ADFS 展開
はじめに
このドキュメントでは、Citrix 環境を Microsoft ADFS と統合する方法について説明します。
多くの組織では、単一の認証ポイントを必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準のWindowsログオン資格情報で保護する必要があります。
Federated Authentication Service (FAS) は、Citrix Gateway と Citrix StoreFront™ を ADFS ログオンシステムと統合することも可能にし、従業員の混乱を軽減します。
この展開では、Citrix Gateway を Microsoft ADFS の証明書利用者として統合します。
注：
バックエンドリソースがWindows VDAまたはLinux VDAのいずれであっても、違いはありません。
SAML の概要
Security Assertion Markup Language (SAML) は、シンプルな「ログオンページへのリダイレクト」Webブラウザログオンシステムです。構成には、次の項目が含まれます。
リダイレクトURL
Citrix Gateway がユーザーの認証が必要であることを検出すると、ユーザーのWebブラウザに、ADFSサーバー上のSAMLログオンWebページにHTTP POSTを実行するよう指示します。これは通常、
https://adfs.mycompany.com/adfs/ls の形式の https:// アドレスです。
このWebページPOSTには、ログオンが完了したときにADFSがユーザーを返す「戻りアドレス」を含む、その他の情報が含まれています。
識別子
EntityId は、Citrix Gateway が ADFS への POST データに含める一意の識別子です。これにより、ユーザーがログオンしようとしているサービスを ADFS に通知し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML 認証 XML は EntityId によって識別されるサービスへのログオンにのみ適しています。
通常、EntityID は Citrix Gateway サーバーのログオンページの URL ですが、Citrix Gateway と ADFS が合意していれば、一般的には何でも構いません。
https://ns.mycompany.com/application/logonpage。
戻りアドレス
認証が成功すると、ADFS はユーザーの Web ブラウザーに、EntityId 用に構成されている応答 URL のいずれかに SAML 認証 XML を POST するよう指示します。これは通常、元の Citrix Gateway サーバー上の
https:// アドレスで、形式は次のとおりです。https://ns.mycompany.com/cgi/samlauth。
複数の応答 URL アドレスが構成されている場合、Citrix Gateway は ADFS への最初の POST でいずれかを選択できます。
署名証明書
ADFS は、秘密キーを使用して SAML 認証 XML BLOB に暗号署名します。この署名を検証するには、Citrix Gateway が証明書ファイルに含まれる公開キーを使用してこれらの署名をチェックするように構成されている必要があります。証明書ファイルは通常、ADFS サーバーから取得したテキストファイルです。
シングルサインアウト URL
ADFS と Citrix Gateway は「中央ログアウト」システムをサポートしています。これは、Citrix Gateway が時々ポーリングして、SAML 認証 XML BLOB が現在ログオンしているセッションをまだ表しているかどうかを確認するための URL です。
これは、構成する必要のないオプション機能です。通常、
https:// アドレスで、形式は https://adfs.mycompany.com/adfs/logout です。(シングルログオン URL と同じにすることもできます)。
構成
セクション Citrix Gateway の展開 では、標準の LDAP 認証オプションを処理するように Citrix Gateway を設定する方法について説明します。これが正常に完了したら、SAML 認証を許可する新しい認証ポリシーを Citrix Gateway 上に作成できます。これにより、Citrix Gateway ウィザードで使用されるデフォルトの LDAP ポリシーを置き換えることができます。
SAML ポリシーの入力
以前に ADFS 管理コンソールから取得した情報を使用して、新しい SAML IdP サーバーを構成します。このポリシーが適用されると、Citrix Gateway はユーザーを ADFS にリダイレクトしてログオンさせ、その代わりに ADFS 署名付き SAML 認証トークンを受け入れます。
ローカライズされた画像(/en-us/federated-authentication-service/2407/media/fas-adfs-create-auth-saml-server.png)