製品ドキュメント
Citrix Workspace™
PDFを表示

認証を構成する

August 4, 2026
寄稿者: 
C

管理者は、エンドユーザーが以下のいずれかの認証方法を使用してストアに認証するように選択できます。

Citrix® StoreFront Cloud も仮想アプリとデスクトップへのシングルサインオンをサポートします。ユーザーがActive Directoryの資格情報を入力すると、ストアはこれらを使用してリソースへのSSOを提供できます。他のIdPを使用する場合、ストアはCitrix Federated Authentication Service (FAS)を使用して、リソースへのシングルサインオン (SSO) を提供できます。

認証方法を選択または変更する

  1. IDおよびアクセス管理で1つ以上のIDプロバイダーを定義します。手順については、IDおよびアクセス管理を参照してください。

  2. StoreFront Cloud > 認証 > ストア認証 で、エンドユーザーがストアに認証する方法を選択または変更します。

    ストア認証設定

重要:

認証モードの切り替えには最大5分かかる場合があり、その間、エンドユーザーにサービス停止を引き起こします。このサービス停止はストアへのアクセスに影響しますが、HDX™セッションには影響しません。Citrixは、変更を低使用期間に限定することを推奨します。ブラウザまたはCitrix Workspaceアプリを使用してストアにログオンしているエンドユーザーがいる場合は、ブラウザを閉じるか、アプリを終了するように指示してください。約5分待った後、新しい認証方法を使用して再度サインインできます。

アクティブディレクトリ (AD)

デフォルトでは、Citrix Cloud™はActive Directory (AD) を使用して、ストアへのエンドユーザー認証を管理します。

ADを使用するには、オンプレミスのADドメインに少なくとも2つのCitrix Cloud Connectorがインストールされている必要があります。Cloud Connectorのインストールに関する詳細については、Cloud Connectorのインストールを参照してください。

ADによるVDAへのシングルサインオン

AD認証を使用する場合、ストアはADに参加している仮想アプリとデスクトップを起動する際にSSO機能を提供します。

アクティブディレクトリ (AD) とトークン

セキュリティを強化するために、Citrix® StoreFront Cloudは、ADサインインの第2認証要素として時間ベースのトークンをサポートしています。

ログインごとに、ストアはエンドユーザーに、登録済みのデバイス上の認証アプリからトークンを入力するよう求めます。サインインする前に、エンドユーザーはCitrix SSOなど、時間ベースワンタイムパスワード (TOTP) 標準に準拠する認証アプリでデバイスを登録する必要があります。現在、エンドユーザーは一度に1つのデバイスしか登録できません。

詳細については、技術情報: 認証 - TOTPおよび技術情報: 認証 - プッシュを参照してください。

ADとトークンによるVDAへのシングルサインオン

ADとトークン認証を使用する場合、ストアはADに参加している仮想アプリとデスクトップを起動する際にSSO機能を提供します。

ADとトークンの要件

Active Directoryとトークン認証には、次の要件があります。

  • Active DirectoryとCitrix Cloud間の接続で、オンプレミス環境に少なくとも2つのCloud Connectorがインストールされていること。要件と手順については、Active DirectoryをCitrix Cloudに接続するを参照してください。
  • Active Directory + トークン認証は、認証とアクセス管理ページで有効になっています。詳細については、「Active Directory とトークン認証を有効にするには」を参照してください。
  • デバイスを登録するために、エンドユーザーがメールにアクセスできること。
  • 認証アプリをダウンロードするためのデバイス。

初回登録手続き

エンドユーザーは、「2要素認証のためにデバイスを登録する」に記載されている登録プロセスを使用してデバイスを登録します。

ストアへの初回サインイン時に、エンドユーザーはプロンプトに従ってCitrix SSOアプリをダウンロードします。Citrix SSOアプリは、登録済みのデバイスで30秒ごとに一意のワンタイムパスワードを生成します。

重要:

デバイス登録プロセス中に、エンドユーザーは一時的な確認コードが記載されたメールを受信します。この一時コードは、エンドユーザーのデバイスを登録するためにのみ使用されます。この一時コードを2要素認証でストアにサインインするためのトークンとして使用することはサポートされていません。登録済みのデバイス上の認証アプリから生成された確認コードのみが、2要素認証のサポート対象トークンです。

デバイスの再登録

エンドユーザーが登録済みのデバイスを所有していない場合、または再登録する必要がある場合（たとえば、デバイスからコンテンツを消去した後など）、ストアは以下のオプションを提供します。

  • エンドユーザーは、「2要素認証のためにデバイスを登録する」に記載されているのと同じ登録プロセスを使用してデバイスを再登録できます。エンドユーザーは一度に1つのデバイスしか登録できないため、新しいデバイスを登録するか、既存のデバイスを再登録すると、以前のデバイス登録が削除されます。

    デバイス削除メッセージ

  • 管理者はActive Directory名でエンドユーザーを検索し、デバイスをリセットできます。そのためには、認証とアクセス管理 > 回復に移動します。次回ストアにサインオンする際に、エンドユーザーは初回登録の手順を経験します。

    回復タブ

アジュール アクティブ ディレクトリ

ストアへのエンドユーザー認証を管理するためにAzure Active Directory (AD)を使用するには、以下の要件があります。

  • グローバル管理者権限を持つユーザーが登録されている Microsoft Entra ID (旧称 Microsoft Azure AD)。Citrix Cloud が利用する Microsoft Entra ID のアプリケーションと権限に関する詳細については、Citrix Cloud の Azure Active Directory 権限を参照してください。
  • オンプレミスADドメインにインストールされているCitrix Cloud Connector™。そのマシンは、Microsoft Entra IDに同期されているドメインに参加している必要があります。
  • VDAバージョン7.15.2000 LTSR CU VDA、または7.18カレントリリースVDA以降。
  • マイクロソフト エントラ ID と シトリックス クラウド 間の接続。詳細については、Connect Azure Active Directory to Citrix Cloudを参照してください。
  • 任意のバージョンのCitrix Workspaceアプリ。レガシーCitrix Receiver™を使用している場合は、以下の最小バージョンを使用する必要があります。
    • シトリックス レシーバー for Windows 4.11 CR または 4.9 LTSR CU2 以降
    • シトリックス レシーバー Linux版 13.8
    • シトリックス レシーバー Android版 3.13以降

Active DirectoryをMicrosoft Entra IDに同期する際、UPNおよびSIDエントリを同期に含める必要があります。これらのエントリが同期されていない場合、Citrix® StoreFront Cloudの一部のワークフローが失敗します。

警告:

  • Microsoft Entra IDを使用している場合、CTX225819で説明されているレジストリ変更を行わないでください。この変更を行うと、Microsoft Entra IDユーザーのセッション起動が失敗する可能性があります。
  • グループを別のグループのメンバーとして追加すること（ネスト）は、DSAuthAzureAdNestedGroups機能が有効になっている場合にサポートされます。DSAuthAzureAdNestedGroupsは、Citrixサポートにリクエストを送信することで有効にできます。

Microsoft Entra ID認証を有効にした後の設定:

  • セキュリティの強化: セキュリティのため、アプリまたはデスクトップを起動する際に、ユーザーは再度サインインを求められます。パスワード情報は、ユーザーのデバイスからセッションをホストしているVDAに直接流れます。
  • サインインエクスペリエンス: Microsoft Entra ID認証は、シングルサインオン (SSO) ではなく、フェデレーションサインインを提供します。エンドユーザーはAzureサインインページからサインインし、Citrix DaaSを開く際に再度認証が必要になる場合があります。

シングルサインオンを有効にするには、Citrix CloudでCitrix Federated Authentication Serviceを有効にしてください。詳細については、「Citrix Federated Authentication Serviceを使用したストアのシングルサインオンを有効にする」をご参照ください。

Microsoft Entra IDのサインインエクスペリエンスをカスタマイズできます。詳細については、Microsoftドキュメントを参照してください。Citrix® StoreFront Cloudで行われたサインインのカスタマイズ (ロゴなど) は、Microsoft Entra IDのサインインエクスペリエンスには影響しません。

次の図は、Microsoft Entra ID認証のシーケンスを示しています。

マイクロソフト エントラ ID 認証シーケンスの図(/ja-jp/citrix-workspace/media/authentication-workflow-azure.png)

サインアウトエクスペリエンス

ストアおよびMicrosoft Entra IDからのサインアウトプロセスを完了するには、設定 > ログオフを使用します。エンドユーザーがログオフオプションを使用せずにブラウザを閉じると、Microsoft Entra IDにサインインしたままになる可能性があります。

重要:

非アクティブのためにブラウザでのログインがタイムアウトした場合でも、エンドユーザーはMicrosoft Entra IDにサインインしたままになります。これにより、タイムアウトによって他のMicrosoft Entra IDアプリケーションが強制的に閉じられるのを防ぎます。

EntraIdを使用したVDAへのシングルサインオン

IdPがEntra IDの場合、Entra ID SSO to VDAsを使用できます。その他の場合は、VDAへのシングルサインオンを有効にするには、FASを使用する必要があります。

シトリックス ゲートウェイ

オンプレミスのCitrix GatewayをIDプロバイダーとして使用して、ストアへのエンドユーザー認証を管理できます。詳細については、「Tech Insight: Authentication - Citrix Gateway」を参照してください。

シトリックス ゲートウェイの要件

Citrix Gateway認証には、次の要件があります。

  • アクティブ ディレクトリとシトリックス クラウド間の接続。要件と手順については、「アクティブ ディレクトリをシトリックス クラウドに接続する」を参照してください。
  • エンドユーザーは、ストアにサインインするためにActive Directoryユーザーである必要があります。
  • フェデレーションを実行している場合、ADユーザーはフェデレーションプロバイダーに同期されている必要があります。Citrix Cloudは、ユーザーが正常にサインインできるようにAD属性を必要とします。
  • オンプレミスのシトリックス ゲートウェイ:
    • Citrix Gateway 12.1 54.13 アドバンスト エディション以降
    • シトリックス ゲートウェイ 13.0 41.20 Advancedエディション以降
  • Identity and Access ManagementページでCitrix Gateway認証が有効になっていること。これにより、Citrix CloudとオンプレミスGateway間の接続を作成するために必要なクライアントID、シークレット、およびリダイレクトURLが生成されます。
  • Gatewayでは、生成されたクライアントID、シークレット、およびリダイレクトURLを使用してOAuth IdP認証ポリシーが構成されます。

詳しくは、「オンプレミスのCitrix GatewayをIDプロバイダーとしてCitrix Cloudに接続する」を参照してください。

Citrix Gatewayのエンドユーザーエクスペリエンス

Citrix Gatewayによる認証が有効になっている場合、エンドユーザーは次のワークフローを経験します。

  1. エンドユーザーはブラウザーでストアURLに移動するか、Workspaceアプリを起動します。
  2. エンドユーザーはCitrix Gatewayログオンページにリダイレクトされ、Gatewayで構成されている任意のメソッドを使用して認証されます。このメソッドには、MFA、フェデレーション、条件付きアクセスポリシーなどが含まれます。CTX258331に記載されている手順を使用して、Gatewayログオンページをストアサインインページと同じようにカスタマイズできます。
  3. 認証が成功すると、エンドユーザーのワークスペースが表示されます。

Gatewayによるシングルサインオン

Citrix Gateway の構成方法によっては、DaaS への SSO に FAS が不要な場合があります。Citrix Gateway の構成の詳細については、オンプレミス Citrix Gateway で OAuth IdP ポリシーを作成する を参照してください。

グーグル

Google を、ストアへのエンドユーザー認証用の ID プロバイダーとして使用できます。

Google を利用するための要件

  • A connection between your on-premises Active Directory and Google Cloud.
  • Google Cloud Platform コンソールにアクセスできる開発者アカウント。このアカウントは、サービスアカウントとキーの作成、および Admin SDK API の有効化に必要です。
  • Google ストアの管理コンソールにアクセスできる管理者アカウント。このアカウントは、ドメイン全体の委任と読み取り専用 API ユーザーアカウントの構成に必要です。
  • オンプレミスの Active Directory ドメインと Citrix Cloud 間の接続で、[ID およびアクセス管理] ページで Google 認証が有効になっていること。この接続を作成するには、リソースの場所に少なくとも2つの Cloud Connector が必要です。

詳細については、Google を ID プロバイダーとして Citrix Cloud に接続する を参照してください。

Google を使用したエンドユーザーエクスペリエンス

Google 認証が有効になっている場合、エンドユーザーは次のワークフローを体験します。

  1. エンドユーザーは、ブラウザでストアの URL に移動するか、Workspace アプリを起動します。
  2. エンドユーザーは Google サインインページにリダイレクトされ、Google Cloud で構成された方法（多要素認証、条件付きアクセスポリシーなど）を使用して認証されます。
  3. 認証が成功すると、エンドユーザーのワークスペースが表示されます。

Google を使用した VDA へのシングルサインオン

Google認証を使用する場合、VDAへのシングルサインオンを有効にするには、FASを使用する必要があります。

オクタ

Oktaを、ストアへのエンドユーザー認証のためのIDプロバイダーとして使用できます。詳細については、Tech Insight: Authentication - Oktaを参照してください。

Oktaの要件

Okta認証には、以下の要件があります。

  • オンプレミスのActive DirectoryとOkta組織間の接続。
  • Citrix Cloudで使用するために構成されたOkta OIDC Webアプリケーション。Citrix CloudをOkta組織に接続するには、このアプリケーションに関連付けられているクライアントIDとクライアントシークレットを指定する必要があります。
  • オンプレミスのActive DirectoryドメインとCitrix Cloud間の接続で、Identity and Access Managementページでオクタ認証が有効になっていること。

詳細については、Citrix CloudへのIDプロバイダーとしてオクタを接続するを参照してください。

Oktaでのエンドユーザーエクスペリエンス

Oktaによる認証が有効になっている場合、エンドユーザーは次のワークフローを経験します。

  1. エンドユーザーはブラウザーでストアURLに移動するか、Workspaceアプリを起動します。
  2. エンドユーザーはOktaサインインページにリダイレクトされ、Oktaで構成されている方法（多要素認証、条件付きアクセスポリシーなど）を使用して認証されます。
  3. 認証が成功すると、エンドユーザーのワークスペースが表示されます。

Oktaを使用したVDAへのシングルサインオン

Okta認証を使用する場合、VDAへのシングルサインオンを有効にするには、FASを使用する必要があります。

サムル 2.0

SAML 2.0を使用して、ストアへのエンドユーザー認証のためにIdPを接続できます。

SAML 2.0の要件

SAML認証には次の要件があります。

  • SAML 2.0をサポートするSAMLプロバイダー。
  • オンプレミスのActive Directoryドメイン。
  • リソースの場所に展開され、オンプレミスのADドメインに参加している2つのCloud Connector。
  • SAMLプロバイダーとのAD統合。

ストアのSAML認証の構成に関する詳細については、Citrix CloudにSAMLをIDプロバイダーとして接続するを参照してください。

SAML 2.0でのエンドユーザーエクスペリエンス

  1. エンドユーザーはブラウザーでストアのURLにアクセスするか、Citrix Workspaceアプリを起動します。
  2. エンドユーザーは、組織のSAML IDプロバイダーのサインインページにリダイレクトされます。エンドユーザーは、多要素認証や条件付きアクセスポリシーなど、SAML IDプロバイダー用に構成されたメカニズムで認証します。
  3. 認証が成功すると、エンドユーザーのワークスペースが表示されます。

SAML 2.0を使用したVDAへのシングルサインオン

IdPがEntra IDの場合、Entra ID SSO to VDAsを使用できます。その他の場合は、VDAへのシングルサインオンを有効にするには、FASを使用する必要があります。

Citrix フェデレーション認証サービス (FAS)

Citrix DaaSへのシングルサインオン (SSO) のために、Citrix Federated Authentication Service (FAS) を展開できます。FASがない場合、フェデレーションIDプロバイダーを使用するエンドユーザーは、仮想アプリとデスクトップにアクセスするために、資格情報を複数回入力するよう求められます。

詳細については、Citrix フェデレーション認証サービス (FAS)を参照してください。

VDA への エントラ ID シングルサインオン

ユーザーがEntra IDを使用して認証した場合、Citrix® StoreFront CloudはEntra IDセッションを使用してVDAへの認証をサポートします。詳細については、Microsoft Entra single sign-onを参照してください。

この機能はデフォルトで無効になっており、残りの設定が完了した後にのみ有効にする必要があります。そうしないと、ユーザーは起動の遅延や失敗を経験する可能性があります。これを有効にするには、PowerShell modulesバージョン1.0.6を使用します。

Set-StoreConfigurations -StoreUrl "https://<yourstore>.cloud.com" -ClientId "<clientId>" -ClientSecret "<clientSecret>" -AzureAdSsoEnabled $True
<!--NeedCopy-->

詳細情報

認証を構成する
August 4, 2026
寄稿者: 
C
August 4, 2026
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.