ADFS展開

最終公開日 : Oct 24, 2026
Related information
展開アーキテクチャ

はじめに

このドキュメントでは、Citrix環境をMicrosoft ADFSと統合する方法について説明します。
多くの組織は、単一の認証ポイントを必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準のWindowsログオン資格情報で保護する必要があります。
フェデレーション認証サービス (FAS) は、Citrix GatewayとCitrix StoreFront™をADFSログオンシステムと統合することも可能にし、従業員の潜在的な混乱を軽減します。
この展開では、Citrix GatewayをMicrosoft ADFSへの証明書利用者として統合します。
ローカライズされた画像(/en-us/federated-authentication-service/current-release/media/fas-architectures-adfs-saml.png)
注:
バックエンドリソースがWindows VDAまたはLinux VDAのどちらであっても違いはありません。

SAMLの概要

Security Assertion Markup Language (SAML) は、シンプルな「ログオンページへのリダイレクト」Webブラウザログオンシステムです。構成には次の項目が含まれます。

リダイレクトURL

Citrix Gatewayがユーザーの認証が必要であることを検出すると、ユーザーのWebブラウザにADFSサーバー上のSAMLログオンWebページへのHTTP POSTを実行するように指示します。これは通常、https://形式のアドレスです: https://adfs.mycompany.com/adfs/ls。
このWebページPOSTには、ログオン完了時にADFSがユーザーを返す「戻りアドレス」を含むその他の情報が含まれています。

識別子

EntityId は、Citrix Gateway が ADFS への POST データに含める一意の識別子です。これにより、ADFS はユーザーがログオンしようとしているサービスを認識し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML 認証 XML は EntityId で識別されるサービスへのログオンにのみ適しています。
通常、EntityID は Citrix Gateway サーバーのログオンページの URL ですが、Citrix Gateway と ADFS が合意していれば、一般的には何でも構いません。https://ns.mycompany.com/application/logonpage。

戻りアドレス

認証が成功すると、ADFS はユーザーの Web ブラウザーに、EntityId 用に構成されている応答 URL のいずれかに SAML 認証 XML を POST するよう指示します。これは通常、元の Citrix Gateway サーバー上の https:// アドレスで、形式は次のとおりです。https://ns.mycompany.com/cgi/samlauth。
複数の応答 URL アドレスが構成されている場合、Citrix Gateway は ADFS への最初の POST でいずれかを選択できます。

署名証明書

ADFS は、秘密キーを使用して SAML 認証 XML BLOB に暗号署名します。この署名を検証するには、Citrix Gateway が証明書ファイルに含まれる公開キーを使用してこれらの署名をチェックするように構成されている必要があります。証明書ファイルは通常、ADFS サーバーから取得したテキストファイルです。

シングルサインアウト URL

ADFS と Citrix Gateway は「中央ログアウト」システムをサポートしています。これは、Citrix Gateway が時々ポーリングして、SAML 認証 XML BLOB が現在ログオンしているセッションをまだ表しているかどうかを確認するための URL です。
これは構成する必要のないオプション機能です。通常、https:// アドレスで、形式は https://adfs.mycompany.com/adfs/logout です。（シングルログオン URL と同じにすることもできます。）

構成

セクション Citrix Gateway の展開 では、標準の LDAP 認証オプションを処理するように Citrix Gateway を設定する方法について説明します。これが正常に完了したら、SAML 認証を許可する新しい認証ポリシーを Citrix Gateway 上に作成できます。これにより、Citrix Gateway ウィザードで使用されるデフォルトの LDAP ポリシーを置き換えることができます。
ローカライズされた画像

SAML ポリシーの入力

以前に ADFS 管理コンソールから取得した情報を使用して、新しい SAML IdP サーバーを構成します。このポリシーが適用されると、Citrix Gateway はユーザーを ADFS にリダイレクトしてログオンさせ、ADFS 署名付き SAML 認証トークンを受け取ります。
ローカライズされた画像

関連情報

  • (/ja-jp/federated-authentication-service/current-release/install-configure.html)「インストールと構成」は、FASのインストールと構成に関する主要なリファレンスです。
  • 一般的なFASのデプロイメントは、(/ja-jp/federated-authentication-service/current-release/deployment-architectures.html)「デプロイメントアーキテクチャ」の記事にまとめられています。
  • 「ハウツー」記事は、(/ja-jp/federated-authentication-service/current-release/config-manage.html)「高度な構成」の記事で紹介されています。