ADFS 展開

最終公開日 : Oct 24, 2026
Related information
展開アーキテクチャ

はじめに

このドキュメントでは、Citrix 環境を Microsoft ADFS と統合する方法について説明します。
多くの組織では、単一の認証ポイントを必要とする Web サイトへの安全なユーザーアクセスを管理するために ADFS を使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準の Windows ログオン資格情報で保護する必要があります。
Federated Authentication Service (FAS) は、Citrix Gateway と Citrix StoreFront™ を ADFS ログオンシステムと統合することも可能にし、従業員の潜在的な混乱を軽減します。
この展開では、Citrix Gateway を Microsoft ADFS の証明書利用者として統合します。
ローカライズされた画像(/en-us/federated-authentication-service/2303/media/fas-architectures-adfs-saml.png)
注:
バックエンドリソースが Windows VDA または Linux VDA のどちらであっても違いはありません。

SAML の概要

Security Assertion Markup Language (SAML) は、シンプルな「ログオンページへのリダイレクト」Web ブラウザログオンシステムです。構成には、次の項目が含まれます。

リダイレクト URL

Citrix Gateway は、ユーザーが認証される必要があることを検出すると、ユーザーの Web ブラウザに ADFS サーバー上の SAML ログオン Web ページへの HTTP POST を実行するように指示します。これは通常、https:// の形式のアドレスです: https://adfs.mycompany.com/adfs/ls。
この Web ページ POST には、ログオンが完了したときに ADFS がユーザーを返す「戻りアドレス」を含むその他の情報が含まれています。

識別子

EntityId は、Citrix Gateway が ADFS への POST データに含める一意の識別子です。これにより、ユーザーがどのサービスにログオンしようとしているかを ADFS に通知し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML 認証 XML は EntityId で識別されるサービスへのログオンにのみ適しています。
通常、EntityID は Citrix Gateway サーバーのログオンページの URL ですが、Citrix Gateway と ADFS が合意していれば、一般的には何でも構いません。https://ns.mycompany.com/application/logonpage。

戻りアドレス

認証が成功すると、ADFS はユーザーの Web ブラウザーに、EntityId 用に構成されている応答 URL のいずれかに SAML 認証 XML を POST するよう指示します。これは通常、元の Citrix Gateway サーバー上の https:// アドレスで、形式は次のとおりです。https://ns.mycompany.com/cgi/samlauth。
複数の応答 URL アドレスが構成されている場合、Citrix Gateway は ADFS への最初の POST でいずれかを選択できます。

署名証明書

ADFS は、秘密キーを使用して SAML 認証 XML BLOB に暗号署名します。この署名を検証するには、Citrix Gateway が証明書ファイルに含まれる公開キーを使用してこれらの署名をチェックするように構成されている必要があります。証明書ファイルは通常、ADFS サーバーから取得したテキストファイルです。

シングルサインアウト URL

ADFS と Citrix Gateway は「中央ログアウト」システムをサポートしています。これは、Citrix Gateway が時々ポーリングして、SAML 認証 XML BLOB が現在ログオンしているセッションをまだ表しているかどうかを確認するための URL です。
これは構成する必要のないオプション機能です。通常、https:// アドレスで、形式は https://adfs.mycompany.com/adfs/logout です。（シングルログオン URL と同じにすることもできます。）

構成

セクション「Citrix Gateway の展開」では、標準の LDAP 認証オプションを処理するように Citrix Gateway を設定する方法について説明しています。これが正常に完了したら、SAML 認証を許可する新しい認証ポリシーを Citrix Gateway 上に作成できます。これにより、Citrix Gateway ウィザードで使用されるデフォルトの LDAP ポリシーを置き換えることができます。
ローカライズされた画像

SAML ポリシーの入力

以前に ADFS 管理コンソールから取得した情報を使用して、新しい SAML IdP サーバーを構成します。このポリシーが適用されると、Citrix Gateway はユーザーを ADFS にリダイレクトしてログオンさせ、その代わりに ADFS 署名付き SAML 認証トークンを受け入れます。
ローカライズされた画像

関連情報

  • (/ja-jp/federated-authentication-service/2303/install-configure.html)「インストールと構成」は、FASのインストールと構成に関する主要なリファレンスです。
  • 一般的なFASの展開は、(/ja-jp/federated-authentication-service/2303/deployment-architectures.html)「展開アーキテクチャ」の記事にまとめられています。
  • 「ハウツー」記事は、(/ja-jp/federated-authentication-service/2303/config-manage.html)「高度な構成」の記事で紹介されています。