MDXアプリのSSOとプロキシに関する考慮事項

最終公開日 : Oct 21, 2026
Citrix ADCとXenMobileを統合することで、ユーザーはすべてのバックエンドHTTP/HTTPSリソースに対してシングルサインオン (SSO) を利用できるようになります。SSO認証の要件に応じて、MDXアプリのユーザー接続を以下のいずれかのオプションを使用するように構成できます。
  • セキュアブラウズ（クライアントレスVPNの一種）
  • フルVPNトンネル
環境内でCitrix ADCがSSOを提供する最適な方法でない場合、ポリシーベースのローカルパスワードキャッシュを使用してMDXアプリをセットアップできます。この記事では、Secure Webに焦点を当てて、さまざまなSSOおよびプロキシオプションについて説明します。これらの概念は他のMDXアプリにも適用されます。
次のフローチャートは、SSOとユーザー接続の決定フローをまとめたものです。
SSOとユーザー接続の決定フローの図(/en-us/xenmobile/server/media/sso-proxy-decision-flow.png)
Related information
XenMobile® の展開

Citrix ADC認証方法

このセクションでは、Citrix ADCでサポートされている認証方法に関する一般的な情報を提供します。

SAML認証

Citrix ADCをSecurity Assertion Markup Language (SAML) 用に構成すると、ユーザーはSAMLプロトコルをサポートするWebアプリにシングルサインオンで接続できます。Citrix Gatewayは、SAML WebアプリのIDプロバイダー (IdP) シングルサインオンをサポートしています。
必要な構成:
  • Citrix ADCトラフィックプロファイルでSAML SSOを構成します。
  • 要求されたサービスに対してSAML IdPを構成します。

NTLM認証

セッションプロファイルでWebアプリへのSSOが有効になっている場合、Citrix ADCはNTLM認証を自動的に実行します。
必要な構成:
  • Citrix ADCセッションプロファイルまたはトラフィックプロファイルでSSOを有効にします。

Kerberosインパーソネーション

XenMobile®はSecure WebでのみKerberosをサポートします。Citrix ADCでKerberos SSOを構成すると、ユーザーパスワードがCitrix ADCで利用可能な場合にCitrix ADCはインパーソネーションを使用します。インパーソネーションとは、Citrix ADCがユーザー資格情報を使用して、Secure Webなどのサービスへのアクセスに必要なチケットを取得することを意味します。
必要な構成:
  • Citrix ADCの「Worx」セッションポリシーを構成して、接続からKerberosレルムを識別できるようにします。
  • Citrix ADCでKerberos Constrained Delegation (KCD) アカウントを構成します。そのアカウントをパスワードなしで構成し、XenMobileゲートウェイのトラフィックポリシーにバインドします。
  • これらの構成およびその他の詳細については、Citrixブログ「WorxWeb and Kerberos Impersonation SSO」を参照してください。

Kerberos の制約付き委任

XenMobileはSecure WebでのみKerberosをサポートします。Citrix ADCでKerberos SSOを構成すると、ユーザーパスワードがCitrix ADCで利用できない場合にCitrix ADCは制約付き委任を使用します。
制約付き委任では、Citrix ADCは指定された管理者アカウントを使用して、ユーザーおよびサービスに代わってチケットを取得します。
必要な構成:
  • 必要な権限を持つKCDアカウントをActive Directoryで構成し、Citrix ADCでKCDアカウントを構成します。
  • Citrix ADCトラフィックプロファイルでSSOを有効にします。
  • Kerberos認証用にバックエンドWebサイトを構成します。

フォーム入力認証

Citrix ADCをフォームベースのシングルサインオン用に構成すると、ユーザーは一度ログオンするだけで、ネットワーク内のすべての保護されたアプリにアクセスできます。この認証方法は、Secure BrowseまたはFull VPNモードを使用するアプリに適用されます。
必要な構成:
  • Citrix ADCトラフィックプロファイルでフォームベースのSSOを構成します。

ダイジェストHTTP認証

セッションプロファイルでWebアプリへのSSOを有効にすると、Citrix ADCはダイジェストHTTP認証を自動的に実行します。この認証方法は、Secure BrowseまたはFull VPNモードを使用するアプリに適用されます。
必要な構成:
  • Citrix ADCセッションまたはトラフィックプロファイルでSSOを有効にします。

基本HTTP認証

セッションプロファイルでWebアプリへのSSOを有効にすると、Citrix ADCは基本HTTP認証を自動的に実行します。この認証方法は、Secure BrowseまたはFull VPNモードを使用するアプリに適用されます。
必要な構成:
  • Citrix ADCセッションまたはトラフィックプロファイルでSSOを有効にします。

Secure Browse、Full VPNトンネル、またはPAC付きFull VPNトンネル

以下のセクションでは、Secure Webのユーザー接続タイプについて説明します。詳細については、CitrixドキュメントのSecure Webに関する記事「ユーザー接続の構成」を参照してください。

フルVPNトンネル

内部ネットワークにトンネル接続する際に、フルVPNトンネルを使用できます。フルVPNトンネルを構成するには、Secure Webの優先VPNモードポリシーを使用します。Citrixは、クライアント証明書または内部ネットワーク内のリソースへのエンドツーエンドSSLを使用する接続には、フルVPNトンネルを推奨します。フルVPNトンネルは、TCP上のあらゆるプロトコルを処理します。フルVPNトンネルは、Windows、Mac、iOS、Androidデバイスで使用できます。
フルVPNトンネルモードでは、Citrix ADCはHTTPSセッションの内部を可視化できません。

セキュアブラウズ

内部ネットワークにトンネル接続する際に、Secure Browseと呼ばれるクライアントレスVPNのバリエーションを使用できます。Secure Browseは、Secure Webの優先VPNモードポリシーに指定されているデフォルト構成です。Citrixは、シングルサインオン (SSO) を必要とする接続にはSecure Browseを推奨します。
Secure Browseモードでは、Citrix ADCはHTTPSセッションを2つの部分に分割します。
  • クライアントからCitrix ADCへ
  • Citrix ADCからバックエンドリソースサーバーへ。
このようにして、Citrix ADCはクライアントとサーバー間のすべてのトランザクションを完全に可視化し、SSOを提供できるようになります。
Secure Browseモードで使用する場合、Secure Webのプロキシサーバーを構成することもできます。詳細については、ブログ「XenMobile WorxWebのSecure Browseモードでのプロキシサーバーを介したトラフィック」を参照してください。

PACを使用したフルVPNトンネル

iOSおよびAndroidデバイス上のSecure WebのフルVPNトンネル展開で、プロキシ自動構成 (PAC) ファイルを使用できます。XenMobileは、Citrix ADCが提供するプロキシ認証をサポートしています。PACファイルには、Webブラウザーが特定のURLにアクセスするためにプロキシを選択する方法を定義するルールが含まれています。PACファイルのルールは、内部サイトと外部サイトの両方の処理を指定できます。Secure WebはPACファイルのルールを解析し、プロキシサーバー情報をCitrix Gatewayに送信します。Citrix GatewayはPACファイルまたはプロキシサーバーを認識しません。
HTTPS Webサイトへの認証の場合: Secure Web MDXポリシーのWebパスワードキャッシュを有効にするにより、Secure WebはMDXを介してプロキシサーバーへの認証とSSOを提供できます。

Citrix ADCスプリットトンネリング

SSOおよびプロキシ構成を計画する際には、Citrix ADCスプリットトンネリングを使用するかどうかも決定する必要があります。Citrixは、必要な場合にのみCitrix ADCスプリットトンネリングを使用することを推奨します。このセクションでは、スプリットトンネリングの仕組みについて概要を説明します。Citrix ADCは、ルーティングテーブルに基づいてトラフィックパスを決定します。Citrix ADCスプリットトンネリングがオンの場合、Secure Hubは内部 (保護された) ネットワークトラフィックとインターネットトラフィックを区別します。Secure Hubは、DNSサフィックスとイントラネットアプリケーションに基づいてその判断を行います。その後、Secure Hubは内部ネットワークトラフィックのみをVPNトンネル経由でトンネル化します。Citrix ADCスプリットトンネリングがオフの場合、すべてのトラフィックはVPNトンネルを通過します。
  • セキュリティ上の理由からすべてのトラフィックを監視したい場合は、Citrix ADCの分割トンネリングを無効にします。その結果、すべてのトラフィックはVPNトンネルを通過します。
  • PACでフルVPNトンネルを使用する場合は、Citrix Gatewayの分割トンネリングを無効にする必要があります。分割トンネリングが有効でPACファイルを構成した場合、PACファイルのルールがCitrix ADCの分割トンネリングルールを上書きします。トラフィックポリシーで構成されたプロキシサーバーは、Citrix ADCの分割トンネリングルールを上書きしません。
デフォルトでは、Secure Webのネットワークアクセスポリシーは内部ネットワークへのトンネルに設定されています。この構成では、MDXアプリはCitrix ADCの分割トンネル設定を使用します。ネットワークアクセスポリシーのデフォルトは、他のモバイル生産性アプリでは異なります。
Citrix Gatewayには、マイクロVPNリバース分割トンネルモードもあります。この構成は、Citrix ADCにトンネルされないIPアドレスの除外リストをサポートします。代わりに、これらのアドレスはデバイスのインターネット接続を使用して送信されます。リバース分割トンネリングの詳細については、Citrix Gatewayのドキュメントを参照してください。
XenMobileには、リバース分割トンネル除外リストが含まれています。特定のWebサイトがCitrix Gatewayを介してトンネリングされるのを防ぐには、代わりにLANを使用して接続する完全修飾ドメイン名（FQDN）またはDNSサフィックスのコンマ区切りリストを追加します。このリストは、リバース分割トンネリング用にCitrix Gatewayが構成されているSecure Browseモードにのみ適用されます。