次の方法で共有

チュートリアル: Microsoft Entra シングル サインオンと Citrix ADC SAML Connector for Microsoft Entra ID の統合 (Kerberos ベースの認証)

  • [アーティクル]

このチュートリアルでは、Citrix ADC SAML Connector for Microsoft Entra ID と Microsoft Entra ID を統合する方法について説明します。 Citrix ADC SAML Connector for Microsoft Entra ID と Microsoft Entra ID を統合すると、次のことができます。

  • Microsoft Entra ID で、Citrix ADC SAML Connector for Microsoft Entra ID にアクセスできるユーザーを制御します。
  • ユーザーが自分の Microsoft Entra アカウントを使用して Citrix ADC SAML Connector for Microsoft Entra ID に自動的にログインできるようにします。
  • 1 つの中心的な場所でアカウントを管理します。

前提条件

開始するには、次が必要です:

  • Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウント を取得できます。
  • Citrix ADC SAML Connector for Microsoft Entra シングル サインオン (SSO) が有効なサブスクリプション。

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra の SSO を構成してテストします。 チュートリアルにはこれらのシナリオが含まれています。

Citrix ADC SAML Connector for Microsoft Entra ID と Microsoft Entra ID を統合するには、まず Citrix ADC SAML Connector for Microsoft Entra ID をギャラリーのマネージド SaaS アプリのリストに追加します。

  1. Microsoft Entra 管理センター に クラウド アプリケーション管理者 以上の権限でサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] を参照します。

  3. [ギャラリーから追加] セクションで、検索ボックスに「Citrix ADC SAML Connector for Microsoft Entra ID」と入力します。

  4. 結果から [Citrix ADC SAML Connector for Microsoft Entra ID] を選択し、アプリを追加します。 アプリがお使いのテナントに追加されるまで数秒待ちます。

または、Enterprise アプリ 構成ウィザード を使用することもできます。 このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細について説明します。

Citrix ADC SAML Connector for Microsoft Entra ID 用に Microsoft Entra SSO の構成とテスト

B.Simon という名前のテスト ユーザーを使用し、Citrix ADC SAML Connector for Microsoft Entra ID で Microsoft Entra SSO を構成してテストします。 SSO が機能するため、Microsoft Entra ユーザーと Citrix ADC SAML Connector for Microsoft Entra ID の関連ユーザーの間にリンク関係を確立する必要があります。

Citrix ADC SAML Connector for Microsoft Entra ID で Microsoft Entra SSO を構成してテストするには、次の手順を実行します。

  1. Microsoft Entra SSO の構成 - ユーザーがこの機能を使用できるようにします。

    1. Microsoft Entra テスト ユーザーの作成 - B.Simon で Microsoft Entra SSO をテストします。

    2. Microsoft Entra テスト ユーザーの割り当て - B.Simon が Microsoft Entra SSO を使用できるようにします。

  2. Citrix ADC SAML Connector for Microsoft Entra SSO の構成 - アプリケーション側で SSO 設定を構成します。

    1. Citrix ADC SAML Connector for Microsoft Entra テスト ユーザーの作成 - ユーザーの Microsoft Entra 表現にリンクされた Citrix ADC SAML Connector for Microsoft Entra ID の B.Simon に対応するユーザーを持ちます。

  3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

Azure portal を使用して Microsoft Entra SSO を有効にするには、次の手順を実行します。

  1. Microsoft Entra 管理センター に クラウド アプリケーション管理者 以上の権限でサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Citrix ADC SAML Connector for Microsoft Entra ID] アプリケーション統合ウィンドウを参照し、[管理] で [シングル サインオン] を選択します。

  3. [シングル サインオン方式の選択] ウィンドウで [SAML] を選択します。

  4. [SAML によるシングル サインオンの設定] ウィンドウで、[基本的な SAML 構成] の鉛筆アイコンを選択して設定を編集します。

    基本的な SAML 構成の編集を示すスクリーンショット。

  5. [基本的な SAML 構成] セクションで、アプリケーションを [IDP 駆動型] モードで構成するには、次の手順を実行します。

    1. [識別子] テキスト ボックスに、https://<YOUR_FQDN> の形式で URL を入力します。

    2. [応答 URL] テキスト ボックスに、http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth の形式で URL を入力します。

  6. アプリケーションを [SP 駆動型] モードで構成するには、[追加の URL の設定] を選択して次の手順を実行します。

    • [ログオン URL] テキスト ボックスに、https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx の形式で URL を入力します。

    注意

    • このセクションで使用される URL は、実際の値ではありません。 これらの値は識別子、応答 URL、ログオン URL の実際の値で更新してください。 これらの値を取得するには、Citrix ADC SAML Connector for Microsoft Entra のクライアント サポート チームにご連絡ください。 [基本的な SAML 構成] セクションに示されているパターンを参照することもできます。
    • SSO を設定するには、パブリック Web サイトから URL にアクセスできる必要があります。 Microsoft Entra ID が構成済みの URL でトークンをポストできるようにするには、Citrix ADC SAML Connector for Microsoft Entra ID 側でファイアウォールまたはその他のセキュリティ設定を有効にする必要があります。

  7. [SAML によるシングル サインオンの設定] ウィンドウの [SAML 署名証明書] セクションで、[アプリのフェデレーション メタデータ URL] に URL をコピーしてメモ帳に保存します。

    スクリーンショットは証明書のダウンロード リンクを示します。

  8. [Citrix ADC SAML Connector for Microsoft Entra ID の設定] セクションで、要件に基づいて関連する URL をコピーします。

    スクリーンショットは構成 URL をコピーするように示しています。

Microsoft Entra テスト ユーザーの作成

このセクションでは、B.Simon というテスト ユーザーを作成します。

  1. Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
  2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
  3. 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
  4. [ユーザー] プロパティで、以下の手順を実行します:
    1. [表示名] フィールドに「B.Simon」と入力します。
    2. [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、B.Simon@contoso.com のようにします。
    3. [パスワードを表示] チェック ボックスをオンにし、[パスワード] ボックスに表示された値を書き留めます。
    4. [レビュー + 作成] を選択します。
  5. [作成] を選択します。

Microsoft Entra テスト ユーザーの割り当て

このセクションでは、B.Simon というユーザーに Citrix ADC SAML Connector for Microsoft Entra ID へのユーザー アクセスを許可することにより、Azure SSO を使用できるようにします。

  1. [ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します。

  2. アプリケーションのリストで [Citrix ADC SAML Connector for Microsoft Entra ID] を選択します。

  3. アプリの概要の [管理] で、[ユーザーとグループ] を選択します。

  4. [ユーザーの追加] を選択します。 次に、[割り当ての追加] ダイアログ ボックスに [ユーザーとグループ] を選択します。

  5. [ユーザーとグループ] ダイアログ ボックスに、[ユーザー] リストから [B.Simon] を選択します。 [選択] を選択します。

  6. ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。 このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。

  7. [割り当ての追加] ダイアログ ボックスに [割り当て] を選択ます。

Citrix ADC SAML Connector for Microsoft Entra SSO の構成

構成したい認証の種類に対応する手順のリンクを選択します。

Web サーバーの公開

仮想サーバーの作成方法

  1. [トラフィック管理]>[負荷分散]>[サービス] を選択します。

  2. [追加] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [サービス] ウィンドウ

  3. アプリケーションを実行している Web サーバーに対し、次の値を設定します。

    • サービス名
    • サーバー IP/既存のサーバー
    • プロトコル
    • ポート

Load Balancer の構成

Load Balancer の構成方法

  1. [トラフィック管理]>[負荷分散]>[仮想サーバー] に移動します。

  2. [追加] を選択します。

  3. 次のスクリーンショットで示すとおり、次の値を設定します。

    • 名前
    • プロトコル
    • IP アドレス
    • ポート

  4. [OK] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [基本設定] ウィンドウ

仮想サーバーのバインド

Load Balancer を仮想サーバーにバインドする方法

  1. [サービスとサービス グループ] ウィンドウで、[負荷分散仮想サーバー サービスのバインディングなし] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [負荷分散仮想サーバー サービスのバインディング] ウィンドウ

  2. 設定が次のスクリーンショットのとおりであることを確認したら、[閉じる] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - 仮想サーバー サービスのバインディングの確認

証明書のバインド

このサービスを TLS として公開するには、サーバー証明書をバインドしてからアプリケーションをテストします。

  1. [証明書] で、[サーバー証明書なし] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [サーバー証明書] ウィンドウ

  2. 設定が次のスクリーンショットのとおりであることを確認したら、[閉じる] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - 証明書の確認

Citrix ADC SAML Connector for Microsoft Entra SAML のプロファイル

Citrix ADC SAML Connector for Microsoft Entra SAML のプロファイルを構成するには、次のセクションを完了します。

認証ポリシーの作成

認証ポリシーの作成方法

  1. [セキュリティ]>[AAA - アプリケーション トラフィック]>[ポリシー]>[認証]>[認証ポリシー] に移動します。

  2. [追加] を選択します。

  3. [認証ポリシーの作成] ウィンドウで、次の値を入力または選択します。

    • 名前: 認証ポリシーの名前を入力します。
    • アクション:「SAML」と入力したら、[追加] を選択します。
    • 式: 「true」と入力します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [認証ポリシーの作成] ウィンドウ

  4. [作成] を選択します。

認証 SAML サーバーの作成

認証 SAML サーバーを作成するには、[認証 SAML サーバーの作成] ウィンドウに移動したら、次の手順を実行します。

  1. [名前] には、認証 SAML サーバーの名前を入力します。

  2. [SAML メタデータのエクスポート] で次の操作を行います。

    1. [メタデータのインポート] チェック ボックスを選択します。

    2. 前にコピーした Azure SAML UI のフェデレーション メタデータ URL を入力します。

  3. [発行者名] には、関連する URL を入力します。

  4. [作成] を選択します。

Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [認証 SAML サーバーの作成] ウィンドウ

認証仮想サーバーの作成

認証仮想サーバーの作成方法

  1. [セキュリティ]>[AAA - アプリケーション トラフィック]>[ポリシー]>[認証]>[認証仮想サーバー] に移動します。

  2. [追加] を選択したら、次の手順を実行します。

    1. [名前] には、認証仮想サーバーの名前を入力します。

    2. [アドレス指定不可] チェック ボックスを選択します。

    3. [プロトコル] には、[SSL] を選択します。

    4. [OK] を選択します。

  3. [続行] を選択します。

Microsoft Entra ID を使用するため、認証仮想サーバーの構成

認証仮想サーバーの 2 つのセクションを変更します。

  1. [高度な認証ポリシー] ウィンドウで [認証ポリシーなし] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [高度な認証ポリシー] ウィンドウ

  2. [ポリシーのバインディング] ウィンドウで、認証ポリシーを選択して [バインド] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [ポリシーのバインディング] ウィンドウ

  3. [フォーム ベースの仮想サーバー] ウィンドウで、[負荷分散仮想サーバーなし] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [フォームに基づく仮想サーバー] ウィンドウ

  4. [認証 FQDN] には、完全修飾ドメイン名 (FQDN) を入力します (必須)。

  5. Microsoft Entra 認証で保護する負荷分散仮想サーバーを選択します。

  6. [バインド] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [負荷分散仮想サーバーのバインディング] ウィンドウ

    注意

    [認証仮想サーバーの構成] ウィンドウで、必ず [完了] を選択してください。

  7. 変更を確認するには、ブラウザーでアプリケーションの URL に移動します。 前に表示されていた非認証アクセスではなく、ご自分のテナントのサインイン ページが表示されます。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - Web ブラウザーのサインイン ページ

Kerberos ベースの認証用に Citrix ADC SAML Connector for Microsoft Entra SSO の構成

Citrix ADC SAML Connector for Microsoft Entra ID 用の Kerberos 委任アカウントの作成

  1. ユーザー アカウントを作成します (この例では、「AppDelegation」を使用します)。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [プロパティ] ウィンドウ

  2. このアカウントに HOST SPN を設定します。

    例: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

    次の例を参照してください。

    • IDENTT.WORK はドメインの FQDN です。
    • identt はドメインの NetBIOS 名です。
    • appdelegation は委任ユーザーのアカウント名です。

  3. 次のスクリーンショットに示すように、Web サーバーの委任を構成します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [プロパティ] ウィンドウの [委任]

    注意

    スクリーンショットの例では、Windows 統合認証 (WIA) サイトを実行する内部の Web サーバー名は「CWEB2」です。

Citrix ADC SAML Connector for Microsoft Entra AAA KCD (Kerberos 委任アカウント)

Citrix ADC SAML Connector for Microsoft Entra AAA KCD アカウントを構成する方法

  1. [Citrix ゲートウェイ]>[AAA KCD (Kerberos 制約付き委任) アカウント] に移動します。

  2. [追加] を選択したら、次の値を入力または選択します。

    • 名前:KCD アカウントの名前を入力します。

    • 領域: ドメインと拡張子を大文字で入力します。

    • サービス SPN: http/<host/fqdn>@<DOMAIN.COM>。

      注意

      @DOMAIN.COM は必須であり、大文字にする必要があります。 例: http/cweb2@IDENTT.WORK。

    • 委任されたユーザー: 委任されたユーザーの名前を入力します。

    • [委任されたユーザーのパスワード] チェック ボックスを選択し、パスワードの入力と確認をします。

  3. [OK] を選択します。

Citrix トラフィック ポリシーとトラフィック プロファイル

Citrix トラフィック ポリシーとトラフィック プロファイルを構成する方法

  1. [セキュリティ]>[AAA - アプリケーション トラフィック]>[ポリシー]>[トラフィック ポリシー、プロファイル、フォーム SSO プロファイルのトラフィック ポリシー] に移動します。

  2. [トラフィック プロファイル] を選択します。

  3. [追加] を選択します。

  4. トラフィック プロファイルを構成するには、次の値を入力または選択します。

    • 名前:トラフィック プロファイルの名前を入力します。

    • シングル サインオン: [オン] を選択します。

    • KCD アカウント: 前のセクションで作成した KCD アカウントを選択します。

  5. [OK] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [トラフィック プロファイルの構成] ウィンドウ

  6. [トラフィック ポリシー] を選択します。

  7. [追加] を選択します。

  8. トラフィック ポリシーを構成するには、次の値を入力または選択します。

    • 名前:トラフィック ポリシーの名前を入力します。

    • プロファイル: 前のセクションで作成したトラフィック プロファイルを選択します。

    • 式: 「true」と入力します。

  9. [OK] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [トラフィック ポリシーの構成] ウィンドウ

Citrix でトラフィック ポリシーを仮想サーバーにバインディング

GUI を使用してトラフィック ポリシーを仮想サーバーにバインドする方法

  1. [トラフィック管理]>[負荷分散]>[仮想サーバー] に移動します。

  2. 仮想サーバーのリストで、書き換えポリシーをバインドする仮想サーバーを選択したら、[開く] を選択します。

  3. [負荷分散仮想サーバー] ウィンドウの [詳細設定] で、[ポリシー] を選択します。 NetScaler インスタンスに構成されているすべてのポリシーは、リストに表示されます。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [負荷分散仮想サーバー] ウィンドウ

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [ポリシー] ダイアログ ボックス

  4. この仮想サーバーにバインドするポリシーの名前の横にあるチェック ボックスを選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [負荷分散仮想サーバー トラフィック ポリシーのバインディング] ウィンドウ

  5. [種類の選択] ダイアログ ボックスに次の操作を行います。

    1. [ポリシーの選択] に [トラフィック] を選択します。

    2. [種類の選択] に [要求] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [種類の選択] ウィンドウ

  6. ポリシーをバインドしたら、[完了] を選択します。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - [ポリシー] ウィンドウ

  7. WIA Web サイトを使用してバインティングをテストします。

    Citrix ADC SAML Connector for Microsoft Entra の構成のスクリーンショット - Web ブラウザーのテスト ページ

Citrix ADC SAML Connector for Microsoft Entra テスト ユーザーの作成

このセクションでは、Citrix ADC SAML Connector for Microsoft Entra ID に B.Simon というユーザーが作成されます。 Citrix ADC SAML Connector for Microsoft Entra ID では、規定で有効になっている Just-In-Time ユーザー プロビジョニングがサポートされています。 このセクションでは、ユーザー側で行うアクションはありません。 Citrix ADC SAML Connector for Microsoft Entra ID にユーザーがまだ存在していない場合、認証の後に新しいユーザーが作成されます。

注意

ユーザーを手動で作成する必要がある場合、Citrix ADC SAML Connector for Microsoft Entra のクライアント サポート チームにご連絡ください。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

  • [このアプリケーションのテスト] をクリックすると、ログイン フローを開始できる Citrix ADC SAML Connector for Microsoft Entra のログオン URL にリダイレクトされます。

  • Citrix ADC SAML Connector for Microsoft Entra のログオン URL に直接移動し、そこからログイン フローを開始します。

  • Microsoft マイ アプリを使用することができます。 [マイ アプリ] で [Citrix ADC SAML Connector for Microsoft Entra ID] タイルをクリックすると、Citrix ADC SAML Connector for Microsoft Entra のログオン URL にリダイレクトされます。 マイ アプリの詳細については、「マイ アプリの概要」を参照してください。

次のステップ

Citrix ADC SAML Connector for Microsoft Entra ID を構成したら、リアルタイムで組織の機密データを流出や侵入から保護するセッション制御を実施できます。 セッション制御は条件付きアクセスから拡張されます。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。