認証機能

Citrix Workspaceアプリ2012以降、Citrix Workspaceアプリ内で認証ダイアログを表示し、サインイン画面に詳細を保存できます。この機能強化により、ユーザーエクスペリエンスが向上します。

認証トークンは暗号化されて保存されるため、システムまたはセッションが再起動しても資格情報を再入力する必要はありません。

注:

この認証機能強化は、クラウド展開でのみ利用可能です。

前提条件:

libsecretライブラリをインストールします。

この機能はデフォルトで有効になっています。

Storebrowseの認証機能強化

バージョン2205以降、認証ダイアログはCitrix Workspaceアプリ内に表示され、ストアの詳細はログオン画面に表示されるため、ユーザーエクスペリエンスが向上します。認証トークンは暗号化されて保存されるため、システムまたはセッションが再起動しても資格情報を再入力する必要はありません。

認証機能強化は、以下の操作でstorebrowseをサポートします。

• Storebrowse -E: 利用可能なリソースを一覧表示します。
• Storebrowse -L: 公開されたリソースへの接続を起動します。
• Storebrowse -S: サブスクライブされたリソースを一覧表示します。
• Storebrowse -T: 指定されたストアのすべてのセッションを終了します。
• Storebrowse -Wr: 指定されたストアの切断されているがアクティブなセッションを再接続します。[r] オプションは、切断されているすべてのセッションを再接続します。
• storebrowse -WR: 指定されたストアの切断されているがアクティブなセッションを再接続します。[R] オプションは、すべてのアクティブおよび切断されているセッションを再接続します。
• Storebrowse -s: 指定されたリソースを特定のストアからサブスクライブします。
• Storebrowse -u: 指定されたリソースを特定のストアからサブスクライブ解除します。
• Storebrowse -q: 直接URLを使用してアプリケーションを起動します。このコマンドはStoreFrontストアでのみ機能します。

注:

• 残りのstorebrowseコマンドは、以前と同様に（AuthMangerDaemonを使用して）引き続き使用できます。
• この認証機能強化は、クラウド展開にのみ適用されます。
• この機能強化により、永続ログイン機能がサポートされます。

Azure ADで200を超えるグループのサポート

2305リリース以降、200を超えるグループに属するAzure ADユーザーは、自身に割り当てられたアプリとデスクトップを表示できるようになりました。以前は、同じユーザーはこれらのアプリとデスクトップを表示できませんでした。

この機能を有効にするには、次の手順を実行します。

1. Navigate to $ICAROOT/config/AuthManConfig.xml and add the following entries:

   <compressedGroupsEnabled>true</compressedGroupsEnabled>
   <!--NeedCopy-->
   

注:

この機能を有効にするには、ユーザーはCitrix Workspaceアプリからサインアウトし、再度サインインする必要があります。

Storebrowse構成向けの認証機能の強化

デフォルトでは、認証機能の強化機能は無効になっています。

gnome-keyringが利用できない場合、トークンはselfserviceプロセスメモリに保存されます。

トークンをメモリに強制的に保存するには、次の手順を使用してgnome-keyringを無効にします。

1. /opt/Citrix/ICAClient/config/AuthmanConfig.xmlに移動します。

2. 次のエントリを追加します。

   <GnomeKeyringDisabled>true</GnomeKeyringDisabled>
   <!--NeedCopy-->
   

スマートカード

Citrix Workspaceアプリ for Linuxでスマートカードサポートを構成するには、StoreFrontコンソールを介してStoreFrontサーバーを構成する必要があります。

Citrix Workspaceアプリは、PCSC-LiteおよびPKCS#11ドライバーと適切に互換性のあるスマートカードリーダーをサポートしています。デフォルトでは、Citrix Workspaceアプリは現在、標準の場所のいずれかでopensc-pkcs11.soを検索します。カスタマイズされたPKCS#11ドライバーを追加するには、「カスタマイズされたPKCS#11ドライバーを追加する」を参照してください。

Citrix Workspaceアプリは、非標準の場所または別のPKCS\#11ドライバーでopensc-pkcs11.soを見つけることができます。次の手順を使用して、それぞれの場所を保存できます。

1. 構成ファイル: $ICAROOT/config/AuthManConfig.xmlを見つけます。

2. 行<key>PKCS11module</key>を見つけ、その行の直後にある<value>要素にドライバーの場所を追加します。

   注:

   ドライバーの場所としてファイル名を入力した場合、Citrix Workspaceアプリは$ICAROOT/PKCS\ #11ディレクトリ内のそのファイルに移動します。「/」で始まる絶対パスを使用することもできます。

スマートカードを削除した後、次の手順を使用してSmartCardRemovalActionを更新し、Citrix Workspaceアプリの動作を構成します。

1. 設定ファイルを見つけます: $ICAROOT/config/AuthManConfig.xml
2. <key>SmartCardRemovalAction</key> の行を見つけ、その行の直後にある <value> 要素に noaction または forcelogoff を追加します。

デフォルトの動作は noaction です。スマートカードが取り外されても、保存された資格情報と生成されたトークンをクリアするアクションは実行されません。

forcelogoff アクションは、スマートカードが取り外されたときに、StoreFront 内のすべての資格情報とトークンをクリアします。

制限事項:

• 複数のユーザーが使用するスマートカードの場合、スマートカード認証を使用してサーバーVDAセッションを開始しようとすると失敗する可能性があります。[HDX-44255]

カスタマイズされたPKCS#11ドライバーを追加する

スマートカードにカスタムPKCS#11ドライバーが必要な場合は、以下の手順でドライバーパスを追加します。

1. $ICAROOT/config/AuthManConfig.xml 設定ファイルに移動します。

2. <key>PKCS11module</key> の行を見つけ、その直後の <value> 要素にドライバーの場所を追加します。例:

   /usr/lib/pkcs11/libIDPrimePKCS11.so.

3. 設定ファイルを見つけます: $ICAROOT/config/scardConfig.json.

4. DefaultPKCS11Lib を見つけ、デフォルト値を /usr なしのカスタマイズされたドライバーパスに変更します。例:

   /lib/pkcs11/libIDPrimePKCS11.so

スマートカードサポートの有効化

Citrix Workspaceアプリは、サーバーとCitrix Workspaceアプリの両方でスマートカードが有効になっている場合、さまざまなスマートカードリーダーをサポートします。

スマートカードは以下の目的で使用できます。

• Smart card logon authentication - Authenticates you to Citrix Virtual Apps and Desktops™ or Citrix DaaS (formerly Citrix Virtual Apps and Desktops service) servers.
• スマートカードアプリケーションサポート - スマートカード対応の公開アプリケーションがローカルのスマートカードデバイスにアクセスできるようにします。

スマートカードデータはセキュリティ上機密性が高く、TLSなどの安全な認証チャネルを介して送信する必要があります。

スマートカードのサポートには、以下の前提条件があります。

• スマートカードリーダーと公開アプリケーションは、PC/SC業界標準に準拠している必要があります。
• スマートカードに適したドライバーをインストールします。
• PC/SC Liteパッケージをインストールします。
• PC/SCを使用してスマートカードにアクセスするためのミドルウェアを提供する pcscd デーモンをインストールして実行します。
• 64ビットシステムでは、「libpcsclite1」パッケージの64ビット版と32ビット版の両方が存在する必要があります。

サーバーでのスマートカードサポートの構成に関する詳細については、Citrix Virtual Apps and Desktopsのドキュメントのスマートカードを参照してください。

スマートカードサポートの機能強化

バージョン2112以降、Citrix Workspaceアプリはスマートカードリーダーのプラグアンドプレイ機能をサポートしています。

スマートカードを挿入すると、スマートカードリーダーはサーバーとクライアントでスマートカードを検出します。

異なるカードを同時にプラグアンドプレイでき、これらのカードはすべて検出されます。

前提条件:

Linuxクライアントにlibpcscdライブラリをインストールします。

注:

このライブラリは、ほとんどのLinuxディストリビューションの最近のバージョンではデフォルトでインストールされている場合があります。ただし、Ubuntu 1604など、一部のLinuxディストリビューションの以前のバージョンでは、libpcscdライブラリをインストールする必要がある場合があります。

この機能強化を無効にするには:

1. <ICAROOT>/config/module.iniフォルダーに移動します。
2. SmartCardセクションに移動します。
3. DriverName=VDSCARD.DLLを設定します。

新しいPIVカードのサポート

バージョン2303以降、Citrix Workspaceアプリは次の新しい個人識別検証 (PIV) カードをサポートしています:

• IDEMIA次世代スマートカード
• デル ティックトック ICカード

スマートカードドライバーのパフォーマンス最適化

Citrix Workspaceアプリ2303バージョンには、VDSCARDV2.DLLスマートカードドライバーのパフォーマンス関連の修正と最適化が含まれています。これらの機能強化により、バージョン1 VDSCARD.DLLを上回るパフォーマンスを発揮できます。

高速スマートカード

高速スマートカードは、既存のHDX PC/SCベースのスマートカードリダイレクトを改善したものです。スマートカードが高遅延のWAN環境で使用される場合のパフォーマンスを向上させます。

高速スマートカードはWindows VDAでのみサポートされています。

Citrix Workspaceアプリで高速スマートカードサインインを有効にするには：

バージョン2408以降、高速スマートカードサインインはVDAではデフォルトで有効になっており、Citrix Workspaceアプリではデフォルトで無効になっています。高速スマートカード機能を有効にするには、次の手順を実行します。

1. /opt/Citrix/ICAClient/config/module.ini構成ファイルの[SmartCard]セクションに移動します。

2. 次のエントリを追加します。

   SmartCardCryptographicRedirection=On
   <!--NeedCopy-->
   

Citrix Workspaceアプリで高速スマートカードサインインを無効にするには：

Citrix Workspaceアプリで高速スマートカードサインインを無効にするには、/opt/Citrix/ICAClient/config/module.ini構成ファイルの[SmartCard]セクションからSmartCardCryptographicRedirectionパラメーターを削除します。

クリプトグラフィ ネクスト ジェネレーション スマートカードのサポート

バージョン2408以降、Citrix Workspaceアプリは、楕円曲線暗号（ECC）アルゴリズムを使用する新しい個人識別検証（PIV）スマートカードをサポートしています。このタイプのスマートカードは、Cryptography Next Generationに基づいて動作します。

多要素（nFactor）認証のサポート

多要素認証は、ユーザーがアクセスするために追加の身元証明を提供することを要求することで、アプリケーションのセキュリティを強化します。

多要素認証により、認証手順と関連する資格情報収集フォームを管理者が構成できるようになります。

ネイティブのCitrix Workspaceアプリは、StoreFront向けにすでに実装されているフォームサインインサポートを基盤として、このプロトコルをサポートしています。Citrix GatewayおよびTraffic Manager仮想サーバーのWebサインインページもこのプロトコルを使用します。

注：

多要素 (nFactor) 認証は、フォームベース認証のみをサポートしています。

詳細については、Citrix ADC ドキュメントのSAML 認証および多要素 (nFactor) 認証を参照してください。

多要素 (nFactor) 認証におけるエンドポイント分析のサポート

このリリースから、Citrix Workspace アプリは多要素認証のエンドポイント分析 (EPA) をサポートし、コンプライアンスとセキュリティを強化します。たとえば、EPA と LDAP が多要素認証の一部として構成されている場合、Citrix Workspace アプリは認証のために EPA アプリを検出し、LDAP 認証とともに実行します。

以前は、Citrix Workspace アプリは EPA アプリの呼び出しをサポートしておらず、「アクセス拒否」エラーが発生していました。このリリースでは EPA の呼び出しがサポートされ、認証プロセスがスムーズに進行できるようになります。

この新機能により、包括的なエンドポイントセキュリティチェック、組織ポリシーおよび規制要件への準拠が保証されます。これにより、不正アクセスのリスクが軽減され、ネットワーク全体の整合性が向上します。

前提条件：

エンドポイント分析アプリがシステムにインストールされていることを確認してください。

サポートされているオペレーティングシステム：

• IGEL OS: EPA はすでに利用可能です。
• Ubuntu 18、20、および 22: EPA はプリインストールされていません。認証を進める前に EPA をダウンロードしてインストールする必要があります。Citrix のダウンロードページから Ubuntu 用 EPA をダウンロードしてください。

この機能はデフォルトで有効になっており、多要素認証と組み合わせて使用されます。詳細については、多要素 (nFactor) 認証のドキュメントを参照してください。

HDX セッションでの FIDO2 を使用した認証のサポート

バージョン 2303 以降、パスワードなしの FIDO2 セキュリティキーを使用して HDX セッション内で認証できます。FIDO2 セキュリティキーは、企業従業員がユーザー名やパスワードを入力することなく、FIDO2 をサポートするアプリやデスクトップにシームレスに認証するための方法を提供します。FIDO2 の詳細については、FIDO2 認証を参照してください。

注記:

FIDO2デバイスをUSBリダイレクト経由で使用している場合は、FIDO2デバイスのUSBリダイレクトルールを削除してください。このルールは、$ICAROOT/フォルダー内のusb.confファイルからアクセスできます。この更新により、FIDO2仮想チャネルに切り替えることができます。

デフォルトでは、FIDO2認証は無効になっています。FIDO2認証を有効にするには、次の手順を実行します。

1. <ICAROOT>/config/module.iniファイルに移動します。
2. ICA 3.0セクションに移動します。
3. FIDO2= Onを設定します。

この機能は現在、PINコードとタッチ機能を備えたローミング認証器（USBのみ）をサポートしています。FIDO2セキュリティキーベースの認証を構成できます。この機能の前提条件と使用方法については、「FIDO2を使用したローカル認証と仮想認証」を参照してください。

FIDO2をサポートするアプリまたはWebサイトにアクセスすると、セキュリティキーへのアクセスを要求するプロンプトが表示されます。以前にPINでセキュリティキーを登録している場合は、サインイン時にPINを入力する必要があります。PINは4文字以上64文字以下です。

以前にPINなしでセキュリティキーを登録している場合は、セキュリティキーに触れるだけでサインインできます。

制限事項:

FIDO2認証を使用して、同じアカウントに2台目のデバイスを登録できない場合があります。

HDXセッションでの複数のパスキーのサポート

以前は、セキュリティキーまたはFIDO2デバイスに関連付けられた複数のパスキーがある場合、適切なパスキーを選択するオプションがありませんでした。デフォルトでは、最初のパスキーが認証に使用されていました。

2405バージョン以降、Citrix WorkspaceアプリのUIから適切なパスキーを選択できます。この機能はデフォルトで有効になっています。 複数のパスキーがある場合、最初のパスキーがデフォルトとして選択されます。ただし、次のように適切なパスキーを選択できます。

オンプレミスストアへの接続時にFIDO2を使用した認証のサポート

Citrix Workspaceアプリ for Linuxバージョン2309以降、ユーザーはオンプレミスストアにサインインする際に、パスワードレスFIDO2セキュリティキーを使用して認証できます。セキュリティキーは、セキュリティPIN、生体認証、カードスワイプ、スマートカード、公開鍵証明書など、さまざまな種類のセキュリティ入力をサポートしています。FIDO2の詳細については、「FIDO2認証」を参照してください。

管理者は、Citrix Workspaceアプリへの認証に使用するブラウザの種類を設定できます。この機能を有効にするには、$ICAROOT/config/AuthManConfig.xmlに移動して、次のエントリを追加します。

    <key>FIDO2Enabled</key>
    <value>true</value>
<!--NeedCopy-->

デフォルトのブラウザを変更するには、$ICAROOT/config/AuthManConfig.xmlに移動し、必要に応じてブラウザ設定を変更します。指定可能な値は、chromium、firefox、chromium-browser、およびMicrosoft Edgeです。

    <FIDO2AuthBrowser>firefox</FIDO2AuthBrowser>
<!--NeedCopy-->

クラウドストアへの接続時にFIDO2を使用した認証のサポート

Citrix Workspaceアプリ for Linuxバージョン2405以降、ユーザーはクラウドストアにサインインする際に、パスワードレスFIDO2セキュリティキーを使用して認証できます。セキュリティキーは、セキュリティPIN、生体認証、カードスワイプ、スマートカード、公開鍵証明書など、さまざまな種類のセキュリティ入力をサポートしています。詳細については、「FIDO2認証」を参照してください。

管理者は、Citrix Workspaceアプリへの認証に使用するブラウザの種類を設定できます。

この機能を有効にするには、$ICAROOT/config/AuthManConfig.xmlに移動して、次のエントリを追加します。

    <key>FIDO2Enabled</key>
    <value>true</value>
<!--NeedCopy-->

デフォルトのブラウザを変更するには、$ICAROOT/config/AuthManConfig.xmlに移動し、必要に応じてブラウザ設定を変更します。指定可能な値は、chromium、firefox、およびchromium-browserです。

    <FIDO2AuthBrowser>firefox</FIDO2AuthBrowser>
<!--NeedCopy-->

GACSを使用したFIDO2認証の構成

GACSを使用してストアURLのFIDO2認証を有効にするには、次の手順を実行します。

1. Citrix Cloud™にサインインします。

2. 左上隅にあるハンバーガーアイコンをクリックし、［Workspace Configuration］をクリックして、［App Configuration］をクリックします。

   

3. ［Workspace］をクリックし、［Configure］ボタンをクリックします。

   「構成」ボタンをクリックした画像(/ja-jp/citrix-workspace-app-for-linux/media/click-configure-button.png)

4. 「セキュリティと認証」をクリックし、次に「認証」をクリックします。

   認証ページの画像(/ja-jp/citrix-workspace-app-for-linux/media/authentication-page.png)

5. 「FIDO2認証」をクリックし、「Linux」チェックボックスを選択して、「有効」トグルを切り替えます。

   FIDO認証の画像(/ja-jp/citrix-workspace-app-for-linux/media/fido-authentication.png)

6. 「ドラフトを公開」をクリックします。

カスタマイズされた認証

次の表は、Citrix Workspaceアプリで利用可能なカスタマイズされた認証のリファレンスを提供します。

FIDO2認証のNFCサポート

バージョン2411以降、FIDO2対応NFCカードを使用して、エンドツーエンドのシングルサインオン (SSO) ソリューションであるTap-and-Goエクスペリエンスを利用できます。これは、NFCカードを使用してCitrix®ストアに認証し、SSOを使用して事前設定された仮想デスクトップまたは仮想アプリが自動的に開くことを意味します。

この機能の構成の詳細については、以下のセクションを参照してください。

前提条件

ハードウェア要件:

• エヌエフシー対応のファイドツーキー。例えば、ユービキーファイブ。
• Linuxクライアントと互換性のあるNFC対応FIDO2リーダー。例: ACR1252U-M。

ソフトウェア要件:

この機能には、以下のソフトウェアパッケージが必要です。

• swig
• libpcsclite-devel and pcsc-lite for CentOS or RHEL
• ウブントゥ用の libpcsclite-dev および pcscd パッケージ
• パイソン3 および パイソン3-ピップ
• Pythonパッケージ: pyscard、uhid、およびfido2
• Chromiumブラウザ (Citrix Enterprise Browserが推奨されない場合)。Chromiumブラウザの推奨インストーラーはDebianパッケージで、Chromiumのダウンロードページからダウンロードできます。Chromiumをsnapとしてインストールすることはお勧めしません。

注:

• 管理者は、<ICAROOT>/util/Fido2HIDBridgeにあるsetupFIDO2Service.shスクリプトをsudoユーザーとして実行することで、上記のパッケージをインストールできます。このsetupFIDO2Service.shスクリプトは、UbuntuおよびRHEL OSの例です。管理者は、OS構成に合わせてこのスクリプトを必要に応じて変更できます。
• この機能は、Ubuntu x86-64、RHEL x86-64、およびARM64アーキテクチャではサポートされていません。

この機能を有効にする方法

1. fido2-hid-bridge.serviceが実行されていることを確認してください。これは通常、Citrix Workspaceアプリと一緒にインストールされます。実行されていない場合は、手動で開始できます。

   

2. $ICAROOT/config/AuthManConfig.xmlに移動し、次のエントリを追加します。

   <key>FIDO2Enabled</key>

   <value>true</value>

   長期有効トークンも無効にします。

   <longLivedTokenSupport>false</longLivedTokenSupport>

3. 必要に応じて、$ICAROOT/config/AuthManConfig.xmlに移動してブラウザ設定を更新することで、デフォルトのブラウザを変更します。指定可能な値はCEBとchromiumです。デフォルト値はCEBです。

   <FIDO2AuthBrowser>CEB</FIDO2AuthBrowser>

4. 「App Authenticator」を全画面表示するには、次のエントリを追加します。

   <Fido2FullScreenMode>true</Fido2FullScreenMode>

   デフォルトでは、「App Authenticator」はウィンドウモードで表示されます。

この機能の使用方法

1. $ICAROOT/config/AuthManConfig.xmlにStoreURLとResourceNameを追加します。

   <StoreURL>test.cloud.com</StoreURL>

   <ResourceName>Notepad</ResourceName>

2. $ICAROOT/utilに移動し、nfcuiを実行します。

   

3. ストアが追加されたら、認証のために続行をタップまたはクリックします。

   

4. 認証ページで、ユーザー資格情報を入力し、サインインオプションとして顔認証、指紋認証、PIN、またはセキュリティキーをクリックします。

5. リーダー上でNFC対応のFIDO2キーをタップします。

6. セキュリティキーのPINを入力し、次へをクリックします。

7. 認証が成功したら、サインインしたままにしますか？ウィンドウではいをクリックします。

8. 認証が完了すると、構成済みのVDAまたはアプリが起動します。

   

アプリケーションが正常に起動しました。

エンドユーザーにネイティブアプリを介したアプリとデスクトップの認証とアクセスを義務付ける

バージョン2508以降、管理者はLinuxユーザーに対し、Citrix Workspaceへのアクセスをネイティブアプリ経由のみに義務付けることができます。この機能が有効な場合、ストアURLにアクセスしようとしたり、サードパーティのブラウザを使用したりするユーザーは、自動的にCitrix Workspaceアプリにリダイレクトされます。これにより、ユーザーはすべてのネイティブアプリ機能の恩恵を受け、シームレスなエクスペリエンスを享受できます。

ユーザーがブラウザを使用して接続し、HDX™エンジンを起動しようとすると、将来の使用のためにストアをネイティブクライアントに追加するよう求められます。この機能により、管理者はより詳細な制御が可能になり、認証をネイティブアプリ内に保持することでセキュリティが強化されます。また、ICAファイルをダウンロードする必要がなくなります。

管理者はCitrix Cloudでこの機能を有効にできます。現在、Cloudストアのみでサポートされています。

詳細については、「エンドユーザーにネイティブアプリを介したアプリとデスクトップの認証とアクセスを義務付ける」を参照してください。

クラウド向けEntra ID SSOサポート

バージョン2508.10以降、Linux向けCitrix Workspaceアプリは、Ubuntu 22.04およびUbuntu 24.04を実行しているエンドポイントデバイスでMicrosoft Entra IDシングルサインオン（SSO）をサポートします。Microsoft Entra IDの資格情報を使用してCitrix Cloudストアにサインインし、資格情報の繰り返し入力なしでSSOによりCitrix Virtual Apps and Desktopsにアクセスできます。

Microsoft Entra IDによるシングルサインオン

Microsoft Entra IDの資格情報を使用してSSOを利用し、Entra参加済みまたはEntraハイブリッド参加済みのセッションホスト上の仮想アプリとデスクトップにアクセスします。

前提条件

エンドポイントデバイスに以下のパッケージをインストールします。

• gnome-keyring (バージョン 3.18.3 以降)

  Ubuntu および Ubuntu ベースのディストリビューションの場合は、次のコマンドを実行します。

  sudo apt-get install gnome-keyring
  <!--NeedCopy-->
  

• libsecret

  Ubuntu および Ubuntu ベースのディストリビューションの場合は、次のコマンドを実行します。

  sudo apt-get install libsecret-1-0
  <!--NeedCopy-->
  

注:

Citrix Long Lived Token (LLT) が有効になっている場合、シームレスな認証を維持するには、Microsoft Entra ID SSO クッキーを永続化させる必要があります。クッキーの永続化を有効にするには、/opt/Citrix/ICAClient にある AuthManConfig.xml で次の設定を構成します。

<key>SharedAuthContextEnabled</key>
<value>true</value>
<!--NeedCopy-->

システムブラウザを使用した Entra ID SSO

システムブラウザで Entra ID SSO を有効にするには、/opt/Citrix/ICAClient にある AuthManConfig.xml で次のキーを設定します。

<key>AADSSOWithFido2AuthenticationEnabled</key>
<value>true</value>

<key>FIDO2Enabled</key>
<value>true</value>

<!-- FIDO2AuthBrowser options: CEB, chromium, firefox, chromium-browser -->
<FIDO2AuthBrowser>chromium</FIDO2AuthBrowser>
<!--NeedCopy-->

注:

エントラ アイディー エスエスオー は、Firefox、Microsoft Edge、および Chromium でサポートされています。

Storebrowse を使用した エントラ ID シングルサインオン

Storebrowse で エントラ ID シングルサインオン を有効にするには:

1. ユーティリティディレクトリに移動します:

   cd /opt/Citrix/ICAClient/util
   <!--NeedCopy-->
   

2. ストアを追加します:

   ./storebrowse -a <store_URL>
   <!--NeedCopy-->
   

3. ストアを列挙して認証します:

   ./storebrowse -E <full_store_URL>
   <!--NeedCopy-->
   

4. リソースを起動します:

   ./storebrowse -L <resourceID> <full_store_URL>
   <!--NeedCopy-->
   

WebブラウザからのEntra IDシングルサインオン (SSO)

バージョン2601以降、Citrix Workspaceアプリ for Linuxは、Citrix Web Extensionを介したWebブラウザからのEntra IDシングルサインオン (SSO) をサポートします。この機能はデフォルトで有効になっています。

前提条件:

次のライブラリが必要です:

• gnome-keyring というソフトウェアのバージョン 3.18.3 以降

  Debianを使用している場合は、次のコマンドを実行します:

   sudo apt-get install gnome-keyring
   <!--NeedCopy-->
  

  RPMを使用している場合は、次のコマンドを実行します:

   sudo yum install gnome-keyring
   <!--NeedCopy-->
  

• リブシークレット

  Debianを使用している場合は、次のコマンドを実行します:

   sudo apt-get install libsecret-1-0
   <!--NeedCopy-->
  

  RPMを使用している場合は、次のコマンドを実行します:

   sudo yum install libsecret-1*
   <!--NeedCopy-->
  

FIDO2 および Entra ID SSO に対するマイクロソフトエッジのサポート

バージョン2601以降、Citrix Workspaceアプリ for Linuxは、Microsoft Edgeの使用に対するサポートが追加されました:

• FIDO2 による認証
• システムブラウザを使用したEntra IDシングルサインオン (SSO)

これらのフロー用にMicrosoft Edgeを構成するには、/opt/Citrix/ICAClient/config/AuthManConfig.xmlにあるAuthManConfig.xmlを編集します。

FIDO2認証のブラウザとしてMicrosoft Edgeを使用します。

<!-- FIDO2AuthBrowser - CEB, chromium, firefox, chromium-browser, edge -->
<FIDO2AuthBrowser>edge</FIDO2AuthBrowser>
<!--NeedCopy-->

Entra ID SSOのシステムブラウザとしてMicrosoft Edgeを使用します。

<!-- SystemBrowser - CEB, chromium, firefox, chromium-browser, edge -->
<SystemBrowser>edge</SystemBrowser>
<!--NeedCopy-->

これらの設定により、FIDO2認証とEntra ID SSOフローの両方がMicrosoft Edgeを使用して起動されるようになります。

FIDO2認証のタイムアウト設定

バージョン2601以降、Linux向けCitrix Workspaceアプリは、ブラウザベースのFIDO2認証タイムアウトを制御するための構成オプションを提供します。

構成するには、/opt/Citrix/ICAClient/config/AuthManConfig.xmlを開き、FIDO2AuthTimeoutを使用してタイムアウト（秒単位）を設定します。

<!-- FIDO2AuthTimeout - Authentication timeout in seconds (default: 60, max: 180) -->
<FIDO2AuthTimeout>60</FIDO2AuthTimeout>
<!--NeedCopy-->

注：

必要に応じて、タイムアウトを60秒から180秒の間の値に設定します。

Workspace (WSP) 非アクティブタイムアウト時のIDプロバイダー (IDP) ログアウト

バージョン2601以降、Linux向けCitrix Workspaceアプリは、ユーザーログオフ時およびWorkspace (WSP) 非アクティブタイムアウト発生時に、IDプロバイダー (IDP) からログアウトするサポートを追加しました。このオプトイン機能は、有効にしない限り既存のログアウト動作を維持しつつ、認証チェーン全体での完全なセッション終了を保証するのに役立ちます。

この機能を構成するには、/opt/Citrix/ICAClient/config/AuthManConfig.xmlにあるAuthManConfig.xmlを編集します。

デフォルト設定：

<!-- EnableChainedLogoffOnTimeout - true, false -->
<EnableChainedLogoffOnTimeout>false</EnableChainedLogoffOnTimeout>
<!--NeedCopy-->

この機能を有効にするには、

<!-- EnableChainedLogoffOnTimeout - true, false -->
<EnableChainedLogoffOnTimeout>true</EnableChainedLogoffOnTimeout>
<!--NeedCopy-->

注：

この機能はデフォルトで無効になっています。必要に応じて、管理者に連絡してこの機能を有効にしてください。

NetScaler GatewayストアにおけるEntra IDシングルサインオン

Citrix Workspaceアプリ 2604 for Linux以降、Entra ID NetScaler Gateway経由でアクセスされるオンプレミスストアに対してシングルサインオン (SSO) を構成できます。 この機能強化により、ユーザーは仮想アプリやデスクトップを起動できます。 Entra IDの資格情報を再入力する必要はありません。

依存関係のインストール

エンドポイントにまだ存在しない場合は、以下のパッケージをインストールしてください。

ウブンツまたはデビアンの場合:

sudo apt install gnome-keyring libsecret-1-0 libwebkit2gtk-4.0-37
<!--NeedCopy-->

RHELまたはFedoraをご利用の場合:

sudo dnf install gnome-keyring libsecret-1-0 libwebkit2gtk-4.0-37
<!--NeedCopy-->

openSUSEをご利用の場合:

sudo zypper install gnome-keyring libsecret-1-0 libwebkit2gtk-4.0-37
<!--NeedCopy-->

Entra ID SSO の構成について

すべてのEntra ID SSO設定は /opt/Citrix/ICAClient/config/AuthManConfig.xmlで利用できます。

ルート権限でファイルを編集します。

sudo vi /opt/Citrix/ICAClient/config/AuthManConfig.xml
<!--NeedCopy-->

必要に応じて、以下の設定を構成します。

• PersistCookies: 認証ウィンドウが閉じても、Entra ID SSOクッキーをメモリに保持します。 デフォルト値はfalseです。
• AADSSOEnabled: Entra ID SSOを有効または無効にします。デフォルト値は trueです。
• AADSSOWithFido2AuthenticationEnabled: 組み込みのWebKitGTKウィンドウの代わりに、システムブラウザを認証に使用します。 デフォルト値は falseです。
• SharedAuthContextEnabled: 同じユーザーセッションでのアプリ起動全体でEntra IDクッキーを保持します。 デフォルト値はfalseです。
• EnableBypassGateway: AADが発行したゲートウェイクッキー (NSC_AAAC) を再利用して、 対話型NetScaler Gateway認証をバイパスします。デフォルト値は falseです。

例:

<PersistCookies>true</PersistCookies>

<key>AADSSOEnabled</key>
<value>true</value>

<key>AADSSOWithFido2AuthenticationEnabled</key>
<value>false</value>

<key>SharedAuthContextEnabled</key>
<value>true</value>

<key>EnableBypassGateway</key>
<value>true</value>
<!--NeedCopy-->

仕組み

セルフサービスUI

アプリケーションメニューから、または以下を実行して、Citrix Workspaceアプリ for Linuxを起動します。

/opt/Citrix/ICAClient/selfservice
<!--NeedCopy-->

次のワークフローを使用します。

1. NetScaler Gatewayストアにサインインします。
2. アプリケーションまたはデスクトップを起動します。
3. リソースを初めて起動する際に、 WebKitGTKウィンドウでEntra ID認証を完了します。
4. VDAで資格情報を再度入力することなくセッションを開始します。

PersistCookiesがtrueの場合、Citrix Workspaceアプリは 同じセッションでの後続の起動にEntra IDセッションを再利用します。EnableBypassGatewayが trueの場合、NetScaler Gateway認証ステップは Entra IDサインインフロー中に取得されたNSC_AAACクッキーを再利用することで、 スキップされます。

ストアブラウズ

storebrowseは、コマンドラインから同じEntra ID SSOエクスペリエンスを提供します。

次のワークフローを使用します。

1. NetScaler Gatewayストアを以下のように追加します。

   /opt/Citrix/ICAClient/util/storebrowse --addstore "https://gateway.example.com"
   <!--NeedCopy-->
   

2. 構成済みのストアを一覧表示します。

   /opt/Citrix/ICAClient/util/storebrowse --liststore
   <!--NeedCopy-->
   

3. 公開されているアプリケーションを一覧表示します。

   /opt/Citrix/ICAClient/util/storebrowse -E "https://gateway.example.com/Citrix/Store/discovery"
   <!--NeedCopy-->
   

4. アプリケーションを起動します。

   /opt/Citrix/ICAClient/util/storebrowse -L "Citrix.MPS.Desktop.Notepad" "https://gateway.example.com/Citrix/Store/discovery"
   <!--NeedCopy-->
   

5. 初回起動時に認証ウィンドウが表示されたら、 Entra ID認証を完了します。

初回起動時に、Entra ID認証ウィンドウが表示されます。ユーザーが 認証すると、Citrix WorkspaceアプリはSSOトークンを取得し、セッションに埋め込むため、 VDAは資格情報の入力を求めません。もし EnableBypassGateway が true の場合、ゲートウェイ認証ステップはスキップされ、 NSC_AAAC クッキーが再利用されます。

共有ワークステーションモード

キオスクまたは共有Linuxシンクライアントの展開では、共有ユーザーモードを有効にします。

/opt/Citrix/ICAClient/util/storebrowse -c SharedUserMode=True
<!--NeedCopy-->

認証方式について

組み込みウィンドウ

デフォルトでは、Citrix WorkspaceアプリはEntra ID 認証にWebKitGTKウィンドウを使用します。標準の 依存関係以外に追加のソフトウェアは必要ありません。SharedAuthContextEnabled が true の場合、組み込みウィンドウは ストアのWebビューと同じクッキーコンテキストを使用します。クッキーは WebKitGTKが管理する永続的なSQLiteデータベースに保存されます。各認証試行には 30秒のタイムアウトが使用されます。

システムブラウザ

AADSSOWithFido2AuthenticationEnabled=true を設定して、システムブラウザを 組み込みウィンドウの代わりに使用します。ブラウザはCitrix Workspace アプリに ctxaadsso:// プロトコルハンドラーを介してリダイレクトされます。

以下の場合はシステムブラウザを使用します。

• 組織でFIDO2セキュリティキー認証が必要な場合。
• 条件付きアクセス ポリシーには特定のブラウザが必要です。
• ブラウザベースのスマートカードまたは証明書認証が必要です。

サポートされているブラウザは、Google Chrome、Chromium、Mozilla Firefox、および Microsoft Edge for Linux です。Citrix Workspace アプリは、ctxaadsso:// プロトコル ハンドラーを、インストール中に /opt/Citrix/ICAClient/desktop/ctxaadsso.desktop にあるデスクトップファイルを使用して自動的に登録します。