展開アーキテクチャ

最終公開日 : Oct 24, 2026
Related information
ADFSの展開Azure AD の統合

はじめに

Federated Authentication Service (FAS) は、Citrix®コンポーネントであり、Active Directory証明機関と統合され、Citrix環境内でユーザーがシームレスに認証できるようにします。このドキュメントでは、展開に適したさまざまな認証アーキテクチャについて説明します。
有効にすると、FASはユーザー認証の決定を信頼されたStoreFrontサーバーに委任します。StoreFrontには、最新のWebテクノロジーに基づいて構築された包括的な組み込み認証オプションがあり、StoreFront SDKまたはサードパーティのIISプラグインを使用して簡単に拡張できます。基本的な設計目標は、Webサイトにユーザーを認証できるあらゆる認証テクノロジーを、Citrix Virtual AppsまたはCitrix Virtual Desktops™の展開へのログインに使用できるようになったことです。
このドキュメントでは、複雑さが増すにつれて、トップレベルの展開アーキテクチャの例について説明します。
関連するFAS記事へのリンクが提供されています。すべてのアーキテクチャについて、インストールと構成の記事は、FASをセットアップするための主要なリファレンスです。

アーキテクチャの概要

FASは、StoreFrontによって認証されたActive Directoryユーザーに代わって、スマートカードクラスの証明書を自動的に発行することを許可されています。これは、管理者が物理スマートカードをプロビジョニングできるツールと同様のAPIを使用します。ユーザーがCitrix Virtual Apps™またはCitrix Virtual Desktops Virtual Delivery Agent (VDA)に仲介されると、証明書はマシンにアタッチされ、Windowsドメインはログオンを標準のスマートカード認証として認識します。
信頼されたStoreFront™サーバーは、ユーザーがCitrix環境へのアクセスを要求するとFASに接続します。FASは、単一のCitrix Virtual AppsまたはCitrix Virtual Desktopsセッションがそのセッションの証明書で認証できるようにするチケットを付与します。VDAがユーザーを認証する必要がある場合、FASに接続してチケットを引き換えます。FASのみがユーザー証明書の秘密鍵にアクセスできます。VDAは、証明書で実行する必要がある署名および復号化操作をすべてFASに送信する必要があります。
次の図は、FASがMicrosoft証明機関と統合し、StoreFrontおよびCitrix Virtual Apps and Desktops™ Virtual Delivery Agent (VDA)にサポートサービスを提供している様子を示しています。
ローカライズされた画像

内部展開

FASを使用すると、ユーザーはさまざまな認証オプション（Kerberosシングルサインオンを含む）を使用してStoreFrontに安全に認証し、完全に認証されたCitrix HDX™セッションに接続できます。
これにより、ユーザー資格情報やスマートカードPINの入力を求めるプロンプトなしでWindows認証が可能になり、シングルサインオンサービスなどの「保存されたパスワード管理」機能を使用する必要がなくなります。これは、Citrix Virtual Appsの以前のバージョンで利用可能だったKerberos Constrained Delegationログオン機能を置き換えるために使用できます。
すべてのユーザーは、スマートカードを使用してエンドポイントデバイスにログオンしているかどうかにかかわらず、セッション内で公開鍵インフラストラクチャ（PKI）証明書にアクセスできます。これにより、スマートカードリーダーを持たないスマートフォンやタブレットなどのデバイスからでも、二要素認証モデルへのスムーズな移行が可能になります。
この展開では、FASを実行する新しいサーバーが追加され、このサーバーはユーザーに代わってスマートカードクラスの証明書を発行することを承認されています。これらの証明書は、スマートカードログオンが使用されたかのように、Citrix HDX環境のユーザーセッションにログオンするために使用されます。
ローカライズされた画像
Citrix Virtual AppsまたはCitrix Virtual Desktops環境は、スマートカードログオンと同様の方法で構成する必要があります。これはCTX206156に記載されています。
既存の展開では、通常、ドメインに参加しているMicrosoft証明機関が利用可能であり、ドメインコントローラーにドメインコントローラー証明書が割り当てられていることを確認するだけで済みます。（CTX206156の「ドメインコントローラー証明書の発行」セクションを参照してください。）
関連情報：
  • キーは、ハードウェアセキュリティモジュール（HSM）または組み込みのトラステッドプラットフォームモジュール（TPM）に保存できます。詳細については、秘密鍵の保護の記事を参照してください。
  • インストールと構成の記事では、FASのインストールと構成方法について説明しています。

Citrix Gatewayの展開

Citrix Gatewayの展開は内部展開と似ていますが、StoreFrontとペアになったCitrix Gatewayが追加され、認証の主要なポイントがCitrix Gateway自体に移行します。Citrix Gatewayには、企業のWebサイトへのリモートアクセスを保護するために使用できる高度な認証および承認オプションが含まれています。
この展開は、最初にCitrix Gatewayに認証し、次にユーザーセッションにログオンする際に発生する複数のPINプロンプトを回避するために使用できます。また、ADパスワードやスマートカードを別途必要とせずに、高度なCitrix Gateway認証テクノロジーを使用することもできます。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-architectures-netscaler.png)
Citrix Virtual AppsまたはCitrix Virtual Desktops環境は、スマートカードログオンと同様の方法で構成する必要があります。これはCTX206156に記載されています。
既存の展開では、通常、ドメインに参加しているMicrosoft証明機関が利用可能であり、ドメインコントローラーにドメインコントローラー証明書が割り当てられていることを確認するだけです。(CTX206156の「ドメインコントローラー証明書の発行」セクションを参照してください。).
Citrix Gatewayをプライマリ認証システムとして構成する場合、Citrix GatewayとStoreFront間のすべての接続がTLSで保護されていることを確認してください。特に、Callback UrlがCitrix Gatewayサーバーを指すように正しく構成されていることを確認してください。これはこの展開でCitrix Gatewayサーバーを認証するために使用できるためです。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-architectures-netscaler-auth-settings.png)
関連情報:

ADFS SAML展開

主要なCitrix Gateway認証テクノロジーは、SAML IDプロバイダー (IdP) として機能できるMicrosoft ADFSとの統合を可能にします。SAMLアサーションは、信頼されたIdPによって発行され、ユーザーがコンピューターシステムにログオンすることを承認する、暗号署名されたXMLブロックです。これは、FASサーバーがユーザーの認証をMicrosoft ADFSサーバー (またはその他のSAML対応IdP) に委任できることを意味します。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-architectures-adfs-saml.png)
ADFSは、インターネット経由でリモートから企業リソースにユーザーを安全に認証するためによく使用されます。たとえば、Office 365統合によく使用されます。
関連情報:
  • ADFS deploymentの記事に詳細が記載されています。
  • Install and configureの記事は、FASのインストールと構成方法について説明しています。
  • このアーティクルのCitrix Gateway展開セクションには、構成に関する考慮事項が含まれています。

B2Bアカウントマッピング

2つの会社が互いのコンピューターシステムを使用したい場合、一般的な選択肢は、信頼関係を持つActive Directory Federation Service (ADFS) サーバーをセットアップすることです。これにより、一方の会社のユーザーは、もう一方の会社のActive Directory (AD) 環境にシームレスに認証できます。ログオン時、各ユーザーは自身の会社のログオン資格情報を使用し、ADFSはこれをピア会社のAD環境内の「シャドウアカウント」に自動的にマッピングします。
ローカライズされた画像
関連情報:

ウィンドウズ 10 アジュール AD 参加

Windows 10では、「Azure AD Join」という概念が導入されました。これは従来のWindowsドメイン参加と概念的には似ていますが、「インターネット経由」のシナリオを対象としています。これはラップトップやタブレットでうまく機能します。従来のWindowsドメイン参加と同様に、Azure ADには会社のWebサイトやリソースに対するシングルサインオンモデルを可能にする機能があります。これらはすべて「インターネット対応」であるため、オフィスLANだけでなく、インターネットに接続されたあらゆる場所から機能します。
ローカライズされた画像
この展開は、「オフィス内のエンドユーザー」という概念が実質的に存在しない例です。ラップトップは、最新のAzure AD機能を使用して、完全にインターネット経由で登録および認証されます。
この展開のインフラストラクチャは、IPアドレスが利用可能であればどこでも実行できることに注意してください。オンプレミス、ホスト型プロバイダー、Azure、またはその他のクラウドプロバイダーです。Azure AD Connect同期ツールは、Azure ADに自動的に接続します。例のグラフィックでは、簡潔にするためにAzure VMを使用しています。
関連情報: