ストア認証用のSAMLプロバイダーとしてADFSを構成する
この記事では、SAMLを使用してストアまたはCitrix CloudにサインインするためにCitrix Cloud™が必要とする証明書利用者信頼を構成する方法について説明します。
この記事の手順を完了すると、(/ja-jp/citrix-cloud/citrix-cloud-management/identity-access-management/saml-identity.html)で説明されているように、ADFSサーバーとCitrix Cloud間のSAML接続を構成できます。SAML接続に正しいADFS値を入力するためのガイダンスについては、この記事の(#saml-configuration-in-citrix-cloud)を参照してください。
前提条件
この記事の手順は、環境内にCitrix FASが導入された動作中のADFSサーバーがあることを前提としています。Citrix FASは、セッション起動時にVDAへのシングルサインオンを提供するために必要です。
詳細については、以下の記事を参照してください。
- Citrix FASドキュメント:
- Citrix Tech Zone: リファレンスアーキテクチャ: フェデレーション認証サービス
Citrix Cloudの証明書利用者信頼を構成する
- AD FS管理コンソールで、左ペインのAD FSノードを展開します。
-
証明書利用者信頼を右クリックし、証明書利用者信頼の追加を選択します。
証明書利用者信頼の追加ウィザードが表示されます。
-
「クレーム対応」を選択し、次に「次へ」を選択します。
-
「フェデレーションメタデータアドレス」に
https://saml.cloud.com/saml/metadata.xmlを入力します。「次へ」を選択します。
-
表示名に
CitrixCloudProdを入力します。「次へ」を選択します。
-
アクセス制御ポリシーには、「全員を許可」を選択します。「次へ」を選択します。
- 「信頼の追加準備完了」画面で、「次へ」を選択します。
-
「完了」画面で、「このアプリケーションのクレーム発行ポリシーを構成する」を選択します。「次へ」を選択します。
- 新しく作成した証明書利用者信頼を右クリックし、「クレーム発行ポリシーの編集」を選択します。
- 「規則の追加」をクリックし、「LDAP属性をクレームとして送信」を選択します。「次へ」を選択します。
- 「クレーム規則名」に
CitrixCloudを入力します。 - 「属性ストア」で、「Active Directory」を選択します。
-
「LDAP属性を送信要求の種類にマッピング」の下で、以下に示すLDAP属性を正確に追加します。
エルダップ属性 送信要求の種類 ユーザープリンシパル名 名前ID ユーザープリンシパル名 シーアイピーアン 表示名 表示名 ファーストネーム ファーストネーム 姓 ファミリーネーム 重要:
NameIDは常に要求リストに追加される最初の要求である必要があります。そうしないと、シングルログアウト (SLO) が正しく機能しません。
-
完了を選択します。
-
新しく作成された「CitrixCloudProd」という名前の証明書利用者信頼を右クリックし、プロパティを選択します。
-
エンドポイントタブを選択し、SAMLの追加をクリックします。
-
エンドポイントタイプのドロップダウンリストからSAMLログアウトを選択します。
-
バインディングのドロップダウンリストからPOSTを選択します。
-
https://saml.cloud.com/saml/logout/callback>を信頼済みURL: と応答URL: の両方に入力します。
- OKと適用をクリックします。
PowerShellを使用してCitrix Cloud証明書利用者信頼を変更する
ADFSサーバーをデフォルトの「既成の」構成で構成している場合、このセクションの手順に従って、Citrixが推奨する構成を満たすように更新できます。このタスクは、nameidentifier属性がクレームルールセットに含まれていない場合、またはクレームルールセットの最初のSAML属性ではない場合に、Citrix CloudまたはストアからのSAMLシングルログアウトが失敗する問題を解決するために必要です。
注：
この記事のCitrix Cloudの証明書利用者信頼を構成するの手順を使用してクレームルールセットを作成した場合は、このタスクを実行する必要はありません。
このタスクを完了するには、PowerShellを使用して、既存のルールセットを新しいクレームルールセットに置き換えます。ADFS管理コンソールは、この種の操作をサポートしていません。
- ADFSサーバーでPowerShell ISEを見つけます。右クリックして管理者として実行を選択します。
-
既存のADFSクレームルールをテキストファイルにバックアップします。
Get-ADFSRelyingPartyTrust -name "CitrixCloudProd" | Select-Object -ExpandProperty IssuanceTransformRules | Out-File "$env:USERPROFILE\desktop\claimrulesbackup.txt" <!--NeedCopy--> - Citrixが提供するclaimrules.txtファイルを(https://github.com/citrix/sample-scripts/tree/master/citrix-cloud)からダウンロードします。
- claimrules.txtファイルをデスクトップにコピーします。
-
claimrules.txtファイルを使用して、必要なクレームルールをインポートします。
Set-ADFSRelyingPartyTrust -Name "CitrixCloudProd" ` -MetadataUrl "https://saml.cloud.com/saml/metadata" ` -AutoUpdateEnabled $True ` -IssuanceTransformRulesFile "$env:USERPROFILE\desktop\claimrules.txt" ` -SignedSamlRequestsRequired $True ` -SamlResponseSignature "MessageAndAssertion" ` -Enabled $True <!--NeedCopy-->
PowerShellを使用して、証明書利用者信頼のSAML署名設定を更新する
デフォルトでは、ADFS証明書利用者信頼には次の設定があります。
- クレームの暗号化: 有効
- 署名付きSAMLリクエストの必須化: 無効
- SAML応答署名: アサーションのみ
セキュリティを強化するため、Citrixではシングルサインオン (SSO) とシングルログアウトの両方に署名付きSAML要求を使用することをお勧めします。このセクションでは、PowerShellを使用して既存の証明書利用者信頼の署名設定をCitrix推奨構成に適合するように更新する方法について説明します。
-
ADFSサーバーで現在のRelyingPartyTrust構成を取得します。
Get-ADFSRelyingPartyTrust -TargetName "CitrixCloudProd" <!--NeedCopy--> -
CitrixCloudProd証明書利用者信頼設定を更新します。
Set-ADFSRelyingPartyTrust -Name "CitrixCloudProd" ` -SignedSamlRequestsRequired $True ` -SamlResponseSignature "MessageAndAssertion" <!--NeedCopy-->
シトリックスクラウドでのSAML構成
Citrix CloudでSAML接続を構成する際（(/ja-jp/citrix-cloud/citrix-cloud-management/identity-access-management/saml-identity.html#add-saml-provider-metadata-to-citrix-cloud)で説明）、ADFSの値を次のように入力します。
IDおよびアクセス管理 > 認証 > IDプロバイダーの追加 > SAML内のSAML接続には、デフォルトの推奨値を使用します。
| Citrix Cloud のこのフィールドに | この値を入力します |
|---|---|
| エンティティ ID |
https://adfs.YourDomain.com/adfs/services/trust。YourDomain.com は ADFS サーバーのドメインです。 |
| 認証要求に署名 | はい |
| シングルサインオンサービスURL |
https://adfs.YourDomain.com/adfs/ls。YourDomain.com は ADFS サーバーのドメインです。 |
| SSO バインディングメカニズム | HTTP ポスト |
| SAML レスポンス | 応答またはアサーションのいずれかに署名 |
| 認証コンテキスト | 未指定、正確 |
| ログアウト URL |
https://adfs.YourDomain.com/adfs/ls。ここで、YourDomain.comはADFSサーバーのドメインです。 |
| ログアウト要求に署名 | はい |
| SLOバインディングメカニズム | HTTP ポスト |
MMC ADFS管理コンソール内からADFS署名証明書をエクスポートします。SAML接続内でCitrix Cloudにアップロードする3つの証明書のうち、どれが正しいかについては、以下のスクリーンショットを参照してください。
ADFSのエクスポート(/ja-jp/citrix-cloud/media/export-adfs.png)