Azure Active Directory シングルサインオン
Citrix Federated Authentication Service (FAS) は、ドメイン参加済み Virtual Delivery Agent (VDA) へのシングルサインオン (SSO) を提供します。FAS は、VDA にユーザー証明書を提供することで SSO を実現します。VDA はこの証明書を使用して、ユーザーを Active Directory (AD) に対して認証します。VDA セッションにサインオンすると、再認証なしで AD リソースにアクセスできます。
AD と AAD 間で同期を行い、ユーザーとコンピューターの両方にハイブリッド ID を作成する Azure Active Directory (AAD) の実装は一般的です。この記事では、FAS を使用している場合に VDA セッション内から AAD への SSO を実現するために必要な追加構成について説明します。これにより、ユーザーは再認証なしで AAD で保護されたアプリケーションにアクセスできるようになります。
注:
-
FAS が AAD の SSO を使用するために特別な構成は必要ありません。
-
FAS のセッション内証明書は必要ありません。
-
FAS のどのバージョンでも使用できます。
-
FAS をサポートする VDA のどのバージョンでも使用できます。
AAD SSO の手法を次の表にまとめます。
| AAD 認証タイプ | VDA はドメイン参加済み | VDA はハイブリッド参加済み |
|---|---|---|
| マネージド | AAD シームレス SSO を使用 | AAD 証明書ベース認証を使用 |
| Active Directory Federation Services (ADFS) にフェデレーション済み | ADFS で Windows 認証を有効にする | WS-Trust certificatemixed エンドポイントが有効になっていることを確認する |
| サードパーティのIDプロバイダーにフェデレーション済み | サードパーティのソリューションを使用する | サードパーティのソリューションを使用する |
-
マネージド AAD ドメインとは、ユーザー認証が AAD で行われるドメインであり、ネイティブ AAD 認証と呼ばれることもあります。
-
フェデレーション AAD ドメインとは、AAD が認証を他の場所にリダイレクトするように構成されているドメインです。たとえば、ADFS やサードパーティのIDプロバイダーなどです。
-
ハイブリッド参加 VDA は、AD 参加済みであり、AAD 参加済みです。
ドメイン参加済み VDA
ドメイン参加済み VDA の場合、Windows 認証（従来は統合 Windows 認証、または Kerberos と呼ばれる）を使用して AAD への SSO を実現します。AAD への認証は、ユーザーが VDA セッション内から AAD で保護されたアプリケーションにアクセスしたときに発生します。次の図は、認証プロセスを大まかに示しています。
正確な詳細は、AAD ドメインがマネージドであるかフェデレーションされているかによって異なります。
マネージド AAD ドメインの設定については、シームレスシングルサインオン を参照してください。
ADFS にフェデレーションされている AAD ドメインの場合、ADFS サーバーで Windows 認証を有効にします。
AADドメインがサードパーティのIDプロバイダーにフェデレーションされている場合、同様のソリューションが存在します。詳細については、IDプロバイダーにお問い合わせください。
注：
ドメイン参加済みVDAに記載されているソリューションをハイブリッド参加済みVDAにも使用できます。ただし、FASを使用している場合、AADプライマリ更新トークン（PRT）は生成されません。
ハイブリッド参加済みVDA
ハイブリッド参加済みVDAは、ADとAADに同時に参加しています。ユーザーがVDAにサインインすると、次のアーティファクトが作成されます。
-
ADリソースへの認証のためのKerberosチケット保証チケット（TGT）
-
AADリソースへの認証のためのプライマリ更新トークン（PRT）
PRTには、ユーザーとコンピューターの両方に関する情報が含まれています。この情報は、必要に応じてAAD条件付きアクセス ポリシーで使用されます。
FASはVDAに証明書を提供することでユーザーを認証するため、PRTはAADの証明書ベースの認証が実装されている場合にのみ作成できます。次の図は、認証プロセスを大まかに示しています。
詳細な内容は、AADドメインが管理されているかフェデレーションされているかによって異なります。
管理されたAADドメインの場合、AAD CBAを構成します。詳細については、「Azure AD証明書ベース認証の概要」を参照してください。VDAはAAD CBAを使用して、ユーザーのFAS証明書でユーザーをAADに認証します。
注：
Microsoftのドキュメントではスマートカード証明書によるサインインについて説明していますが、FASユーザー証明書でサインインする場合にもその基盤となる技術が適用されます。
ADFSにフェデレーションされたAADドメインの場合、VDAはADFSサーバーのWS-Trust certificatemixedエンドポイントを使用して、ユーザーのFAS証明書でユーザーをAADに認証します。このエンドポイントはデフォルトで有効になっています。
サードパーティのIDプロバイダーにフェデレーションされているAADドメインの場合、同様のソリューションが存在する可能性があります。IDプロバイダーは、WS-Trustのcertificatemixedエンドポイントを実装する必要があります。サポートについては、IDプロバイダーにお問い合わせください。