、単一の認証ポイントを必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準のWindowsログオン資格情報で保護する必要があります。
Federated Authentication Service (FAS) は、Citrix Gateway および Citrix StoreFront™ を ADFS ログオンシステムと統合することも可能にし、会社のスタッフの潜在的な混乱を軽減します。
この展開では、Citrix Gateway を Microsoft ADFS の証明書利用者として統合します。
ローカライズされた画像(/en-us/federated-authentication-service/1912-ltsr/media/fas-architectures-adfs-saml.png)
注：
バックエンドリソースがWindows VDAまたはLinux VDAのいずれであっても、違いはありません。
SAMLの概要
Security Assertion Markup Language (SAML) は、シンプルな「ログオンページへのリダイレクト」Webブラウザログオンシステムです。構成には次の項目が含まれます。
リダイレクトURL
Citrix Gateway は、ユーザーが認証を必要とすることを検出すると、ユーザーのWebブラウザに、ADFSサーバー上のSAMLログオンWebページにHTTP POSTを実行するように指示します。これは通常、
https:// の形式のアドレスです: https://adfs.mycompany.com/adfs/ls。
このWebページPOSTには、ログオン完了時にADFSがユーザーを返す「戻りアドレス」を含むその他の情報が含まれています。
識別子
EntityIdは、Citrix GatewayがADFSへのPOSTデータに含める一意の識別子です。これにより、ユーザーがどのサービスにログオンしようとしているかをADFSに通知し、適切な認証ポリシーを適用します。発行された場合、SAML認証XMLはEntityIdによって識別されるサービスへのログオンにのみ適しています。
通常、EntityIDはCitrix GatewayサーバーのログオンページのURLですが、Citrix GatewayとADFSがそれに同意する限り、一般的には何でも構いません。
https://ns.mycompany.com/application/logonpage.
戻りアドレス
認証が成功した場合、ADFSはユーザーのWebブラウザに、EntityId用に構成されている応答URLのいずれかにSAML認証XMLをPOSTするよう指示します。これは通常、元のCitrix Gatewayサーバー上の
https://アドレスで、形式はhttps://ns.mycompany.com/cgi/samlauthです。
複数の応答URLアドレスが構成されている場合、Citrix Gatewayは、ADFSへの最初のPOSTでいずれかを選択できます。
署名証明書
ADFSは、秘密鍵を使用してSAML認証XMLブロブを暗号的に署名します。この署名を検証するには、Citrix Gatewayは、証明書ファイルに含まれる公開鍵を使用してこれらの署名をチェックするように構成する必要があります。証明書ファイルは通常、ADFSサーバーから取得したテキストファイルです。
シングルサインアウトURL
ADFSとCitrix Gatewayは「中央ログアウト」システムをサポートしています。これは、Citrix GatewayがSAML認証XMLブロブが現在ログオンしているセッションをまだ表しているかどうかを確認するために、時々ポーリングするURLです。
これは、構成する必要のないオプション機能です。これは通常、
https://形式のhttps://adfs.mycompany.com/adfs/logoutアドレスです。(シングルログオンURLと同じである場合もあります。)
構成
セクションCitrix Gatewayの展開では、標準のLDAP認証オプションを処理するようにCitrix Gatewayを設定する方法について説明しています。それが正常に完了した後、SAML認証を許可する新しい認証ポリシーをCitrix Gateway上に作成できます。これにより、Citrix Gatewayウィザードで使用されるデフォルトのLDAPポリシーを置き換えることができます。
SAMLポリシーを記入する
以前にADFS管理コンソールから取得した情報を使用して、新しいSAML IdPサーバーを構成します。このポリシーが適用されると、Citrix GatewayはユーザーをログオンのためにADFSにリダイレクトし、その見返りとしてADFS署名付きSAML認証トークンを受け入れます。
