Azure Active Directory シングルサインオン
注:
2023年7月以降、MicrosoftはAzure Active Directory (Azure AD) をMicrosoft Entra IDに名称変更しました。このドキュメントでは、Azure Active Directory、Azure AD、またはAADへの言及はすべてMicrosoft Entra IDを指します。
Citrix Federated Authentication Service (FAS) は、ドメイン参加済みVirtual Delivery Agent (VDA) へのシングルサインオン (SSO) を提供します。FASは、VDAにユーザー証明書を提供することでSSOを実現します。VDAはこの証明書を使用して、Active Directory (AD) に対してユーザーを認証します。VDAセッションにサインオンすると、再認証なしでADリソースにアクセスできます。
ADとMicrosoft Entra ID間で同期を行い、ユーザーとコンピューターの両方にハイブリッドIDを作成するMicrosoft Entra ID (ME-ID) の実装は一般的です。この記事では、FASを使用している場合にVDAセッション内からMicrosoft Entra IDへのSSOを実現するために必要な追加構成について説明します。これにより、ユーザーは再認証なしでMicrosoft Entra IDで保護されたアプリケーションにアクセスできます。
注:
-
FASがMicrosoft Entra IDのSSOを使用するために特別な構成は必要ありません。
-
FASのセッション内証明書は必要ありません。
-
FASのどのバージョンでも使用できます。
-
FASをサポートするVDAのどのバージョンでも使用できます。
Microsoft Entra ID SSOの技術は、次の表にまとめられています。
| ME-ID認証タイプ | VDAはドメイン参加済み | VDAはハイブリッド参加済み |
|---|---|---|
| マネージド | ME-ID シームレス SSO を使用する | ME-ID 証明書ベースの認証を使用する |
| Active Directory フェデレーション サービス (ADFS) にフェデレーション済み | ADFS で Windows 認証を有効にする | WS-Trust の certificatemixed エンドポイントが有効になっていることを確認する |
| サードパーティの ID プロバイダーにフェデレーション済み | サードパーティのソリューションを使用する | サードパーティのソリューションを使用する |
-
A managed Microsoft Entra ID domain is one where the user authentication happens at Microsoft Entra ID, sometimes referred to as native Microsoft Entra ID authentication.
-
A federated Microsoft Entra ID domain is one where Microsoft Entra ID is configured to redirect authentication elsewhere. For example, to ADFS or to a third party identity provider.
-
A hybrid joined VDA is AD joined and Microsoft Entra ID joined.
ドメイン参加済み VDA
For domain-joined VDAs, achieve SSO to Microsoft Entra ID using Windows Authentication (traditionally called Integrated Windows Authentication, or Kerberos). Authentication to Microsoft Entra ID happens when the user accesses an Microsoft Entra ID-protected application from within the VDA session. The following diagram shows the authentication process on a high-level:
ドメイン参加済み VDA(/en-us/federated-authentication-service/current-release/media/domain-joined-vdas.png)
The exact details vary depending on whether the Microsoft Entra ID domain is managed or federated.
管理されたMicrosoft Entra IDドメインのセットアップについては、シームレスシングルサインオンを参照してください。
ADFSにフェデレーションされたMicrosoft Entra IDドメインの場合、ADFSサーバーでWindows認証を有効にします。
サードパーティのIDプロバイダーにフェデレーションされたMicrosoft Entra IDドメインの場合、同様のソリューションが存在します。ヘルプについては、IDプロバイダーにお問い合わせください。
注:
ハイブリッド参加済みVDAの場合、ドメイン参加済みVDAに記載されているソリューションも使用できます。ただし、FASを使用する場合、Microsoft Entra IDプライマリ更新トークン (PRT) は生成されません。
ハイブリッド参加済みVDA
ハイブリッド参加済みVDAは、ADとMicrosoft Entra IDに同時に参加しています。ユーザーがVDAにサインインすると、次のアーティファクトが作成されます。
-
Kerberosチケット許可チケット (TGT) (ADリソースへの認証用)
-
プライマリ更新トークン (PRT) (Microsoft Entra IDリソースへの認証用)
PRTには、ユーザーとコンピューターの両方に関する情報が含まれています。この情報は、必要に応じてMicrosoft Entra ID条件付きアクセス ポリシーで使用されます。
FASはVDAに証明書を提供することでユーザーを認証するため、Microsoft Entra IDの証明書ベースの認証が実装されている場合にのみ、PRTを作成できます。次の図は、認証プロセスを大まかに示しています。
正確な詳細は、Microsoft Entra IDドメインが管理されているかフェデレーションされているかによって異なります。
管理されたMicrosoft Entra IDドメインの場合、Microsoft Entra ID CBAを構成します。詳細については、Azure AD証明書ベース認証の概要を参照してください。VDAは、Microsoft Entra ID CBAを使用して、ユーザーのFAS証明書でMicrosoft Entra IDにユーザーを認証します。
注:
Microsoft のドキュメントではスマートカード証明書によるサインインについて説明していますが、その基盤となる技術は FAS ユーザー証明書でサインインする場合にも適用されます。
ADFS にフェデレーションされた Microsoft Entra ID ドメインの場合、VDA は ADFS サーバーの WS-Trust certificatemixed エンドポイントを使用して、ユーザーの FAS 証明書でユーザーを Microsoft Entra ID に認証します。このエンドポイントはデフォルトで有効になっています。
サードパーティの ID プロバイダーにフェデレーションされた Microsoft Entra ID ドメインの場合、同様のソリューションが存在する可能性があります。ID プロバイダーは WS-Trust certificatemixed エンドポイントを実装する必要があります。詳細については、ID プロバイダーにお問い合わせください。