Azure AD の統合

最終公開日 : Oct 24, 2026
Related information
展開アーキテクチャ

はじめに

このドキュメントでは、Citrix 環境を Windows 10 の Azure AD 機能と統合する方法について説明します。Windows 10 で導入された Azure AD は、管理とシングルサインオンを目的として、ローミング中のラップトップをインターネット経由で企業ドメインに参加させることができる新しいドメイン参加モデルです。
このドキュメントの展開例では、IT 部門が新規ユーザーに企業メールアドレスと登録コードを個人の Windows 10 ラップトップに提供するシステムについて説明します。ユーザーは、設定パネルのシステム > バージョン情報 > Azure AD に参加オプションからこのコードにアクセスします。
ローカライズされた画像
ラップトップが登録されると、Microsoft Edge Web ブラウザは、Azure SaaS アプリケーションの Web ページを介して、会社の Web サイトや Citrix 公開アプリケーションに自動的にサインオンします。これには、Office 365 などの他の Azure アプリケーションも含まれます。
ローカライズされた画像

アーキテクチャ

このアーキテクチャは、従来の企業ネットワークを Azure 内で完全に複製し、Azure AD や Office 365 などの最新のクラウドテクノロジーと統合します。エンドユーザーはすべてリモートワーカーと見なされ、オフィスイントラネットの概念はありません。
Azure AD Connect 同期はインターネット経由で Azure にブリッジできるため、このモデルは既存のオンプレミスシステムを持つ企業にも適用できます。
ローカライズされた画像
従来、ファイアウォールで保護された LAN と Kerberos/NTLM 認証であったセキュアな接続とシングルサインオンは、このアーキテクチャでは Azure への TLS 接続と SAML に置き換えられます。新しいサービスは Azure AD に参加する Azure アプリケーションとして構築されます。Active Directory を必要とする既存のアプリケーション（SQL Server データベースなど）は、Azure Cloud Service の IAAS 部分で標準の Active Directory Server VM を使用して実行できます。
ユーザーが従来のアプリケーションを起動すると、Citrix Virtual Apps and Desktops™ の公開アプリケーションを使用してアクセスされます。さまざまな種類のアプリケーションは、Microsoft Edge のシングルサインオン機能を使用して、ユーザーのAzure アプリケーションページを通じて照合されます。Microsoft は、Azure アプリケーションを列挙して起動できる Android および iOS アプリも提供しています。

DNS ゾーンを作成する

Azure AD では、管理者がパブリック DNS アドレスを登録し、ドメイン名サフィックスの委任ゾーンを制御する必要があります。これを行うには、管理者は Azure DNS ゾーン機能を使用できます。
この例では、DNSゾーン名 citrixsamldemo.net を使用します。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-azure-create-dns-zone.png)
コンソールにはAzure DNSネームサーバーの名前が表示されます。これらは、ゾーンのDNSレジストラのNSエントリで参照される必要があります（例：citrixsamldemo.net. NS n1-01.azure-dns.com）。
Azureで実行されているVMへの参照を追加する場合、VMのAzure管理DNSレコードへのCNAMEポインターを使用するのが最も簡単です。VMのIPアドレスが変更されても、DNSゾーンファイルを手動で更新する必要はありません。
この展開では、内部および外部のDNSアドレスサフィックスが一致します。ドメインはcitrixsamldemo.netで、スプリットDNS（内部では10.0.0.*）を使用します。
Web Application Proxyサーバーを参照する「fs.citrixsamldemo.net」エントリを追加します。これは、このゾーンのフェデレーションサービスです。

クラウドサービスを作成する

この例では、Azureで実行されているADFSサーバーを含むAD環境を含むCitrix環境を構成します。「citrixsamldemo」という名前のクラウドサービスが作成されます。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-azure-create-cloud-svc.png)

Windows仮想マシンを作成する

クラウドサービスで実行されている5つのWindows VMを作成します。
  • ドメインコントローラー (domaincontrol)
  • アジュール コネクト ADFSサーバー (adfs)
  • ADFS Webアクセスプロキシ (Web Application Proxy、ドメイン参加なし)
  • Citrix Virtual Apps and Desktops デリバリーコントローラー
  • Citrix Virtual Apps and Desktops バーチャル デリバリー エージェント (VDA)
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-azure-create-windows-vms.png)

ドメインコントローラー

  • DNSサーバーとActive Directory Domain Servicesの役割を追加して、標準のActive Directory展開を作成します（この例ではcitrixsamldemo.net）。ドメイン昇格が完了したら、Active Directory Certification Servicesの役割を追加します。
  • テスト用の通常のユーザーアカウントを作成します（例: George@citrixsamldemo.net）。
  • このサーバーは内部DNSを実行するため、すべてのサーバーはDNS解決のためにこのサーバーを参照する必要があります。これは、Azure DNS設定ページから実行できます。（詳細については、このドキュメントの付録を参照してください。）

ADFSコントローラーとWebアプリケーションプロキシサーバー

  • ADFSサーバーをcitrixsamldemoドメインに参加させます。Webアプリケーションプロキシサーバーは分離されたワークグループに残しておく必要があるため、AD DNSにDNSアドレスを手動で登録します。
  • これらのサーバーでEnable-PSRemoting –Forceコマンドレットを実行して、AzureAD Connectツールからのファイアウォール経由のPSリモート処理を許可します。

Citrix Virtual Desktops™ デリバリーコントローラーおよびVDA

  • 残りの2つのcitrixsamldemoに参加しているWindowsサーバーに、Citrix Virtual AppsまたはCitrix Virtual Desktops Delivery Controller™とVDAをインストールします。

内部DNSの構成

ドメインコントローラーのインストール後、DNSサーバーを構成してcitrixsamldemo.netの内部ビューを処理し、外部DNSサーバー（例: 8.8.8.8）へのフォワーダーとして機能させます。
ローカライズされた画像(/en-us/federated-authentication-service/2402-ltsr/media/fas-azure-config-internal-dns-dnsmanager.png)
静的レコードを追加します。
  • wap.citrixsamldemo.net
  • fs.citrixsamldemo.net
  • enterpriseregistration.citrixsaml.net
Azureで実行されているすべてのVMは、このDNSサーバーのみを使用するように構成する必要があります。これは、ネットワークインターフェースGUIから実行できます。
ローカライズされた画像
デフォルトでは、内部IPアドレス (10.0.0.9) は動的に割り当てられます。IPアドレス設定を使用して、IPアドレスを永続的に割り当てることができます。これは、Webアプリケーションプロキシサーバーとドメインコントローラーに対して行う必要があります。

外部DNSアドレスを構成する

VMが実行されている場合、AzureはVMに割り当てられている現在のパブリックIPアドレスを指す独自のDNSゾーンサーバーを維持します。これは、Azureがデフォルトで各VMの起動時にIPアドレスを割り当てるため、有効にすると便利な機能です。
ローカライズされた画像
この例では、DNSアドレス domaincontrol-citrixsamldemo.westeurope.cloudapp.azure.com をドメインコントローラーに割り当てます。
リモート構成が完了すると、WebアプリケーションプロキシとCitrix Gateway VMのみがパブリックIPアドレスを有効にする必要があることに注意してください。(構成中は、パブリックIPアドレスが環境へのRDPアクセスに使用されます)。

セキュリティグループを構成する

Azureクラウドは、セキュリティグループを使用して、インターネットからVMへのTCP/UDPアクセス用のファイアウォールルールを管理します。デフォルトでは、すべてのVMがRDPアクセスを許可します。Citrix GatewayおよびWebアプリケーションプロキシサーバーも、ポート443でTLSを許可する必要があります。
ローカライズされた画像

ADFS証明書を作成する

Microsoft証明機関でWebサーバー証明書テンプレートを有効にします。これにより、カスタムDNSアドレスを持つ証明書を作成し、pfxファイルにエクスポート（秘密鍵を含む）できるようになります。この証明書はADFSサーバーとWebアプリケーションプロキシサーバーの両方にインストールする必要があるため、PFXファイルが推奨されるオプションです。
以下のサブジェクト名でWebサーバー証明書を発行します。
  • コモンネーム:
    • adfs.citrixsamldemo.net
  • サブジェクト代替名:
    • *.citrixsamldemo.net
    • fs.citrixsamldemo. ネットワーク
    • enterpriseregistration.citrixsamldemo.net
ローカライズされた画像
証明書を、パスワードで保護された秘密鍵を含めてpfxファイルにエクスポートします。

Azure ADをセットアップする

このセクションでは、新しいAzure ADインスタンスをセットアップし、Windows 10をAzure ADに参加させるために使用できるユーザーIDを作成するプロセスについて詳しく説明します。

新しいディレクトリを作成する

クラシックAzureポータルにログオンし、新しいディレクトリを作成します。
ローカライズされた画像
完了すると、概要ページが表示されます。
ローカライズされた画像

グローバル管理者ユーザー (AzureAdmin) を作成する

Azure でグローバル管理者を作成し（この例では AzureAdmin@citrixsamldemo.onmicrosoft.com）、新しいアカウントでログオンしてパスワードを設定します。
ローカライズされた画像

Azure AD にドメインを登録する

既定では、ユーザーは <user.name>@<company>.onmicrosoft.com の形式のメールアドレスで識別されます。
これでも追加設定なしで動作しますが、標準形式のメールアドレス、できればエンドユーザーのメールアカウントと一致するものがより適切です: <user.name>@<company>.com。
ドメインの追加アクションは、実際の会社のドメインからのリダイレクトを設定します。この例では citrixsamldemo.net を使用します。
シングルサインオンのためにADFSを設定する場合は、チェックボックスを有効にします。
ローカライズされた画像

Azure AD Connect をインストールする

Azure AD 構成GUIのステップ2は、Azure AD Connect の Microsoft ダウンロードページにリダイレクトされます。これをADFS VMにインストールします。ADFSオプションを利用できるように、Express SettingsではなくCustom installを使用してください。
ローカライズされた画像
AD FS とのフェデレーションシングルサインオンオプションを選択します。
ローカライズされた画像
以前に作成した管理者アカウントでAzureに接続します。
ローカライズされた画像
内部ADフォレストを選択します。
ローカライズされた画像
すべての従来のActive DirectoryオブジェクトをAzure ADと同期します。
ローカライズされた画像
ディレクトリ構造が単純な場合は、ユーザー名が十分に一意であるため、ログオンするユーザーを識別できます。
ローカライズされた画像
デフォルトのフィルタリングオプションを受け入れるか、ユーザーとデバイスを特定のグループセットに制限します。
ローカライズされた画像
必要に応じて、Azure ADパスワードをActive Directoryと同期できます。これは通常、ADFSベースの認証には必要ありません。
ローカライズされた画像
AD FSで使用する証明書PFXファイルを選択し、fs.citrixsamldemo.netをDNS名として指定します。
ローカライズされた画像
プロキシサーバーの選択を求められたら、wap.citrixsamldemo.net サーバーのアドレスを入力します。Azure AD Connect が構成できるように、Web アプリケーションプロキシサーバーで管理者として Enable-PSRemoting –Force コマンドレットを実行する必要がある場合があります。
ローカライズされた画像
注:
リモート PowerShell の信頼性の問題によりこの手順が失敗した場合は、Web アプリケーションプロキシサーバーをドメインに参加させてみてください。
ウィザードの残りの手順では、標準の管理者パスワードを使用し、ADFS のサービスアカウントを作成します。その後、Azure AD Connect は DNS ゾーンの所有権を検証するよう求めます。
ローカライズされた画像
Azure の DNS アドレスレコードに TXT および MX レコードを追加します。
ローカライズされた画像
Azure 管理コンソールで 検証 をクリックします。
ローカライズされた画像
注:
この手順が失敗した場合は、Azure AD Connect を実行する前にドメインを検証できます。
完了すると、外部アドレス fs.citrixsamldemo.net がポート 443 経由で接続されます。
ローカライズされた画像

Azure AD Join を有効にする

ユーザーがメールアドレスを入力して Windows 10 が Azure AD 参加を実行できるようにすると、DNS サフィックスを使用して ADFS を指す CNAME DNS レコードが構築されます: enterpriseregistration.\<upnsuffix>。
この例では、これは fs.citrixsamldemo.net です。
ローカライズされた画像
公開証明機関を使用していない場合は、Windows が ADFS サーバーを信頼するように、ADFS ルート証明書が Windows 10 コンピューターにインストールされていることを確認してください。以前に生成された標準ユーザーアカウントを使用して、Azure AD ドメイン参加を実行します。
ローカライズされた画像
UPN は、ADFS ドメインコントローラーによって認識される UPN と一致する必要があることに注意してください。
ローカライズされた画像
ローカライズされた画像
ローカライズされた画像
マシンを再起動し、ユーザーのメールアドレスを使用してログオンすることで、Azure AD 参加が成功したことを確認します。ログオンしたら、Microsoft Edge を起動して <http://myapps.microsoft.com> に接続します。ウェブサイトは自動的にシングルサインオンを使用するはずです。

Citrix Virtual Apps または Citrix Virtual Desktops をインストールする

通常の方法で、Citrix Virtual Apps または Citrix Virtual Desktops の ISO から、Azure に Delivery Controller および VDA 仮想マシンを直接インストールできます。
この例では、StoreFront は Delivery Controller と同じサーバーにインストールされています。VDA は、Machine Creation Services と統合せずに (オプションで構成可能ですが)、スタンドアロンの Windows 2012 R2 RDS ワーカーとしてインストールされています。続行する前に、ユーザー George@citrixsamldemo.net がパスワードで認証できることを確認してください。
ローカライズされた画像
Controller で Set-BrokerSite –TrustRequestsSentToTheXmlServicePort $true PowerShell コマンドレットを実行して、StoreFront™ がユーザーの資格情報なしで認証できるようにします。

Federated Authentication Serviceをインストールする

ADFSサーバーにFASをインストールし、Delivery Controllerが信頼されたStoreFrontとして機能するようにルールを構成します（この例では、StoreFrontはDelivery Controllerと同じVMにインストールされているため）。インストールと構成を参照してください。

StoreFrontを構成する

Delivery Controllerのコンピューター証明書を要求し、ポート443のIISバインディングを設定し、StoreFrontのベースアドレスをhttps:に変更して、IISとStoreFrontがHTTPSを使用するように構成します。
ローカライズされた画像
StoreFrontがFASサーバーを使用するように構成し（インストールと構成のPowerShellスクリプトを使用します）、Azure内で内部的にテストし、FASサーバーのイベントビューアーを確認して、ログオンがFASを使用していることを確認します。
ローカライズされた画像

StoreFrontがCitrix Gatewayを使用するように構成する

StoreFront管理コンソールで認証方法の管理GUIを使用して、StoreFrontがCitrix Gatewayを使用して認証を実行するように構成します。
ローカライズされた画像
Citrix Gateway認証オプションを統合するには、Secure Ticket Authority (STA) を構成し、Citrix Gatewayアドレスを構成します。
ローカライズされた画像

StoreFrontへのシングルサインオン用に新しいAzure ADアプリケーションを構成する

このセクションでは、Azure Active Directory Premiumサブスクリプションを現在必要とするAzure AD SAML 2.0シングルサインオン機能を使用します。Azure AD管理ツールで、新しいアプリケーションを選択し、ギャラリーからアプリケーションを追加を選択します。
ローカライズされた画像
「カスタム > 組織が使用している一覧にないアプリケーションを追加」を選択して、ユーザー用の新しいカスタムアプリケーションを作成します。

アイコンの構成

215 x 215ピクセルの画像を作成し、CONFIGUREページにアップロードして、アプリケーションのアイコンとして使用します。
ローカライズされた画像

SAML認証の構成

アプリケーションダッシュボードの概要ページに戻り、「シングルサインオンの構成」を選択します。
ローカライズされた画像
この展開では、Microsoft Azure AD シングルサインオンに対応するSAML 2.0認証を使用します。
ローカライズされた画像
識別子は任意の文字列にできます（Citrix Gatewayに提供される構成と一致する必要があります）。この例では、応答URLはCitrix Gatewayサーバー上の /cgi/samlauth です。
ローカライズされた画像
次のページには、Citrix GatewayをAzure ADへの証明書利用者として構成するために使用される情報が含まれています。
ローカライズされた画像
base 64の信頼された署名証明書をダウンロードし、サインオンURLとサインアウトURLをコピーします。これらは後でCitrix Gatewayの構成画面に貼り付けます。

アプリケーションをユーザーに割り当てる

最後のステップは、アプリケーションを有効にして、ユーザーの「myapps.microsoft.com」コントロールページに表示されるようにすることです。これは「USERS AND GROUPS」ページで行います。Azure AD Connectによって同期されたドメインユーザーアカウントにアクセスを割り当てます。他のアカウントも使用できますが、それらは\&lt;user>@\&lt;domain>パターンに準拠していないため、明示的にマッピングする必要があります。
ローカライズされた画像

MyAppsページ

アプリケーションが構成されると、ユーザーが<https://myapps.microsoft.com>にアクセスしたときに、Azureアプリケーションのリストに表示されます。
ローカライズされた画像
Azure ADに参加している場合、Windows 10はログオンするユーザーに対してAzureアプリケーションへのシングルサインオンをサポートします。アイコンをクリックすると、ブラウザは以前に構成されたSAML cgi/samlauth Webページに移動します。

シングルサインオンURL

Azure ADダッシュボードのアプリケーションに戻ります。アプリケーションで利用可能なシングルサインオンURLが作成されました。このURLは、Webブラウザリンクを提供したり、ユーザーを直接StoreFrontに誘導するスタートメニューショートカットを作成したりするために使用されます。
ローカライズされた画像
このURLをWebブラウザに貼り付けて、Azure ADによって以前に構成されたCitrix Gateway cgi/samlauth Webページにリダイレクトされることを確認します。これは、割り当てられたユーザーに対してのみ機能し、Windows 10のAzure AD参加ログオンセッションに対してのみシングルサインオンを提供します。（他のユーザーはAzure ADの資格情報を求められます。）

Citrix Gatewayのインストールと構成

展開にリモートアクセスするために、この例ではNetScaler（現在のCitrix Gateway）を実行する別のVMを使用します。これはAzureストアから購入できます。この例では、NetScaler 11.0の「Bring your own License」バージョンを使用します。
NetScaler® VMにログオンし、ユーザーが認証したときに指定された資格情報を使用して、Webブラウザを内部IPアドレスに向けます。Azure AD VMでは、nsrootユーザーのパスワードを変更する必要があることに注意してください。
ライセンスを追加し、各ライセンスファイルを追加した後に再起動を選択し、DNSリゾルバーをMicrosoftドメインコントローラーに向けます。

Citrix Virtual Apps and Desktopsセットアップウィザードを実行する

この例では、SAMLなしでシンプルなStoreFront統合を構成することから始めます。その展開が機能した後、SAMLログオンポリシーを追加します。
ローカライズされた画像
標準のCitrix Gateway StoreFront設定を選択します。Microsoft Azureで使用する場合、この例ではポート443ではなくポート4433を構成します。または、Citrix Gateway管理Webサイトをポート転送または再マッピングすることもできます。
ローカライズされた画像
簡素化のため、この例ではファイルに保存されている既存のサーバー証明書と秘密鍵をアップロードします。
ローカライズされた画像

ADアカウント管理のためにドメインコントローラーを構成する

ドメインコントローラーはアカウント解決に使用されるため、そのIPアドレスをプライマリ認証方法に追加します。ダイアログボックスの各フィールドで期待される形式に注意してください。
ローカライズされた画像

StoreFrontアドレスを構成する

この例では、StoreFrontはHTTPSを使用して構成されているため、SSLプロトコルオプションを選択します。
ローカライズされた画像

Citrix Gatewayの展開を確認する

Citrix Gatewayに接続し、ユーザー名とパスワードで認証と起動が成功することを確認します。
ローカライズされた画像

Citrix Gateway SAML認証サポートを有効にする

StoreFrontでSAMLを使用することは、他のWebサイトでSAMLを使用することと似ています。新しいSAMLポリシーを、NS_TRUEの式で追加します。
ローカライズされた画像
以前にAzure ADから取得した情報を使用して、新しいSAML IdPサーバーを構成します。
ローカライズされた画像

エンドツーエンドシステムを確認する

Azure ADに登録されているアカウントを使用して、Azure ADに参加しているWindows 10デスクトップにログオンします。Microsoft Edgeを起動し、<https://myapps.microsoft.com>に接続します。
Webブラウザには、ユーザーのAzure ADアプリケーションが表示されるはずです。
ローカライズされた画像
アイコンをクリックすると、認証されたStoreFrontサーバーにリダイレクトされることを確認します。
同様に、シングルサインオンURLを使用した直接接続と、Citrix Gatewayサイトへの直接接続が、Microsoft Azureにリダイレクトされ、そして戻ってくることを確認します。
最後に、Azure ADに参加していないマシンも同じURLで機能することを確認します（ただし、最初の接続ではAzure ADへの明示的なシングルサインオンが必要になります）。

付録

AzureでVMをセットアップする際には、以下の標準オプションを構成する必要があります。

パブリックIPアドレスとDNSアドレスを提供する

Azureは、すべてのVMに内部サブネット（この例では10.*.*.*）上のIPアドレスを付与します。デフォルトでは、パブリックIPアドレスも提供され、動的に更新されるDNSラベルによって参照できます。
ローカライズされた画像
パブリックIPアドレス/DNS名ラベルの構成を選択します。VMのパブリックDNSアドレスを選択します。これは、他のDNSゾーンファイルでCNAME参照として使用でき、IPアドレスが再割り当てされた場合でも、すべてのDNSレコードがVMを正しく指し続けることを保証します。
ローカライズされた画像

ファイアウォールルール（セキュリティグループ）を設定する

クラウド内の各VMには、セキュリティグループとして知られる一連のファイアウォールルールが自動的に適用されます。セキュリティグループは、パブリックIPアドレスからプライベートIPアドレスに転送されるトラフィックを制御します。デフォルトでは、AzureはRDPをすべてのVMに転送することを許可しています。Citrix GatewayおよびADFSサーバーもTLSトラフィック（443）を転送する必要があります。
VMのネットワークインターフェースを開き、ネットワークセキュリティグループラベルをクリックします。適切なネットワークトラフィックを許可するように受信セキュリティルールを構成します。
ローカライズされた画像

関連情報