カスタムドメインを構成する

ユーザーが cloud.com ドメインの代わりに、またはそれに加えてカスタムドメインを使用してストアにアクセスできるようにすることができます。ドメインは所有している必要があり、各ドメインは単一のストアへのアクセスにのみ使用できます。

各 cloud.com URL には、リンクされたカスタム URL を設定できます。

前提条件

• 新規登録されたドメインを選択することも、すでに所有しているドメインを選択することもできます。ドメインはサブドメイン形式 (your.company.com) である必要があります。Citrix はルートドメイン (company.com) のみの使用をサポートしていません。

• 専用のドメインを使用することをお勧めします。これにより、必要に応じてドメインを簡単に変更できます。

• カスタムドメインには、Citrix の商標を含めることはできません。完全なリストについては、Cloud Software Group Trademark Guidelines を参照してください。
• 選択したドメインはパブリック DNS で構成されている必要があります。ドメイン構成に含まれる CNAME レコード名と値はすべて、Citrix によって解決可能である必要があります。プライベート DNS 構成はサポートされていません。

カスタムドメインの構成

カスタムドメインを設定すると、URL または証明書の種類を変更することはできません。削除することしかできません。選択したドメインが DNS にすでに構成されていないことを確認してください。カスタムドメインを構成する前に、既存の CNAME レコードをすべて削除してください。

注：

カスタム URL を追加し、SAML を構成する場合、Citrix Cloud™ のプロビジョニングには 24 時間かかります。

カスタムドメインの追加

1. Citrix Cloud にサインインします。

2. Citrix Cloud メニューから、ストアフロントクラウド を選択し、次に アクセス を選択します。

3. 「アクセス」タブの「ストア」テーブルで、カスタムURLを追加したいクラウドURLに対して「カスタムドメインの追加」を選択します (最初に作成するカスタムURLは、プライマリクラウドURLに関連付ける必要があります)。

   

4. 「概要」ページに表示される情報を読み、「次へ」を選択します。

5. 「URLの提供」ページで、選択したドメインを入力します。「提供されたURLがお客様またはお客様の会社のものであることを確認します」を選択して、指定されたドメインを所有していることを確認し、TLS証明書の管理設定を選択します。証明書の更新が自動的に処理されるため、「管理対象」を選択することをお勧めします。詳細については、「更新された証明書の提供」を参照してください。「次へ」をクリックします。

   このページに警告が表示された場合は、強調表示された問題を修正して続行します。

   独自の証明書を提供するように選択した場合は、手順に追加のステップがあります。

   選択したドメインのプロビジョニングには時間がかかります。プロビジョニングの進行中にページを開いたまま待つことも、閉じることもできます。

   

6. プロビジョニングが完了するまで「URLの提供」ページを開いたままにしている場合、「DNSの構成」ページが自動的に開きます。ページを閉じた場合は、「アクセス」タブからカスタムドメインの「続行」ボタンを選択します。

   

7. この手順は、DNSレジストラが提供する管理ポータルで実行します。選択したカスタムドメインのCNAMEレコードを追加し、割り当てられたAzure Traffic Managerを指すようにします。

   「DNSの構成」ページからトラフィックマネージャーのアドレスをコピーします。例のアドレスは次のとおりです。

   wsp-cd-eastus2-プロダクション-トラフィックマネージャー-プロファイル-1-123456.trafficmanager.net

   DNSにCertificate Authority Authorization (CAA) レコードが構成されている場合は、ドメインの証明書をLet’s Encryptが生成できるようにするレコードを追加します。Let’s Encryptは、Citrixがカスタムドメインの証明書を生成するために使用する認証局 (CA) です。CAAレコードの値は次のとおりである必要があります: 0 issue “letsencrypt.org”

   

8. DNSプロバイダーでCNAMEレコードを設定したら、CNAMEレコードを検出を選択して、DNS構成が正しいことを確認します。CNAMEレコードが正しく構成されている場合、CNAME構成セクションの横に緑色のチェックマークが表示されます。

   このページに警告が表示された場合は、強調表示された問題を修正して続行してください。

   DNSプロバイダーでCAAレコードを設定している場合、別のCAA構成が表示されます。CAAレコードを検出を選択して、DNS構成が正しいことを確認します。CAAレコード構成が正しい場合、CAA構成セクションの横に緑色のチェックマークが表示されます。

   DNS構成が検証されたら、次へをクリックします。

   

9. これはオプションの手順です。独自の証明書を追加することを選択した場合は、独自の証明書を追加ページで必要な情報を入力してください。

   注：

   パスワードで保護された証明書はサポートされていません。

   このページに警告が表示された場合は、強調表示された問題を修正して続行してください。 証明書が以下の条件を満たしていることを確認してください。

   • PEMエンコードされている必要があります。
   • 少なくとも今後30日間は有効である必要があります。
   • カスタムストアURL専用に使用する必要があります。ワイルドカード証明書は使用できません。
   • 証明書の共通名はカスタムドメインと一致している必要があります。
   • 証明書のSANはカスタムドメイン用である必要があります。追加のSANは許可されません。
   • 証明書の有効期間は10年を超えてはなりません。

   独自の証明書を追加する(/ja-jp/citrix-workspace/media/onboard-multi-custom-domain-add-your-own-certificate.png)

   注:

   安全な暗号化ハッシュ関数 (SHA-256 以降) を使用する証明書を使用することをお勧めします。証明書の更新はお客様の責任となります。証明書の有効期限が切れているか、まもなく切れる場合は、更新された証明書を提供するセクションを参照してください。

10. ドメインのプロビジョニングページに表示される情報を読み、指示を承認します。続行する準備ができたら、同意して続行を選択します。

    この最終的なプロビジョニング手順には、完了までに時間がかかる場合があります。操作が完了するまでページを開いたまま待つことも、ページを閉じることもできます。

    ドメインをプロビジョニングする(/ja-jp/citrix-workspace/media/onboard-multi-custom-domain-provision-domain.png)

カスタムドメインの削除

カスタムURLを削除すると、エンドユーザーはcloud.com URLを使用してのみストアにアクセスできるようになります。

カスタムドメインを削除する際は、CNAMEレコードがDNSプロバイダーから削除されていることを確認してください。

カスタムドメインを削除するには、

1. Citrix Cloudにサインインします。

2. シトリックスクラウドメニューから、ストアフロントクラウド > アクセスを選択します。

3. アクセスタブでカスタムドメインのコンテキストメニュー(…)を展開し、カスタムドメインの削除を選択します。

   ドメインを削除する(/ja-jp/citrix-workspace/media/delete-multi-custom-domain.png)

4. カスタムドメインの削除ページに表示される情報を読み、指示を承認します。続行する準備ができたら、削除を選択します。

   カスタムドメインの削除には時間がかかります。操作が完了するまでページを開いたまま待つか、ページを閉じることができます。

   複数のカスタムドメインをオンボードしている場合、他のすべてのカスタムドメインが削除されるまで、デフォルトのクラウドURLに関連付けられているカスタムドメインを削除することはできません。

   削除の確認(/ja-jp/citrix-workspace/media/delete-multi-custom-domain-confirm.png)

更新された証明書の提供

1. Citrix Cloudにサインインします。

2. シトリックスクラウドメニューから、ストアフロントクラウド > アクセスを選択します。

3. 証明書の有効期限が30日以内になると、カスタムドメインに警告が表示されます。

   証明書の有効期限切れ(/ja-jp/citrix-workspace/media/renew-certificate-warning-multi-custom-domain.png)

4. 警告をクリックして、証明書更新ウィザードを開きます。

   証明書の更新(/ja-jp/citrix-workspace/media/update-your-own-certificate-multi-custom-domain.png)

5. 証明書の更新ページで必要な情報を入力し、保存します。

このページに警告が表示された場合は、強調表示された問題を修正して続行してください。

証明書は、カスタムドメインが作成されたときと同じ要件を満たしている必要があります。詳細については、カスタムドメインの追加を参照してください。

IDプロバイダーの構成

Oktaの構成

ストアアクセス用のIDプロバイダーとしてOktaを使用している場合は、次の手順を実行します。

1. Oktaインスタンスの管理者ポータルにサインインします。このインスタンスには、Citrix Cloudで使用されるアプリケーションが含まれています。

2. Applicationsを展開し、次にメニューからApplicationsを選択します。

   Oktaを構成する(/ja-jp/citrix-workspace/media/configure-okta-1.png)

3. Citrix Cloudにリンクされているアプリケーションを開きます。

4. General Settingsセクション内で、Editを選択します。

   一般設定(/ja-jp/citrix-workspace/media/configure-okta-2.png)

5. General SettingsのLOGINセクションで、Sign-in redirect URIsの値を追加します。既存の値を置き換えることなく、新しい値を追加します。新しい値は次の形式である必要があります: <https://your.company.com/core/login-okta>

6. 同じセクションで、Sign-out redirect URIsの別の値を追加します。既存の値を置き換えることなく、新しい値を追加します。新しい値は次の形式である必要があります: <https://your.company.com>

   新しい値を追加(/ja-jp/citrix-workspace/media/configure-okta-3.png)

7. Saveをクリックして、新しい構成を保存します。

注：

カスタムドメインでSAMLを構成するには、SAML構成に記載されている手順に従ってください。

OAuthポリシーとプロファイルの構成

重要

Citrix CloudとCitrix Gateway、またはAdaptive Authentication HAペアをリンクする既存のOAuthポリシーとプロファイルは、OAuth資格情報が失われた場合にのみ更新する必要があります。このポリシーを変更すると、Citrix Cloudとストア間のリンクが切断され、ストアへのログイン機能に影響が出る可能性があります。

シトリックス ゲートウェイの構成

Citrix Cloud管理者は、暗号化されていないクライアントシークレットにアクセスできます。これらの資格情報は、IDおよびアクセス管理 > 認証内のCitrix Gatewayリンクプロセス中にCitrix Cloudによって提供されます。OAuthプロファイルとポリシーはCitrix管理者によって作成されます。これは、接続プロセス中にCitrix Gateway上で手動で作成されます。

Citrix Gateway接続プロセス中に提供されたクライアントIDと暗号化されていないクライアントシークレットが必要です。これらの資格情報はCitrix Cloudによって提供され、安全に保存されています。 暗号化されていないシークレットは、Citrix ADCインターフェイスまたはコマンドラインインターフェイス (CLI) の両方を使用してOAuthポリシーとプロファイルを作成するために必要です。

クライアントIDとシークレットがCitrix管理者に提供されたときのUIの例を次に示します。

注:

管理者は、Citrix Gatewayが接続された後、暗号化されていないシークレットのコピーを取得できません。接続プロセス中に資格情報を保存する必要があります。

シトリックス クラウドの使用

Citrix Gatewayインターフェイスを使用して別のOAuthプロファイルとポリシーを追加するには、次の手順を実行します。

1. メニューから、セキュリティ > AAA - アプリケーショントラフィック > OAuth IDPを選択します。既存のOAuthポリシーを選択し、追加をクリックします。

   

2. プロンプトが表示されたら、新しいOAuthポリシーの名前が前のステップで選択した既存のポリシーと異なるように変更します。Citrixは、名前にカスタムURLを追加することを推奨しています。

   

3. Citrix Gateway GUIで、既存のOAuthプロファイルを作成します

4. 同じGUIメニューで追加をクリックします。

   ポリシーの追加(/ja-jp/citrix-workspace/media/using-citrix-cloud-3.png)

5. Citrix Gateway GUIで、新しいOAuthポリシーを既存の認証、承認、および監査仮想サーバーにバインドします。

6. セキュリティ > 仮想サーバー > 編集に移動します。

   ポリシーの作成(/ja-jp/citrix-workspace/media/using-citrix-cloud-4.png)

コマンドラインインターフェイス (CLI) の使用

重要

OAuth資格情報のコピーが安全に保存されていない場合は、Citrix Gatewayを切断して再接続する必要があります。既存のOAuthプロファイルを、Citrix Cloud Identity and Access Managementによって提供される新しいOAuth資格情報で更新します。この手順は推奨されず、古い資格情報が回復不能な場合にのみ使用してください。

1. PuTTYなどのSSHツールを使用して、Citrix Gatewayインスタンスに接続します。

2. OAuthプロファイルとOAuthポリシーを作成します。認証OAuth IDPプロファイルを追加します。

   "CustomDomain-OAuthProfile" -clientID "<clientID>" -clientSecret "<unencrypted client secret>" -redirectURL "https://hostname.domain.com/core/login-cip" -audience "<clientID>" -sendPassword ON

   add authentication OAuthIDPPolicy "CustomDomain-OAuthPol" -rule true -action "CustomDomain-OAuthProfile"

3. OAuthPolicyを、既存のポリシーよりも低い優先度で、正しい認証、承認、および監査仮想サーバーにバインドします。この例では、既存のポリシーの優先度が10であるため、新しいポリシーには20を使用します。認証仮想サーバーをバインドします。

   "CitrixGatewayAAAvServer" -policy "CustomDomain-OAuthPol" -priority 20

アダプティブ認証の構成

重要

OAuthプロファイルの暗号化されたシークレットと暗号化パラメータは、適応型認証のプライマリHAゲートウェイとセカンダリHAゲートウェイで異なります。暗号化されたシークレットをプライマリHAゲートウェイから取得し、これらのコマンドもプライマリHAゲートウェイで実行してください。

Citrix Cloud管理者は、暗号化されていないクライアントシークレットにアクセスできません。OAuthポリシーとプロファイルは、プロビジョニングフェーズ中にCitrix Adaptive authサービスによって作成されます。OAuthプロファイルを作成するには、ns.confファイルから取得した暗号化されたシークレットとCLIコマンドを使用する必要があります。これはCitrix ADC UIを使用して実行することはできません。新しいカスタムURL OAuthポリシーを、既存の認証、承認、および監査仮想サーバーにバインドします。その際、既存の認証、承認、および監査仮想サーバーにバインドされている既存のポリシーよりも高い優先度番号を使用します。優先度番号が低いものから先に評価されます。正しい順序で評価されるように、既存のポリシーを優先度10に、新しいポリシーを優先度20に設定します。

1. PuTTYのようなSSHツールを使用して、適応型認証プライマリノードに接続します。

   show ha node

   

2. プライマリHAゲートウェイの実行中の構成内で、既存のOAuthプロファイルを含む行を見つけます。

   sh runn | grep oauth

3. すべての暗号化パラメータを含めて、Citrix ADC CLIからの出力をコピーします。

   

4. 前のステップでコピーした行を修正します。それを使用して、クライアントIDの暗号化されたバージョンを使用してOAuthプロファイルを作成できる新しいCLIコマンドを構築します。すべての暗号化パラメータを含める必要があります。

   • OAuthプロファイルの名前をCustomDomain-OAuthProfileという名前に更新してください。
   • -redirectURLの値をhttps://hostname.domain.com/core/login-cipに更新します。

   以下の例は、両方の更新を網羅しています。

   add authentication OAuthIDPProfile "CustomDomain-OAuthProfile" -clientID b1656835-20d1-4f6b-addd-1a531fd253f6 -clientSecret <long encrypted client Secret> -encrypted -encryptmethod ENCMTHD_3 -kek -suffix 2023_04_19_09_12_25 -redirectURL "https://hostname.domain.com/core/login-cip" -audience b1656835-20d1-4f6b-addd-1a531fd253f6 -sendPassword ON

   add authentication OAuthIDPPolicy "CustomDomain-OAuthPol" -rule true -action "CustomDomain-OAuthProfile"

5. OAuthPolicyを、既存のポリシーよりも低い優先度で、適切な認証、承認、監査仮想サーバーにバインドします。すべての適応型認証展開における認証、承認、監査仮想サーバー名は、auth_vs です。このインスタンスでは、既存のポリシーの優先度が10であると仮定しているため、新しいポリシーには20が使用されます。

   bind authentication vserver "auth_vs" -policy "CustomDomain-OAuthPol" -priority 20

既知の制限事項

カスタムドメインソリューションの既知の制限事項を以下に示します。

• 最初に作成するカスタムドメインは、デフォルトのクラウドURLにリンクされている必要があります。デフォルトのクラウドURLにカスタムドメインが作成された後、マルチURL機能を通じて追加された他のクラウドURLにカスタムドメインを追加できます。
• 複数のカスタムドメインをオンボードしている場合、他のすべてのカスタムドメインが削除されるまで、デフォルトのクラウドURLに関連付けられているカスタムドメインを削除することはできません。
• この機能は、Windows版Citrix Workspaceアプリバージョン2305および2307ではサポートされていません。最新のサポートされているバージョンに更新してください。
• Google認証を使用したカスタムドメインでのログオンはサポートされていません。