展開アーキテクチャ

最終公開日 : Oct 24, 2026
Related information
ADFS展開

はじめに

Federated Authentication Service (FAS) is a Citrix® component that integrates with your Active Directory certificate authority, allowing users to be seamlessly authenticated within a Citrix environment. This document describes various authentication architectures that may be appropriate for your deployment.
When enabled, FAS delegates user authentication decisions to trusted StoreFront servers. StoreFront has a comprehensive set of built-in authentication options built around modern web technologies, and is easily extensible using the StoreFront SDK or third-party IIS plugins. The basic design goal is that any authentication technology that can authenticate a user to a web site can now be used to log in to a Citrix Virtual Apps or Citrix Virtual Desktops™ deployment.
このドキュメントでは、複雑さが増すにつれて、トップレベルの展開アーキテクチャの例について説明します。
関連するFAS記事へのリンクが提供されています。すべてのアーキテクチャにおいて、FASのセットアップに関する主要なリファレンスはインストールと構成の記事です。

アーキテクチャの概要

FASは、StoreFrontによって認証されたActive Directoryユーザーに代わって、スマートカードクラスの証明書を自動的に発行することを承認されています。これは、管理者が物理スマートカードをプロビジョニングできるツールと同様のAPIを使用します。ユーザーがCitrix Virtual Apps™またはCitrix Virtual Desktops Virtual Delivery Agent (VDA)に仲介されると、証明書がマシンに添付され、Windowsドメインはログオンを標準のスマートカード認証として認識します。
信頼されたStoreFront™サーバーは、ユーザーがCitrix環境へのアクセスを要求すると、FASに接続します。FASは、そのセッションの証明書を使用して、単一のCitrix Virtual AppsまたはCitrix Virtual Desktopsセッションを認証できるチケットを付与します。VDAがユーザーを認証する必要がある場合、FASに接続してチケットを引き換えます。FASのみがユーザー証明書の秘密キーにアクセスできます。VDAは、証明書で実行する必要がある署名および復号化操作をすべてFASに送信する必要があります。
次の図は、FASがMicrosoft Certification Authorityと統合し、StoreFrontおよびCitrix Virtual Apps and Desktops™ Virtual Delivery Agents (VDAs)にサポートサービスを提供している様子を示しています。
ローカライズされた画像

内部展開

FAS を使用すると、ユーザーはさまざまな認証オプション（Kerberos シングルサインオンを含む）を使用して StoreFront に安全に認証し、完全に認証された Citrix HDX™ セッションに接続できます。
これにより、ユーザー資格情報やスマートカードの PIN を入力するプロンプトなしで、またシングルサインオンサービスなどの「保存されたパスワード管理」機能を使用せずに Windows 認証が可能になります。これは、以前のバージョンの Citrix Virtual Apps で利用可能だった Kerberos 制限付き委任ログオン機能を置き換えるために使用できます。
すべてのユーザーは、エンドポイントデバイスにスマートカードでログオンしているかどうかにかかわらず、セッション内で公開鍵インフラストラクチャ（PKI）証明書にアクセスできます。これにより、スマートカードリーダーを持たないスマートフォンやタブレットなどのデバイスからでも、二要素認証モデルへのスムーズな移行が可能になります。
この展開では、FAS を実行する新しいサーバーが追加され、このサーバーはユーザーに代わってスマートカードクラスの証明書を発行する権限を持ちます。これらの証明書は、スマートカードログオンが使用されたかのように、Citrix HDX 環境のユーザーセッションにログオンするために使用されます。
ローカライズされた画像
Citrix Virtual Apps または Citrix Virtual Desktops 環境は、スマートカードログオンと同様の方法で構成する必要があります。これについては、CTX206156 に記載されています。
既存の展開では、通常、ドメインに参加している Microsoft 証明機関が利用可能であり、ドメインコントローラーにドメインコントローラー証明書が割り当てられていることを確認するだけです。（CTX206156 の「ドメインコントローラー証明書の発行」セクションを参照してください。）
関連情報:
  • キーは、ハードウェアセキュリティモジュール（HSM）または組み込みのトラステッドプラットフォームモジュール（TPM）に保存できます。詳細については、秘密キーの保護 の記事を参照してください。
  • インストールと構成 の記事では、FAS のインストール方法と構成方法について説明しています。

Citrix Gateway の展開

Citrix Gateway の展開は内部展開と似ていますが、StoreFront とペアリングされた Citrix Gateway が追加され、認証の主要なポイントが Citrix Gateway 自体に移されます。Citrix Gateway には、企業の Web サイトへのリモートアクセスを保護するために使用できる高度な認証および承認オプションが含まれています。
この展開は、最初に Citrix Gateway に認証し、その後ユーザーセッションにログオンする際に発生する複数の PIN プロンプトを回避するために使用できます。また、AD パスワードやスマートカードを別途必要とせずに、高度な Citrix Gateway 認証テクノロジーを使用することもできます。
ローカライズされた画像
Citrix Virtual AppsまたはCitrix Virtual Desktops環境は、スマートカードログオンと同様の方法で構成する必要があります。これはCTX206156に記載されています。
既存の展開では、通常、ドメイン参加済みのMicrosoft証明機関が利用可能であり、ドメインコントローラーにドメインコントローラー証明書が割り当てられていることを確認するだけで済みます。（CTX206156の「ドメインコントローラー証明書の発行」セクションを参照してください）。
Citrix Gatewayをプライマリ認証システムとして構成する場合、Citrix GatewayとStoreFront間のすべての接続がTLSで保護されていることを確認してください。特に、コールバックURLがCitrix Gatewayサーバーを指すように正しく構成されていることを確認してください。これは、この展開でCitrix Gatewayサーバーを認証するために使用できます。
ローカライズされた画像
関連情報:

ADFS SAML展開

主要なCitrix Gateway認証テクノロジーは、SAML IDプロバイダー（IdP）として機能できるMicrosoft ADFSとの統合を可能にします。SAMLアサーションは、信頼されたIdPによって発行される暗号署名されたXMLブロックであり、ユーザーがコンピューターシステムにログオンすることを承認します。これは、FASサーバーがユーザーの認証をMicrosoft ADFSサーバー（またはその他のSAML対応IdP）に委任できることを意味します。
ローカライズされた画像
ADFSは、インターネット経由でリモートから企業リソースにユーザーを安全に認証するためによく使用されます。たとえば、Office 365統合によく使用されます。
関連情報:
  • ADFS deploymentの記事に詳細が記載されています。
  • Install and configureの記事は、FASのインストールと構成方法について説明しています。
  • この記事のCitrix Gateway展開セクションには、構成に関する考慮事項が含まれています。

B2Bアカウントマッピング

2つの会社が互いのコンピューターシステムを使用したい場合、一般的な選択肢は、信頼関係を持つActive Directory Federation Service (ADFS) サーバーをセットアップすることです。これにより、ある会社のユーザーが別の会社のActive Directory (AD) 環境にシームレスに認証できるようになります。ログオン時、各ユーザーは自身の会社のログオン資格情報を使用し、ADFSはこれをピア会社のAD環境内の「シャドウアカウント」に自動的にマッピングします。
ローカライズされた画像
関連情報:

Windows 10 Azure AD への参加

Windows 10では、「Azure AD Join」という概念が導入されました。これは、従来のWindowsドメイン参加と概念的には似ていますが、「インターネット経由」のシナリオを対象としています。これはラップトップやタブレットでうまく機能します。従来のWindowsドメイン参加と同様に、Azure ADには会社のウェブサイトやリソースに対するシングルサインオンモデルを可能にする機能があります。これらはすべて「インターネット対応」であるため、オフィスLANだけでなく、インターネットに接続されたあらゆる場所から機能します。
ローカライズされた画像
この展開は、「オフィス内のエンドユーザー」という概念が実質的に存在しない例です。ラップトップは、最新のAzure AD機能を使用して、完全にインターネット経由で登録および認証されます。
この展開のインフラストラクチャは、IPアドレスが利用可能な場所であればどこでも実行できることに注意してください。オンプレミス、ホスト型プロバイダー、Azure、またはその他のクラウドプロバイダーです。Azure AD Connectシンクロナイザーは自動的にAzure ADに接続します。簡素化のため、例のグラフィックではAzure VMを使用しています。
関連情報: