Share via

チュートリアル: Microsoft Entra シングル サインオンと Citrix ADC SAML Connector for Microsoft Entra ID の統合 (Kerberos ベースの認証)

  • [アーティクル]

このチュートリアルでは、Citrix ADC SAML Connector for Microsoft Entra ID と Microsoft Entra ID を統合する方法について説明します。 Citrix ADC SAML Connector for Microsoft Entra ID と Microsoft Entra ID を統合すると、次のことができます。

  • Microsoft Entra ID で、Citrix ADC SAML Connector for Microsoft Entra ID にアクセスできるユーザーを制御する。
  • ユーザーが自分の Microsoft Entra アカウントを使用して Citrix ADC SAML Connector for Microsoft Entra ID に自動的にサインインできるようにする。
  • 1 つの場所でアカウントを管理します。

前提条件

開始するには、次が必要です。

  • Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウントを取得できます。
  • Citrix ADC SAML Connector for Microsoft Entra シングル サインオン (SSO) が有効なサブスクリプション。

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra の SSO を構成してテストします。 チュートリアルには、これらのシナリオが含まれています。

Citrix ADC SAML Connector for Microsoft Entra ID と Microsoft Entra ID を統合するには、まず Citrix ADC SAML Connector for Microsoft Entra ID をギャラリーからマネージド SaaS アプリの一覧に追加します。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] に移動します。

  3. [ギャラリーから追加する] セクションで、検索ボックスに「Citrix ADC SAML Connector for Microsoft Entra ID」と入力します。

  4. 結果から [Citrix ADC SAML Connector for Microsoft Entra ID] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細をご覧ください。

Citrix ADC SAML Connector for Microsoft Entra ID 用の Microsoft Entra SSO を構成してテストする

B.Simon という名前のテスト ユーザーを使用して、Citrix ADC SAML Connector for Microsoft Entra ID で Microsoft Entra SSO を構成してテストします。 SSO が機能するには、Microsoft Entra ユーザーと Citrix ADC SAML Connector for Microsoft Entra ID の関連ユーザーの間にリンク関係を確立する必要があります。

Citrix ADC SAML Connector for Microsoft Entra ID で Microsoft Entra SSO を構成してテストするには、次の手順を実行します。

  1. Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。

    1. Microsoft Entra テスト ユーザーの作成 - B.Simon を使用して Microsoft Entra SSO をテストします。

    2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra SSO を使用できるようにします。

  2. Citrix ADC SAML Connector for Microsoft Entra SSO を構成する - アプリケーション側で SSO 設定を構成します。

    1. Citrix ADC SAML Connector for Microsoft Entra テスト ユーザーを作成する - Citrix ADC SAML Connector for Microsoft Entra ID に、Microsoft Entra の B.Simon を表すユーザーにリンクされた対応ユーザーを作成します。

  3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

Azure portal を使用して Microsoft Entra SSO を有効にするには、以下の手順を実行します。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Citrix ADC SAML Connector for Microsoft Entra ID] アプリケーション統合ペインの順に移動し、[管理] で [シングル サインオン] を選択します。

  3. [シングル サインオン方式の選択] ペインで、 [SAML] を選択します。

  4. [SAML によるシングル サインオンのセットアップ] ペインで、 [基本的な SAML 構成] の鉛筆アイコンを選択して設定を編集します。

    Screenshot shows to edit Basic SAML Configuration.

  5. [基本的な SAML 構成] セクションで、アプリケーションを IDP Initiated モードで構成するには、次の手順を実行します。

    1. [識別子] テキスト ボックスに、https://<YOUR_FQDN> の形式で URL を入力します。

    2. [応答 URL] テキスト ボックスに、http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth の形式で URL を入力します。

  6. アプリケーションを SP 開始モードで構成するには、 [追加の URL を設定します] を選択して、次の手順を実行します。

    • [サインオン URL] テキスト ボックスに、https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx の形式で URL を入力します。

    注意

    • このセクションで使用される URL は、実際の値ではありません。 これらの値は、実際の識別子、応答 URL、サインオン URL の値で更新してください。 これらの値を取得するには、Citrix ADC SAML Connector for Microsoft Entra クライアント サポート チームにお問い合わせください。 [基本的な SAML 構成] セクションに示されているパターンを参照することもできます。
    • SSO を設定するには、パブリック Web サイトから URL にアクセスできる必要があります。 Microsoft Entra ID が構成済みの URL でトークンをポストできるようにするには、Citrix ADC SAML Connector for Microsoft Entra ID 側でファイアウォールまたはその他のセキュリティ設定を有効にする必要があります。

  7. [SAML でシングル サインオンをセットアップします] ペインの [SAML 署名証明書] セクションで、 [アプリのフェデレーション メタデータ URL] を見つけ、URL をコピーしてメモ帳に保存します。

    Screenshot shows the Certificate download link.

  8. [Citrix ADC SAML Connector for Microsoft Entra ID の設定] セクションで、要件に基づいて関連する URL をコピーします。

    Screenshot shows to copy configuration URLs.

Microsoft Entra テスト ユーザーを作成する

このセクションでは、B.Simon というテスト ユーザーを作成します。

  1. Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
  2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
  3. 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
  4. [ユーザー] プロパティで、以下の手順を実行します。
    1. "表示名" フィールドに「B.Simon」と入力します。
    2. [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、「 B.Simon@contoso.com 」のように入力します。
    3. [パスワードを表示] チェック ボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
    4. [Review + create](レビュー + 作成) を選択します。
  5. [作成] を選択します。

Microsoft Entra テスト ユーザーを割り当てる

このセクションでは、B.Simon に Citrix ADC SAML Connector for Microsoft Entra ID へのユーザー アクセスを許可することによって、このユーザーが Azure SSO を使用できるようにします。

  1. [ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します。

  2. アプリケーションの一覧で、[Citrix ADC SAML Connector for Microsoft Entra ID] を選択します。

  3. アプリの概要の [管理] で、 [ユーザーとグループ] を選択します。

  4. [ユーザーの追加] を選択します。 次に、 [割り当ての追加] ダイアログ ボックスで [ユーザーとグループ] を選択します。

  5. [ユーザーとグループ] ダイアログ ボックスで、 [ユーザー] 一覧から [B.Simon] を選択します。 [選択] を選択します。

  6. ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。 このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。

  7. [割り当ての追加] ダイアログ ボックスで [割り当て] を選びます。

Citrix ADC SAML Connector for Microsoft Entra SSO を構成する

構成したい認証の種類に対応する手順のリンクを選択してください。

Web サーバーを公開する

仮想サーバーを作成するには:

  1. [Traffic Management](トラフィック管理)>[Load Balancing](負荷分散)>[Services](サービス) を選択します。

  2. [追加] を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Services pane.

  3. アプリケーションを実行している Web サーバーに対して、次の値を設定します。

    • サービス名
    • サーバー IP/ 既存のサーバー
    • プロトコル
    • [ポート]

ロード バランサーを構成します

ロード バランサーを構成するには:

  1. [Traffic Management](トラフィック管理)>[Load Balancing](負荷分散)>[Virtual Servers](仮想サーバー) の順に移動します。

  2. [追加] を選択します。

  3. 下のスクリーンショットに示すように、次の値を設定します。

    • 名前
    • プロトコル
    • IP アドレス
    • [ポート]

  4. [OK] を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Basic Settings pane.

仮想サーバーをバインドする

ロード バランサーを仮想サーバーにバインドするには:

  1. [Services and Service Groups](サービスとサービス グループ) ペインで、 [No Load Balancing Virtual Server Service Binding](負荷分散仮想サーバー サービスのバインドなし) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Service Binding pane.

  2. 設定が次のスクリーンショットのとおりであることを確認し、 [Close](閉じる) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Verify the virtual server services binding.

証明書をバインドする

このサービスを TLS として公開するには、サーバー証明書をバインドしてから自分のアプリケーションをテストします。

  1. [Certificate](証明書) で、 [No Server Certificate](サーバー証明書なし) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Server Certificate pane.

  2. 設定が次のスクリーンショットのとおりであることを確認し、 [Close](閉じる) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Verify the certificate.

Citrix ADC SAML Connector for Microsoft Entra SAML のプロファイル

Citrix ADC SAML Connector for Microsoft Entra SAML のプロファイルを構成するには、以降のセクションを完了します。

認証ポリシーを作成する

認証ポリシーを作成するには:

  1. [Security](セキュリティ)>[AAA - Application Traffic](AAA - アプリケーション トラフィック)>[Policies](ポリシー)>[Authentication](認証)>[Authentication Policies](認証ポリシー) の順に移動します。

  2. [追加] を選択します。

  3. [Create Authentication Policy](認証ポリシーの作成) ペインで、次の値を入力または選択します。

    • Name:認証ポリシーの名前を入力します。
    • アクション:「SAML」と入力し、 [Add](追加) を選択します。
    • 式: 「true」と入力します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Create Authentication Policy pane.

  4. [作成] を選択します。

認証 SAML サーバーを作成する

認証 SAML サーバーを作成するには [Create Authentication SAML Server](認証 SAML サーバーの作成) ペインに移動し、次の手順を実行します。

  1. [Name](名前) には、認証 SAML サーバーの名前を入力します。

  2. [Export SAML Metadata](SAML メタデータのエクスポート) で:

    1. [Import Metadata](メタデータのインポート) チェック ボックスをオンにします。

    2. 前に自分がコピーした、Azure SAML UI のフェデレーション メタデータ URL を入力します。

  3. [Issuer Name](発行者名) には、関連する URL を入力します。

  4. [作成] を選択します。

Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Create Authentication SAML Server pane.

認証仮想サーバーを作成する

認証仮想サーバーを作成するには:

  1. [Security](セキュリティ)>[AAA - Application Traffic](AAA - アプリケーション トラフィック)>[Policies](ポリシー)>[Authentication](認証)>[Authentication Virtual Servers](認証仮想サーバー) の順に移動します。

  2. [Add](追加) を選択し、次の手順を実行します。

    1. [Name](名前) には、認証仮想サーバーの名前を入力します。

    2. [Non-Addressable](アドレス指定不可) チェック ボックスをオンにします。

    3. [Protocol](プロトコル) では、 [SSL] を選択します。

    4. [OK] を選択します。

  3. 続行を選択します。

Microsoft Entra ID を使用するように認証仮想サーバーを構成する

認証仮想サーバーの 2 つのセクションを変更します。

  1. [Advanced Authentication Policies](高度な認証ポリシー) ペインで、 [No Authentication Policy](認証ポリシーなし) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Advanced Authentication Policies pane.

  2. [Policy Binding](ポリシーのバインド) ペインで、認証ポリシーを選択し、 [Bind](バインド) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policy Binding pane

  3. [Form Based Virtual Servers](フォーム ベースの仮想サーバー) ペインで、 [No Load Balancing Virtual Server](負荷分散仮想サーバーなし) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Form Based Virtual Servers pane.

  4. [Authentication FQDN](認証 FQDN) には、完全修飾ドメイン名 (FQDN) を入力します (必須)。

  5. Microsoft Entra 認証で保護したい負荷分散仮想サーバーを選択します。

  6. バインドを選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Binding pane.

    Note

    [Authentication Virtual Server Configuration](認証仮想サーバーの構成) ペインでは、必ず [Done](完了) を選択してください。

  7. 変更を確認するには、ブラウザーでアプリケーションの URL に移動します。 前に表示されていた非認証アクセスではなく、ご自分のテナントのサインイン ページが表示されます。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - A sign-in page in a web browser.

Kerberos ベースの認証用に Citrix ADC SAML Connector for Microsoft Entra SSO を構成する

Citrix ADC SAML Connector for Microsoft Entra ID 用の Kerberos 委任アカウントを作成する

  1. ユーザー アカウントを作成します (この例では AppDelegation を使用します)。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Properties pane.

  2. このアカウントに HOST SPN を設定します。

    例: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

    次の点に注意してください。

    • IDENTT.WORK はドメインの FQDN です。
    • identt はドメインの NetBIOS 名です。
    • appdelegation は委任ユーザー アカウント名です。

  3. 次のスクリーンショットに示すように、Web サーバーの委任を構成します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Delegation under Properties pane.

    Note

    スクリーンショットの例では、Windows 統合認証 (WIA) サイトを実行する内部 Web サーバーの名前は CWEB2 になっています。

Citrix ADC SAML Connector for Microsoft Entra AAA KCD (Kerberos 委任アカウント)

Citrix ADC SAML Connector for Microsoft Entra AAA KCD アカウントを構成するには、次の手順を実行します。

  1. [Citrix Gateway](Citrix ゲートウェイ)>[AAA KCD (Kerberos Constrained Delegation) Accounts](AAA KCD (Kerberos 制約付き委任) アカウント) に移動します。

  2. [Add](追加) を選択し、次の値を入力または選択します。

    • Name:KCD アカウントの名前を入力します。

    • [Realm](領域) : ドメインと拡張子を大文字で入力します。

    • [Service SPN](サービス SPN) : http/<host/fqdn>@<DOMAIN.COM>。

      注意

      @DOMAIN.COM は必須です。また、大文字にする必要があります。 例: http/cweb2@IDENTT.WORK.

    • [Delegated User](委任されたユーザー) : 委任されたユーザーの名前を入力します。

    • [Password for Delegated User](委任されたユーザーのパスワード) チェック ボックスをオンにし、パスワードの指定と確認入力を行います。

  3. [OK] を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure KCD Account pane

Citrix トラフィック ポリシーおよびトラフィック プロファイル

Citrix トラフィック ポリシーおよびトラフィック プロファイルを構成するには、次の手順を実行します。

  1. [Security](セキュリティ)>[AAA - Application Traffic](AAA - アプリケーション トラフィック)>[Policies](ポリシー)>[Traffic Policies, Profiles and Form SSO ProfilesTraffic Policies](トラフィック ポリシー、プロファイル、およびフォーム SSO プロファイルのトラフィック ポリシー) の順に移動します。

  2. [Traffic Profiles](トラフィック プロファイル) を選択します。

  3. [追加] を選択します。

  4. トラフィック プロファイルを構成するには、次の値を入力または選択します。

    • Name:トラフィック プロファイルの名前を入力します。

    • [Single Sign-on](シングル サインオン) : [ON](オン) を選択します。

    • [KCD Account](KCD アカウント) : 前のセクションで作成した KCD アカウントを選択します。

  5. [OK] を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure Traffic Profile pane.

  6. [Traffic Policy](トラフィック ポリシー) を選択します。

  7. [追加] を選択します。

  8. トラフィック ポリシーを構成するには、次の値を入力または選択します。

    • Name:トラフィック ポリシーの名前を入力します。

    • プロファイル:前のセクションで作成したトラフィック プロファイルを選択します。

    • 式: 「true」と入力します。

  9. [OK] を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure Traffic Policy pane

Citrix でトラフィック ポリシーを仮想サーバーにバインドする

GUI を使用してトラフィック ポリシーを仮想サーバーにバインドするには、次の手順を実行します。

  1. [Traffic Management](トラフィック管理)>[Load Balancing](負荷分散)>[Virtual Servers](仮想サーバー) の順に移動します。

  2. 仮想サーバーの一覧で、書き換えポリシーをバインドする仮想サーバーを選択し、 [Open](開く) を選択します。

  3. [Load Balancing Virtual Server](負荷分散仮想サーバー) ペインの [Advanced Settings](詳細設定) で、 [Policies](ポリシー) を選択します。 自分の NetScaler インスタンス用に構成されているすべてのポリシーが、一覧に表示されます。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server pane.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policies dialog box.

  4. この仮想サーバーにバインドするポリシーの名前の横にあるチェック ボックスをオンにします。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Traffic Policy Binding pane.

  5. [Choose Type](種類の選択) ダイアログ ボックスで:

    1. [Choose Policy](ポリシーの選択) に [Traffic](トラフィック) を選択します。

    2. [Choose Type](種類の選択) に [Request](要求) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Choose Type pane.

  6. ポリシーをバインドしたら、 [Done](完了) を選択します。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policies pane.

  7. WIA Web サイトを使用してバインドをテストします。

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - A test page in a web browser

Citrix ADC SAML Connector for Microsoft Entra テスト ユーザーを作成する

このセクションでは、Citrix ADC SAML Connector for Microsoft Entra ID に B.Simon という名前のユーザーが作成されます。 Citrix ADC SAML Connector for Microsoft Entra ID では、既定で有効になる Just-In-Time ユーザー プロビジョニングがサポートされています。 このセクションには、ユーザー側で行うアクションはありません。 Citrix ADC SAML Connector for Microsoft Entra ID にユーザーがまだ存在していない場合は、新しいユーザーが認証の後に作成されます。

Note

ユーザーを手動で作成する必要がある場合は、Citrix ADC SAML Connector for Microsoft Entra クライアント サポート チームにお問い合わせください。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

  • [このアプリケーションをテストする] をクリックすると、ログイン フローを開始できる Citrix ADC SAML Connector for Microsoft Entra のサインオン URL にリダイレクトされます。

  • Citrix ADC SAML Connector for Microsoft Entra のサインオン URL に直接移動し、そこからログイン フローを開始します。

  • Microsoft マイ アプリを使用することができます。 [マイ アプリ] で [Citrix ADC SAML Connector for Microsoft Entra ID] タイルをクリックすると、Citrix ADC SAML Connector for Microsoft Entra のサインオン URL にリダイレクトされます。 マイ アプリの詳細については、マイ アプリの概要に関するページを参照してください。

次のステップ

Citrix ADC SAML Connector for Microsoft Entra ID を構成すると、組織の機密データを流出や侵入からリアルタイムで保護するセッション制御を適用できます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。