チュートリアル: Microsoft Entra ID シングル サインオンの Citrix ADC との統合 (ヘッダーベース認証)

このチュートリアルでは、Citrix ADC を Microsoft Entra ID と統合する方法について説明します。 Citrix ADC を Microsoft Entra ID と統合すると、以下のことが可能になります。

• 誰が Citrix ADC にアクセスできるかを Microsoft Entra ID で制御します。
• ユーザーが自分の Microsoft Entra アカウントを使用して Citrix ADC に自動的にサインインできるようにします。
• 1 つの場所でアカウントを管理します。

前提条件

開始するには、次が必要です。

• Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウントを取得できます。
• Citrix ADC でのシングル サインオン (SSO) が有効なサブスクリプション。

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra の SSO を構成してテストします。 チュートリアルには、これらのシナリオが含まれています。

• Citrix ADC の SP Initiated SSO

• Citrix ADC の Just-In-Time ユーザー プロビジョニング

• Citrix ADC のヘッダーベースの認証

• Citrix ADC の Kerberos ベースの認証

ギャラリーからの Citrix ADC の追加

Citrix ADC を Microsoft Entra ID と統合するには、まず Citrix ADC をギャラリーからマネージド SaaS アプリの一覧に追加する必要があります。

1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] に移動します。

3. [ギャラリーから追加する] セクションで、検索ボックスに「Citrix ADC」と入力します。

4. 結果から [Citrix ADC] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細をご覧ください。

Citrix ADC の Microsoft Entra SSO を構成してテストする

B.Simon というテスト ユーザーを使用して、Citrix ADC での Microsoft Entra SSO を構成してテストします。 SSO が機能するためには、Microsoft Entra ユーザーと Citrix ADC の関連ユーザーとの間にリンク関係を確立する必要があります。

Citrix ADC で Microsoft Entra SSO を構成してテストするには、以下の手順を実行します。

1. Microsoft Entra SSO の構成 - ユーザーがこの機能を使用できるようにします。

   1. Microsoft Entra テスト ユーザーの作成 - B.Simon を使用して Microsoft Entra SSO をテストします。

   2. Microsoft Entra テスト ユーザーの割り当て - B.Simon が Microsoft Entra SSO を使用できるようにします。

2. Citrix ADC の SSO の構成 - アプリケーション側で SSO 設定を構成します。

   • Citrix ADC のテスト ユーザーの作成 - ユーザーの Microsoft Entra 表現にリンクされる B.Simon の対応物を Citrix ADC で作成します。

3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

Azure portal を使用して Microsoft Entra SSO を有効にするには、以下の手順を実行します。

1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Citrix ADC] アプリケーション統合ペインの順に移動し、[管理] の [シングル サインオン] を選びます。

3. [シングル サインオン方式の選択] ペインで、 [SAML] を選択します。

4. [SAML でシングル サインオンをセットアップします] ペインで、 [基本的な SAML 構成] の編集 (ペン) アイコンを選択して設定を編集します。

   

5. [基本的な SAML 構成] セクションで、アプリケーションを IDP 開始モードで構成するには:

   1. [識別子] テキスト ボックスに、https://<Your FQDN> の形式で URL を入力します。

   2. [応答 URL] テキスト ボックスに、https://<Your FQDN>/CitrixAuthService/AuthService.asmx の形式で URL を入力します。

6. アプリケーションを SP 開始モードで構成するには、 [追加の URL を設定します] を選択して、次の手順を実行します。

   • [サインオン URL] テキスト ボックスに、https://<Your FQDN>/CitrixAuthService/AuthService.asmx の形式で URL を入力します。

   注意

   • このセクションで使用される URL は、実際の値ではありません。 これらの値は、実際の識別子、応答 URL、サインオン URL の値で更新してください。 これらの値を取得するには、Citrix ADC クライアント サポート チームにお問い合わせください。 [基本的な SAML 構成] セクションに示されているパターンを参照することもできます。
   • SSO を設定するには、パブリック Web サイトから URL にアクセスできる必要があります。 Citrix ADC 側でファイアウォールまたは他のセキュリティ設定を有効にし、Microsoft Entra ID が構成済みの URL にトークンをポストできるようにする必要があります。

7. [SAML によるシングル サインオンの設定] ウィンドウの [SAML 署名証明書] セクションで、[アプリのフェデレーション メタデータ URL] に URL をコピーしてメモ帳に保存します。

   

8. Citrix ADC アプリケーションは特定の形式の SAML アサーションを使用するため、カスタム属性マッピングを SAML トークン属性の構成に追加する必要があります。 次のスクリーンショットには、既定の属性一覧が示されています。 編集アイコンを選択し、属性マッピングを変更します。

   

9. Citrix ADC アプリケーションでは、さらにいくつかの属性も SAML 応答で返されることが想定されています。 [ユーザー属性] ダイアログ ボックスの [ユーザー要求] で、次の手順に従って、表に示すように SAML トークン属性を追加します。

   名前	ソース属性
   mySecretID	user.userprincipalname

   1. [新しい要求の追加] を選択して [ユーザー要求の管理] ダイアログ ボックスを開きます。

   2. [名前] テキスト ボックスに、その行に対して表示される属性名を入力します。

   3. [名前空間] は空白のままにします。

   4. [属性] として [ソース] を選択します。

   5. [ソース属性] の一覧で、その行に表示される属性値を入力します。

   6. [OK] を選択します。

   7. [保存] を選択します。

10. [Citrix ADC のセットアップ] セクションで、要件に基づいて適切な URL をコピーします。

    

Microsoft Entra テスト ユーザーを作成する

このセクションでは、B.Simon というテスト ユーザーを作成します。

1. Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
3. 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
4. [ユーザー] プロパティで、以下の手順を実行します。
   1. "表示名" フィールドに「B.Simon」と入力します。
   2. [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、「 B.Simon@contoso.com 」のように入力します。
   3. [パスワードを表示] チェック ボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
   4. [Review + create](レビュー + 作成) を選択します。
5. [作成] を選択します。

Microsoft Entra テスト ユーザーを割り当てる

このセクションでは、B. Simon に Citrix ADC へのアクセスを許可することで、このユーザーが Azure SSO を使用できるようにします。

1. [ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します。

2. アプリケーション リストで、 [Citrix ADC] を選択します。

3. アプリの概要の [管理] で、 [ユーザーとグループ] を選択します。

4. [ユーザーの追加] を選択します。 次に、 [割り当ての追加] ダイアログ ボックスで [ユーザーとグループ] を選択します。

5. [ユーザーとグループ] ダイアログ ボックスで、 [ユーザー] 一覧から [B.Simon] を選択します。 [選択] を選択します。

6. ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。 このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。

7. [割り当ての追加] ダイアログ ボックスで [割り当て] を選びます。

Citrix ADC の SSO の構成

構成したい認証の種類に対応する手順のリンクを選択してください。

• ヘッダーベースの認証用の Citrix ADC SSO の構成

• Kerberos ベースの認証用の Citrix ADC SSO の構成

Web サーバーを公開する

仮想サーバーを作成するには:

1. [Traffic Management](トラフィック管理)>[Load Balancing](負荷分散)>[Services](サービス) を選択します。

2. [追加] を選択します。

   

3. アプリケーションを実行している Web サーバーに対して、次の値を設定します。

   • サービス名

   • サーバー IP/ 既存のサーバー

   • プロトコル

   • ポート

     

ロード バランサーを構成します

ロード バランサーを構成するには:

1. [Traffic Management](トラフィック管理)>[Load Balancing](負荷分散)>[Virtual Servers](仮想サーバー) の順に移動します。

2. [追加] を選択します。

3. 下のスクリーンショットに示すように、次の値を設定します。

   • 名前
   • プロトコル
   • IP アドレス
   • [ポート]

4. [OK] を選択します。

   

仮想サーバーをバインドする

ロード バランサーを仮想サーバーにバインドするには:

1. [Services and Service Groups](サービスとサービス グループ) ペインで、 [No Load Balancing Virtual Server Service Binding](負荷分散仮想サーバー サービスのバインドなし) を選択します。

   

2. 設定が次のスクリーンショットのとおりであることを確認し、 [Close](閉じる) を選択します。

   

証明書をバインドする

このサービスを TLS として公開するには、サーバー証明書をバインドしてから自分のアプリケーションをテストします。

1. [Certificate](証明書) で、 [No Server Certificate](サーバー証明書なし) を選択します。

   

2. 設定が次のスクリーンショットのとおりであることを確認し、 [Close](閉じる) を選択します。

   

Citrix ADC SAML プロファイル

Citrix ADC SAML プロファイルを構成するには、次のセクションを完了します。

認証ポリシーを作成する

認証ポリシーを作成するには:

1. [Security](セキュリティ)>[AAA - Application Traffic](AAA - アプリケーション トラフィック)>[Policies](ポリシー)>[Authentication](認証)>[Authentication Policies](認証ポリシー) の順に移動します。

2. [追加] を選択します。

3. [Create Authentication Policy](認証ポリシーの作成) ペインで、次の値を入力または選択します。

   • Name:認証ポリシーの名前を入力します。
   • アクション:「SAML」と入力し、 [Add](追加) を選択します。
   • 式: 「true」と入力します。

   

4. ［作成］ を選択します

認証 SAML サーバーを作成する

認証 SAML サーバーを作成するには [Create Authentication SAML Server](認証 SAML サーバーの作成) ペインに移動し、次の手順を実行します。

1. [Name](名前) には、認証 SAML サーバーの名前を入力します。

2. [Export SAML Metadata](SAML メタデータのエクスポート) で:

   1. [Import Metadata](メタデータのインポート) チェック ボックスをオンにします。

   2. 前に自分がコピーした、Azure SAML UI のフェデレーション メタデータ URL を入力します。

3. [Issuer Name](発行者名) には、関連する URL を入力します。

4. ［作成］ を選択します

認証仮想サーバーを作成する

認証仮想サーバーを作成するには:

1. [Security](セキュリティ)>[AAA - Application Traffic](AAA - アプリケーション トラフィック)>[Policies](ポリシー)>[Authentication](認証)>[Authentication Virtual Servers](認証仮想サーバー) の順に移動します。

2. [Add](追加) を選択し、次の手順を実行します。

   1. [Name](名前) には、認証仮想サーバーの名前を入力します。

   2. [Non-Addressable](アドレス指定不可) チェック ボックスをオンにします。

   3. [Protocol](プロトコル) では、 [SSL] を選択します。

   4. [OK] を選択します。

   

Microsoft Entra ID を使用するため、認証仮想サーバーの構成

認証仮想サーバーの 2 つのセクションを変更します。

1. [Advanced Authentication Policies](高度な認証ポリシー) ペインで、 [No Authentication Policy](認証ポリシーなし) を選択します。

   

2. [Policy Binding](ポリシーのバインド) ペインで、認証ポリシーを選択し、 [Bind](バインド) を選択します。

   

3. [Form Based Virtual Servers](フォーム ベースの仮想サーバー) ペインで、 [No Load Balancing Virtual Server](負荷分散仮想サーバーなし) を選択します。

   

4. [認証 FQDN] には、完全修飾ドメイン名 (FQDN) を入力します (必須)。

5. Microsoft Entra 認証で保護したい負荷分散仮想サーバーを選択します。

6. [バインド] を選択します。

   

   注意

   [Authentication Virtual Server Configuration](認証仮想サーバーの構成) ペインでは、必ず [Done](完了) を選択してください。

7. 変更を確認するには、ブラウザーでアプリケーションの URL に移動します。 前に表示されていた非認証アクセスではなく、ご自分のテナントのサインイン ページが表示されます。

   

ヘッダーベースの認証用の Citrix ADC SSO の構成

Citrix ADC を構成する

ヘッダーベースの認証用に Citrix ADC を構成するには、次のセクションを完了します。

書き換えアクションを作成する

1. [AppExpert]>[Rewrite](書き換え)>[Rewrite Actions](書き換えアクション) の順に移動します。

   

2. [Add](追加) を選択し、次の手順を実行します。

   1. [Name](名前) には、書き換えアクションの名前を入力します。

   2. [Type](種類) には、「INSERT_HTTP_HEADER」と入力します。

   3. [Header Name](ヘッダー名) には、ヘッダー名を入力します (この例では、「SecretID」を使用します)。

   4. [式] には、「aaa.USER.ATTRIBUTE("mySecretID")」と入力します。ここで、mySecretID は Citrix ADC に送信された Microsoft Entra SAML 要求です。

   5. [作成] を選択します。

   

書き換えポリシーを作成する

1. [AppExpert]>[Rewrite](書き換え)>[Rewrite Policies](書き換えポリシー) の順に移動します。

   

2. [Add](追加) を選択し、次の手順を実行します。

   1. [Name](名前) には、書き換えポリシーの名前を入力します。

   2. [Action](アクション) には、前のセクションで作成した書き換えアクションを選択します。

   3. [Expression](式) には、「true」と入力します。

   4. ［作成］ を選択します

   

書き換えポリシーを仮想サーバーにバインドする

GUI を使用して書き換えポリシーを仮想サーバーにバインドするには:

1. [Traffic Management](トラフィック管理)>[Load Balancing](負荷分散)>[Virtual Servers](仮想サーバー) の順に移動します。

2. 仮想サーバーの一覧で、書き換えポリシーをバインドする仮想サーバーを選択し、 [Open](開く) を選択します。

3. [Load Balancing Virtual Server](負荷分散仮想サーバー) ペインの [Advanced Settings](詳細設定) で、 [Policies](ポリシー) を選択します。 NetScaler インスタンスに構成されているすべてのポリシーは、リストに表示されます。

4. この仮想サーバーにバインドするポリシーの名前の横にあるチェック ボックスをオンにします。

   

5. [Choose Type](種類の選択) ダイアログ ボックスで:

   1. [Choose Policy](ポリシーの選択) に [Traffic](トラフィック) を選択します。

   2. [Choose Type](種類の選択) に [Request](要求) を選択します。

   

6. [OK] を選択します。 ポリシーが正常に構成されたことを示すメッセージが、ステータス バーに表示されます。

要求から属性を抽出するよう SAML サーバーを変更する

1. [Security](セキュリティ)>[AAA - Application Traffic](AAA - アプリケーション トラフィック)>[Policies](ポリシー)>[Authentication](認証)>[Advanced Policies](高度なポリシー)>[Actions](アクション)>[Servers](サーバー) の順に移動します。

2. アプリケーションに適した認証 SAML サーバーを選択します。

   

3. [Attributes](属性) ペインで、抽出する SAML 属性をコンマで区切って入力します。 この例では、mySecretID 属性を入力します。

   

4. アクセスを確認するには、ブラウザーの URL で、 [ヘッダー コレクション] の下にある SAML 属性を探します。

   

Citrix ADC のテスト ユーザーの作成

このセクションでは、B.Simon というユーザーを Citrix ADC に作成します。 Citrix ADC では、Just-In-Time ユーザー プロビジョニングがサポートされています。この設定は既定で有効になっています。 このセクションには、ユーザー側で行うアクションはありません。 Citrix ADC にユーザーがまだ存在していない場合は、認証後に新しく作成されます。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

• [このアプリケーションをテストします] をクリックすると、ログイン フローを開始できる Citrix ADC のサインオン URL にリダイレクトされます。

• Citrix ADC のサインオン URL に直接移動し、そこからログイン フローを開始します。

• Microsoft マイ アプリを使用することができます。 マイ アプリで [Citrix ADC] タイルをクリックすると、Citrix ADC サインオン URL にリダイレクトされます。 マイ アプリの詳細については、マイ アプリの概要に関するページを参照してください。

次のステップ

Citrix ADC を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用することができます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。