Azure Active Directory シングルサインオン
Citrix Federated Authentication Service (FAS) は、ドメイン参加済みVirtual Delivery Agent (VDA) へのシングルサインオン (SSO) を提供します。FASは、VDAにユーザー証明書を提供することでSSOを実現します。VDAはその証明書を使用して、ユーザーをActive Directory (AD) に対して認証します。VDAセッションにサインオンすると、再認証なしでADリソースにアクセスできます。
Active Directory (AD) とAzure Active Directory (AAD) 間で同期を行い、Azure Active Directory (AAD) を実装するのが一般的です。これにより、ユーザーとコンピューターの両方にハイブリッドIDが作成されます。この記事では、FASを使用している場合にVDAセッション内からAADへのSSOを実現するために必要な追加構成について説明します。これにより、ユーザーは再認証なしでAADで保護されたアプリケーションにアクセスできるようになります。
注：
-
FASでAADのSSOを使用するために、特別な構成は必要ありません。
-
FASのセッション内証明書は必要ありません。
-
FASのどのバージョンでも使用できます。
-
FASをサポートするVDAのどのバージョンでも使用できます。
AAD SSOの技術は、次の表にまとめられています。
| AAD認証の種類 | VDAがドメイン参加済みである | VDAがハイブリッド参加済みである |
|---|---|---|
| マネージド | AADシームレスSSOを使用する | AAD証明書ベース認証を使用する |
| Active Directory Federation Services (ADFS) にフェデレーション済み | ADFS で Windows 認証を有効にする | WS-Trust certificatemixed エンドポイントが有効になっていることを確認する |
| サードパーティのIDプロバイダーにフェデレーション済み | サードパーティのソリューションを使用する | サードパーティのソリューションを使用する |
-
マネージド AAD ドメインとは、ユーザー認証が AAD で行われるドメインであり、ネイティブ AAD 認証と呼ばれることもあります。
-
フェデレーション AAD ドメインとは、AAD が認証を他の場所にリダイレクトするように構成されているドメインです。たとえば、ADFS やサードパーティのIDプロバイダーなどです。
-
ハイブリッド参加済み VDA は、AD 参加済みであり、AAD 参加済みです。
ドメイン参加済み VDA
ドメイン参加済み VDA の場合、Windows 認証 (従来は統合 Windows 認証、または Kerberos と呼ばれる) を使用して AAD への SSO を実現します。AAD への認証は、ユーザーが VDA セッション内から AAD で保護されたアプリケーションにアクセスしたときに発生します。次の図は、認証プロセスを大まかに示しています。
正確な詳細は、AAD ドメインがマネージドであるかフェデレーションされているかによって異なります。
マネージド AAD ドメインのセットアップについては、シームレスシングルサインオン を参照してください。
ADFS にフェデレーションされている AAD ドメインの場合、ADFS サーバーで Windows 認証を有効にします。
サードパーティのIDプロバイダーにフェデレーションされているAADドメインの場合、同様のソリューションが存在します。詳細については、IDプロバイダーにお問い合わせください。
注：
ドメイン参加済みVDAに記載されているソリューションをハイブリッド参加済みVDAにも使用できます。ただし、FASを使用している場合、AAD Primary Refresh Token (PRT) は生成されません。
ハイブリッド参加済みVDA
ハイブリッド参加済みVDAは、ADとAADに同時に参加しています。ユーザーがVDAにサインインすると、次のアーティファクトが作成されます。
-
ADリソースへの認証のためのKerberos Ticket Granting Ticket (TGT)
-
AADリソースへの認証のためのPrimary Refresh Token (PRT)
PRTには、ユーザーとコンピューターの両方に関する情報が含まれています。この情報は、必要に応じてAAD条件付きアクセス ポリシーで使用されます。
FASはVDAに証明書を提供することでユーザーを認証するため、PRTはAADの証明書ベースの認証が実装されている場合にのみ作成できます。次の図は、認証プロセスを大まかに示しています。
正確な詳細は、AADドメインがマネージドであるかフェデレーションされているかによって異なります。
マネージドAADドメインの場合は、AAD CBAを構成します。詳細については、「Azure AD 証明書ベースの認証の概要」を参照してください。VDAはAAD CBAを使用して、ユーザーのFAS証明書でAADにユーザーを認証します。
注：
Microsoftのドキュメントではスマートカード証明書によるサインインについて説明していますが、FASユーザー証明書でサインインする場合にも、その基盤となる技術が適用されます。
ADFSにフェデレーションされているAADドメインの場合、VDAはADFSサーバーのWS-Trust certificatemixed エンドポイントを使用して、ユーザーのFAS証明書でAADにユーザーを認証します。このエンドポイントはデフォルトで有効になっています。
サードパーティのIDプロバイダーにフェデレーションされているAADドメインの場合、同様のソリューションが存在する可能性があります。IDプロバイダーはWS-Trust certificatemixed エンドポイントを実装する必要があります。サポートが必要な場合は、IDプロバイダーに問い合わせてください。