製品ドキュメント
シトリックスクラウド™
PDFを表示

ストア認証用のSAMLプロバイダーとしてDuoを構成する

August 3, 2026
Author:  Mark Dear

この記事では、Duo SAMLアプリケーションと、Citrix Cloud™とSAMLプロバイダー間のSAML接続を構成するために必要な手順について説明します。これらの手順の一部は、Duo SAMLプロバイダーの管理コンソールで実行するアクションについて説明しています。

前提条件

この記事のタスクを完了する前に、以下の前提条件を満たしていることを確認してください。

  • Duoクラウドテナント。
  • ADフォレスト内のDuo認証プロキシ。
  • DuoにADユーザーを同期するアクティブディレクトリLDAPS接続。

Active DirectoryのDuoテナントへの同期を構成する

Duoのドキュメント「オンプレミスADをDuoに接続し、SAMLユーザーをインポートする」に従ってください。

アクティブディレクトリLDAPS接続を作成する

  1. 「アプリケーション > SSO設定 > ソースの追加 > Active Directory > Active Directoryの追加」を選択します。

    SAML Duo認証ソースの追加

  2. ADフォレストへのLDAPS接続の表示名を入力します。

  3. ドメインコントローラーのFQDNを入力します。

    SAML デュオにDCのFQDNを追加

  4. ADドメインのベースDNを構成します。

    SAML デュオ ベースDN(/ja-jp/citrix-cloud/media/saml-duo-base-dn.png)

  5. 認証タイプとして「統合」を選択します。

    SAML デュオ 認証タイプ(/ja-jp/citrix-cloud/media/saml-duo-auth-type.png)

  6. トランスポートタイプとして「LDAPS」を選択します。

    SAML Duo トランスポートタイプ(/ja-jp/citrix-cloud/media/saml-duo-transport-type.png)

  7. 「SSL ホスト名の検証」にチェックを入れます。

  8. ドメインコントローラー証明書と、ドメイン証明書の署名に使用されたプライベートエンタープライズ証明機関CA証明書の両方を入力します。

  9. 以下の例に従って、PEM形式の証明書を入力します。

    -----BEGIN CERTIFICATE-----
`<base64 Domain Controller Certificate>`
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
`<base64 Certificate Authority Certificate used to sign the Domain Controller Certificate above>`
-----END CERTIFICATE-----
<!--NeedCopy-->

  10. LDAPS接続をテストします。

    SAML Duo テストの実行(/ja-jp/citrix-cloud/media/saml-duo-run-tests.png)

SAML用にDuo認証プロキシ構成ファイルを構成します

  1. Duo認証プロキシの構成が正常であり、Duoに接続済みと表示されていることを確認します。

    SAML Duo 認証プロキシ(/ja-jp/citrix-cloud/media/saml-duo-auth-proxy.png)

  2. Duo認証プロキシにログインし、Duo管理コンソールから提供されるリモートID (rikey) を使用して、その構成ファイルにSAML [sso] セクションを追加します。Duo Authentication Proxyは、共有シークレットを使用してDuoクラウドサービスと通信します。このシークレットは、Authentication Proxyの初期インストールまたは構成中に生成されます。

    SAML Duo認証プロキシ設定(/ja-jp/citrix-cloud/media/saml-duo-auth-proxy-config.png)

ストアで使用するDuo SAMLアプリケーションを構成する

  1. アプリケーション > アプリケーションの保護 を選択します。アプリケーションの追加 をクリックします。

  2. Generic SAML Service Provider Duoアプリテンプレートのエントリを見つけます。Citrix®は、Generic SAML Service Provider Duoテンプレートが最も柔軟であり、ニーズに応じてSAML属性のさまざまな組み合わせや、さまざまなSAMLフローを構成できるため、このテンプレートを推奨します。

    SAML Duo汎用SAMLサービスプロバイダー(/ja-jp/citrix-cloud/media/saml-duo-generic-saml-service-provider.png)

    重要:

    Duo Citrix Workspace SAMLテンプレートは、柔軟性がなく、AD IDを使用したSAMLのみをサポートするため、使用は推奨されません。Duo Citrix Workspace SAMLテンプレートでは、一部の高度なM&A SAML構成に必要となるcip_domainやcip_forestのようなオプション属性の追加も許可されません。また、Citrix Cloudログアウトエンドポイントの構成も許可されません。

  3. SAMLアプリケーションの表示名を、Citrix Cloud Prod のように指定します。

  4. ユーザーアクセスを、すべてのユーザーに対して有効にする のように指定します。

  5. メタデータ検出 内で なし (手動入力) を選択し、以下のCitrix Cloud SAMLエンドポイントを入力します。

  6. CCテナントが存在するCitrix Cloudリージョンに応じて、EntityIDを入力します。

    URL リージョン
    https://saml.cloud.com 商用EU、米国、およびAPS
    https://saml.citrixcloud.jp JP
    https://saml.cloud.us GOV

  7. お使いのCCテナントが存在するCitrix Cloudリージョンに従って、シングルサインオンURL (ACS URL) を構成します。

    URL リージョン
    https://saml.cloud.com/saml/acs 商用 EU、米国、および APS
    https://saml.citrixcloud.jp/saml/acs JP
    https://saml.cloud.us/saml/acs GOV

  8. お使いのCCテナントが存在するCitrix Cloudリージョンに従って、シングルログアウトURL を構成します。

    URL リージョン
    https://saml.cloud.com/saml/logout/callback 商用 EU、米国、および APS
    https://saml.citrixcloud.jp/samllogout/callback JP
    https://saml.cloud.us/saml/samllogout/callback GOV

  9. サービスプロバイダーログインURL は必須ではなく、空のままにできます。

  10. デフォルトリレーステート は必須ではなく、空のままにできます。

    SAML Duo サービスプロバイダー

  11. 名前ID形式 を 未指定 に構成します。

  12. 名前ID属性 を userPrincipalName (大文字と小文字を区別) に構成します。

  13. 署名アルゴリズム を SHA256 に構成します。

  14. 署名オプション を 応答に署名 に構成します。

  15. アサーション暗号化 を 無効 に構成します。

    SAML Duo SAML応答のスクリーンショット

  16. 属性のマップを、左側にDuoブリッジ属性、右側にCitrix Cloud SAMLクレーム名で設定します。

    SAML Duo属性マッピング(/ja-jp/citrix-cloud/media/saml-duo-attribute-mappings.png)

    重要:

    Duoブリッジ属性（左）とSAML属性クレーム名（右）は、大文字と小文字が区別されます。Citrix Cloud SAML接続内で構成されているものと一致する必要があるのは、右側のクレーム名です。

Citrix Cloud SAML接続の構成手順について

  1. すべてのCitrixログオンフローは、ストアURLまたはCitrix Cloud GO URLのいずれかを使用して、サービスプロバイダーによって開始される必要があります。

  2. IDおよびアクセス管理 > 認証 > IDプロバイダーの追加 > SAML内で、SAML接続にはデフォルトの推奨値を使用します。

  3. Duo Active Directory SyncドキュメントにアクセスしてDuoポータルから、Citrix Cloud SAML接続に入力するDuo SAMLアプリケーションのSAMLエンドポイントを取得します。

    SAML DuoのDuoエンドポイント

    Citrix Cloudのこのフィールドで この値を入力します
    エンティティID https://sso-<id>.sso.duosecurity.com/saml2/sp/<samlappID>/metadata
    認証要求の署名 はい
    SSOサービスのアドレス https://sso-<id>.sso.duosecurity.com/saml2/sp/<samlappID>/sso
    SSOバインディングメカニズム HTTPポスト
    SAMLレスポンス 応答またはアサーションのいずれかに署名
    認証コンテキスト 未指定、正確
    ログアウトURL https://sso-<id>.sso.duosecurity.com/saml2/sp/<samlappID>/slo
    ログアウトリクエストに署名 はい
    SLOバインディングメカニズム HTTPポスト

Duo SAML ログアウトの動作

この記事の執筆時点では、Duo SAML は SAML SLO を現在サポートしていませんが、ユーザーがストアやCitrix Cloudから明示的にログアウトしたときに、DuoがIDPセッションを終了するように構成することは可能です。Duo SAMLアプリケーションのログアウト設定を構成する前に、メインのSAML記事にある「SAMLログアウトに関する考慮事項」セクションsaml logout considerationsを読むことをお勧めします。

重要:

DuoのドキュメントDuo SSOログアウト動作とセッション管理の詳細から引用。

Users that decide to log out and hit the SLO URL for Duo SSO will be logged out of Duo SSO and have their MFA remembered devices session deleted before redirecting them to the logout page。

エンドユーザーがストアやCitrix CloudからログアウトしたときにDuo IDPセッションの明示的なログアウトを構成するには、以下の推奨手順に従ってください。

  1. Duo SAMLアプリ内でCitrix Cloud SAMLログアウトエンドポイントを構成します。

    SAML デュオ シーシー ログアウト

  2. Citrix Cloud SAML接続内でDuo SLOエンドポイントを構成します。

    重要:

    Generic SAML Provider Duoアプリテンプレートを使用していない場合、Citrix Cloudログアウトエンドポイントを入力するオプションが利用できないため、この手順を完了できません。

    Saml Duo CC接続ログアウト

  3. 手順1および2に従ってSAML接続の両側でログアウトが構成されている状態でストアからログアウトすると、DuoによってIDPセッションが終了したことを示す以下のUIが表示されます。

    SAML デュオ ログアウトUI

  4. オプション: ストアのエンドユーザーのログアウトエクスペリエンスを向上させるため、単一のLogout Redirect URLを使用してDuo LDAPS接続を構成することが可能です。これにより、エンドユーザーはストアのログオンページにリダイレクトされます。これは、ADフォレストのLDAPS接続内で実行されます。

    SAML DuoログアウトのリダイレクトURL

    重要:

    上記に示されているログアウトのリダイレクトURLフィールドでは、単一のストアURLの構成のみが許可されます。Citrix Cloudテナント内で複数の異なるストアURLを使用することは、Duoの単一のActive Directoryフォレスト接続内で構成することはできません。

ストア認証用のSAMLプロバイダーとしてDuoを構成する
August 3, 2026
Author:  Mark Dear
August 3, 2026
Author:  Mark Dear

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.