ADFSの展開
はじめに
このドキュメントでは、Citrix環境をMicrosoft ADFSと統合する方法について説明します。
多くの組織では、シングルポイント認証を必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準のWindowsログオン資格情報で保護する必要があります。
フェデレーション認証サービス (FAS) は、Citrix GatewayおよびCitrix StoreFront™をADFSログオンシステムと統合することも可能にし、従業員の潜在的な混乱を軽減します。
この展開では、Citrix GatewayをMicrosoft ADFSの証明書利用者として統合します。
ローカライズされた画像(/en-us/federated-authentication-service/2411/media/fas-architectures-adfs-saml.png)
注：
バックエンドリソースがWindows VDAまたはLinux VDAのどちらであっても、違いはありません。
SAMLの概要
Security Assertion Markup Language (SAML) は、「ログオンページへのリダイレクト」というシンプルなWebブラウザログオンシステムです。構成には次の項目が含まれます。
リダイレクトURL
Citrix Gatewayがユーザーの認証が必要であることを検出すると、ユーザーのWebブラウザにADFSサーバー上のSAMLログオンWebページへHTTP POSTを実行するよう指示します。これは通常、
https://形式のアドレスです：https://adfs.mycompany.com/adfs/ls。
このWebページPOSTには、ログオンが完了したときにADFSがユーザーを返す「戻りアドレス」を含む、他の情報が含まれています。
識別子
EntityId は、Citrix Gateway が ADFS に送信する POST データに含まれる一意の識別子です。これにより、ユーザーがどのサービスにログオンしようとしているかを ADFS に通知し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML 認証 XML は EntityId で識別されるサービスへのログオンにのみ適しています。
通常、EntityID は Citrix Gateway サーバーのログオンページの URL ですが、Citrix Gateway と ADFS の間で合意されていれば、一般的には何でも構いません。
https://ns.mycompany.com/application/logonpage.
返信アドレス
認証が成功すると、ADFS はユーザーの Web ブラウザに、SAML 認証 XML を EntityId 用に構成されている Reply URL のいずれかに POST するよう指示します。これは通常、元の Citrix Gateway サーバー上の
https:// アドレスで、形式は次のとおりです。https://ns.mycompany.com/cgi/samlauth.
複数の Reply URL アドレスが構成されている場合、Citrix Gateway は ADFS への最初の POST でいずれかを選択できます。
署名証明書
ADFS は、秘密鍵を使用して SAML 認証 XML ブロブに暗号署名します。この署名を検証するには、Citrix Gateway が証明書ファイルに含まれる公開鍵を使用してこれらの署名をチェックするように構成されている必要があります。証明書ファイルは通常、ADFS サーバーから取得したテキストファイルです。
シングルサインアウト URL
ADFS と Citrix Gateway は、「中央ログアウト」システムをサポートしています。これは、Citrix Gateway が時々ポーリングして、SAML 認証 XML ブロブが現在ログオンしているセッションをまだ表しているかどうかを確認するための URL です。
これはオプション機能であり、構成する必要はありません。通常、
https:// アドレスで、形式は https://adfs.mycompany.com/adfs/logout です。(Single Logon URL と同じにすることもできます。)
構成
セクション「Citrix Gateway の展開」(/ja-jp/federated-authentication-service/2411/deployment-architectures.html#citrix-gateway-deployment) では、標準の LDAP 認証オプションを処理するように Citrix Gateway を設定する方法について説明しています。これが正常に完了した後、SAML 認証を許可する新しい認証ポリシーを Citrix Gateway 上で作成できます。これにより、Citrix Gateway ウィザードで使用されるデフォルトの LDAP ポリシーを置き換えることができます。
SAML ポリシーの入力
ADFS 管理コンソールから以前に取得した情報を使用して、新しい SAML IdP サーバーを構成します。このポリシーが適用されると、Citrix Gateway はログオンのためにユーザーを ADFS にリダイレクトし、ADFS 署名付き SAML 認証トークンを受け取ります。
ローカライズされた画像(/en-us/federated-authentication-service/2411/media/fas-adfs-create-auth-saml-server.png)