ADFS展開
はじめに
このドキュメントでは、Citrix環境をMicrosoft ADFSと統合する方法について説明します。
多くの組織は、シングルサインオンを必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準のWindowsログオン資格情報で保護する必要があります。
フェデレーション認証サービス (FAS) は、Citrix GatewayとCitrix StoreFront™をADFSログオンシステムと統合することも可能にし、従業員の潜在的な混乱を軽減します。
この展開では、Citrix GatewayをMicrosoft ADFSに対する証明書利用者として統合します。
注：
バックエンドリソースがWindows VDAでもLinux VDAでも違いはありません。
SAMLの概要
Security Assertion Markup Language (SAML) は、シンプルな「ログオンページへのリダイレクト」Webブラウザログオンシステムです。構成には、次の項目が含まれます。
リダイレクトURL
Citrix Gatewayがユーザーの認証が必要であることを検出すると、ユーザーのWebブラウザに、ADFSサーバー上のSAMLログオンWebページにHTTP POSTを実行するよう指示します。これは通常、
https://adfs.mycompany.com/adfs/lsのような形式のhttps://アドレスです。
このWebページPOSTには、ログオンが完了したときにADFSがユーザーを返す「戻りアドレス」を含む、他の情報が含まれます。
識別子
EntityId は、Citrix Gateway が ADFS への POST データに含める一意の識別子です。これにより、ADFS はユーザーがどのサービスにログオンしようとしているかを認識し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML 認証 XML は EntityId によって識別されるサービスへのログオンにのみ適しています。
通常、EntityID は Citrix Gateway サーバーのログオンページの URL ですが、Citrix Gateway と ADFS が合意していれば、一般的には何でも構いません。
https://ns.mycompany.com/application/logonpage.
返信アドレス
認証が成功すると、ADFS はユーザーの Web ブラウザに対し、SAML 認証 XML を EntityId 用に構成された応答 URL のいずれかに POST するよう指示します。これは通常、元の Citrix Gateway サーバー上の
https:// アドレスで、形式は https://ns.mycompany.com/cgi/samlauth です。
複数の応答 URL アドレスが構成されている場合、Citrix Gateway は ADFS への最初の POST でいずれかを選択できます。
署名証明書
ADFS は、その秘密鍵を使用して SAML 認証 XML ブロブに暗号署名します。この署名を検証するには、Citrix Gateway が証明書ファイルに含まれる公開鍵を使用してこれらの署名をチェックするように構成されている必要があります。証明書ファイルは通常、ADFS サーバーから取得したテキストファイルです。
シングルサインアウト URL
ADFS と Citrix Gateway は、「中央ログアウト」システムをサポートしています。これは、Citrix Gateway が SAML 認証 XML ブロブが現在ログオン中のセッションを表しているかどうかを確認するために時々ポーリングする URL です。
これはオプション機能であり、構成する必要はありません。通常、
https:// アドレスで、形式は https://adfs.mycompany.com/adfs/logout です。(シングルログオン URL と同じでも構いません。)
構成
「Citrix Gateway の展開」(/ja-jp/federated-authentication-service/2311/deployment-architectures.html#citrix-gateway-deployment) のセクションでは、標準の LDAP 認証オプションを処理するように Citrix Gateway を設定する方法について説明しています。それが正常に完了した後、SAML 認証を許可する新しい認証ポリシーを Citrix Gateway 上に作成できます。これにより、Citrix Gateway ウィザードで使用されるデフォルトの LDAP ポリシーを置き換えることができます。
SAML ポリシーの入力
以前に ADFS 管理コンソールから取得した情報を使用して、新しい SAML IdP サーバーを構成します。このポリシーが適用されると、Citrix Gateway はユーザーを ADFS にリダイレクトしてログオンさせ、ADFS 署名付き SAML 認証トークンを受け取ります。
関連情報
-
「インストールと構成」(/ja-jp/federated-authentication-service/2311/install-configure.html) は、FASのインストールと構成に関する主要なリファレンスです。
-
一般的なFASの展開は、「展開アーキテクチャ」(/ja-jp/federated-authentication-service/2311/deployment-architectures.html) 記事で要約されています。
-
「ハウツー」記事は、「高度な構成」(/ja-jp/federated-authentication-service/2311/config-manage.html) 記事で紹介されています。