Azure Active Directory シングルサインオン
注:
2023年7月以降、Microsoft は Azure Active Directory (Azure AD) を Microsoft Entra ID に名称変更しました。このドキュメントでは、Azure Active Directory、Azure AD、または AAD への言及はすべて Microsoft Entra ID を指します。
Citrix Federated Authentication Service (FAS) は、ドメイン参加済み Virtual Delivery Agent (VDA) へのシングルサインオン (SSO) を提供します。FAS は、VDA にユーザー証明書を提供することで SSO を実現します。VDA はこの証明書を使用して、ユーザーを Active Directory (AD) に対して認証します。VDA セッションにサインオンすると、再認証なしで AD リソースにアクセスできます。
AD と Microsoft Entra ID 間で同期を行い、ユーザーとコンピューターの両方にハイブリッド ID を作成して Microsoft Entra ID (ME-ID) を実装するのが一般的です。この記事では、FAS を使用している場合に VDA セッション内から Microsoft Entra ID への SSO を実現するために必要な追加構成について説明します。これにより、ユーザーは再認証なしで Microsoft Entra ID で保護されたアプリケーションにアクセスできるようになります。
注:
-
FAS が Microsoft Entra ID の SSO を使用するために特別な構成は必要ありません。
-
FAS のセッション内証明書は必要ありません。
-
FAS のどのバージョンでも使用できます。
-
FAS をサポートする VDA のどのバージョンでも使用できます。
Microsoft Entra ID SSO の手法を次の表にまとめます。
| ME-ID 認証タイプ | VDA はドメイン参加済み | VDA はハイブリッド参加済み |
|---|---|---|
| マネージド | ME-ID シームレスSSOを使用する | ME-ID 証明書ベースの認証を使用する |
| Active Directory Federation Services (ADFS) にフェデレーション済み | ADFSでWindows認証を有効にする | WS-Trust certificatemixed エンドポイントが有効になっていることを確認する |
| サードパーティのIDプロバイダーにフェデレーション済み | サードパーティのソリューションを使用する | サードパーティのソリューションを使用する |
-
マネージド Microsoft Entra ID ドメインとは、ユーザー認証が Microsoft Entra ID で行われるドメインであり、ネイティブ Microsoft Entra ID 認証と呼ばれることもあります。
-
フェデレーション済み Microsoft Entra ID ドメインとは、Microsoft Entra ID が認証を別の場所にリダイレクトするように構成されているドメインです。たとえば、ADFS やサードパーティのIDプロバイダーなどです。
-
ハイブリッド参加済みVDAは、AD参加済みであり、Microsoft Entra ID参加済みです。
ドメイン参加済みVDA
ドメイン参加済みVDAの場合、Windows認証（従来は統合Windows認証、またはKerberosと呼ばれます）を使用して、Microsoft Entra IDへのSSOを実現します。Microsoft Entra IDへの認証は、ユーザーがVDAセッション内からMicrosoft Entra IDで保護されたアプリケーションにアクセスしたときに発生します。次の図は、認証プロセスを大まかに示しています。
ドメイン参加済みVDA(/en-us/federated-authentication-service/2507-ltsr/media/domain-joined-vdas.png)
詳細な内容は、Microsoft Entra ID ドメインがマネージドであるかフェデレーション済みであるかによって異なります。
管理されたMicrosoft Entra IDドメインのセットアップに関する情報については、「シームレスシングルサインオン」を参照してください。
ADFSにフェデレーションされたMicrosoft Entra IDドメインの場合、ADFSサーバーでWindows認証を有効にします。
サードパーティのIDプロバイダーにフェデレーションされたMicrosoft Entra IDドメインの場合、同様のソリューションが存在します。詳細については、IDプロバイダーにお問い合わせください。
注：
ハイブリッド参加済みVDAの場合、ドメイン参加済みVDAに記載されているソリューションも使用できます。ただし、FASを使用する場合、Microsoft Entra IDプライマリ更新トークン (PRT) は生成されません。
ハイブリッド参加済みVDA
ハイブリッド参加済みVDAは、ADとMicrosoft Entra IDに同時に参加しています。ユーザーがVDAにサインインすると、次のアーティファクトが作成されます。
-
ADリソースへの認証用のKerberosチケット許可チケット (TGT)
-
Microsoft Entra IDリソースへの認証用のプライマリ更新トークン (PRT)
PRTには、ユーザーとコンピューターの両方に関する情報が含まれています。この情報は、必要に応じてMicrosoft Entra ID条件付きアクセス ポリシーで使用されます。
FASはVDAに証明書を提供することでユーザーを認証するため、Microsoft Entra IDの証明書ベースの認証が実装されている場合にのみ、PRTを作成できます。次の図は、認証プロセスを大まかに示しています。
正確な詳細は、Microsoft Entra IDドメインが管理されているかフェデレーションされているかによって異なります。
管理されたMicrosoft Entra IDドメインの場合、Microsoft Entra ID CBAを構成します。詳細については、「Azure AD証明書ベース認証の概要」を参照してください。VDAは、Microsoft Entra ID CBAを使用して、ユーザーのFAS証明書でMicrosoft Entra IDにユーザーを認証します。
注：
Microsoft のドキュメントではスマートカード証明書でのサインインについて説明していますが、その根底にある技術は FAS ユーザー証明書でサインインする場合にも適用されます。
ADFS にフェデレーションされている Microsoft Entra ID ドメインの場合、VDA は ADFS サーバーの WS-Trust certificatemixed エンドポイントを使用して、ユーザーの FAS 証明書で Microsoft Entra ID に対してユーザーを認証します。このエンドポイントはデフォルトで有効になっています。
サードパーティの ID プロバイダーにフェデレーションされている Microsoft Entra ID ドメインの場合、同様のソリューションが存在する可能性があります。ID プロバイダーは WS-Trust certificatemixed エンドポイントを実装する必要があります。詳細については、ID プロバイダーにお問い合わせください。