ADFS展開
はじめに
このドキュメントでは、Citrix環境をMicrosoft ADFSと統合する方法について説明します。
多くの組織では、単一の認証ポイントを必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業は従業員が利用できる追加のコンテンツやダウンロードを持っている場合があります。これらの場所は、標準のWindowsログオン資格情報で保護する必要があります。
Federated Authentication Service (FAS) は、Citrix Gateway および Citrix StoreFront™ を ADFS ログオンシステムと統合することも可能にし、従業員の潜在的な混乱を軽減します。
この展開では、Citrix Gateway を Microsoft ADFS の証明書利用者として統合します。
注:
バックエンドリソースがWindows VDAであろうとLinux VDAであろうと、違いはありません。
SAMLの概要
Security Assertion Markup Language (SAML) は、シンプルな「ログオンページへのリダイレクト」Webブラウザログオンシステムです。構成には以下の項目が含まれます。
リダイレクトURL [シングルサインオンサービスURL]
Citrix Gateway がユーザーの認証が必要であることを検出すると、ユーザーのWebブラウザにADFSサーバー上のSAMLログオンWebページへHTTP POSTを行うよう指示します。これは通常、https://adfs.mycompany.com/adfs/ls の形式の https:// アドレスです。
このWebページPOSTには、ログオン完了時にADFSがユーザーを返す「戻りアドレス」を含むその他の情報が含まれます。
識別子 [発行者名/EntityID]
EntityId は、Citrix Gateway が ADFS への POST データに含める一意の識別子です。これにより、ユーザーがログオンしようとしているサービスを ADFS に通知し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML認証XMLは EntityId によって識別されるサービスへのログオンにのみ適しています。
通常、EntityID は Citrix Gateway サーバーのログオンページのURLですが、Citrix Gateway と ADFS が合意していれば、一般的には何でも構いません: https://ns.mycompany.com/application/logonpage。
認証が成功した場合、ADFS はユーザーのWebブラウザに、EntityId 用に構成されている応答URLのいずれかに SAML 認証XMLを POST するよう指示します。これは通常、元の Citrix Gateway サーバー上の https://ns.mycompany.com/cgi/samlauth の形式の https:// アドレスです。
複数の応答URLアドレスが構成されている場合、Citrix Gateway は ADFS への最初の POST でいずれかを選択できます。
署名証明書 [IDP証明書]
ADFS は、秘密鍵を使用して SAML 認証XMLブロブに暗号署名します。この署名を検証するには、Citrix Gateway が証明書ファイルに含まれる公開鍵を使用してこれらの署名をチェックするように構成されている必要があります。証明書ファイルは通常、ADFS サーバーから取得したテキストファイルです。
シングルサインアウトURL [シングルログアウトURL]
ADFS と Citrix Gateway は「中央ログアウト」システムをサポートしています。これは、Citrix Gateway が SAML 認証XMLブロブが現在ログオンしているセッションをまだ表しているかどうかをチェックするために、時々ポーリングするURLです。
これは構成する必要のないオプション機能です。通常、https://adfs.mycompany.com/adfs/logout の形式の https:// アドレスです。(シングルログオンURLと同じである場合もあります。)
構成
Citrix Gateway の展開 セクションでは、標準の LDAP 認証オプションを処理するように Citrix Gateway を設定する方法について説明しています。それが正常に完了した後、SAML 認証を許可する新しい認証ポリシーを Citrix Gateway 上に作成できます。これは、Citrix Gateway ウィザードで使用されるデフォルトの LDAP ポリシーを置き換えることができます。
SAMLポリシーの入力
以前に ADFS 管理コンソールから取得した情報を使用して、新しい SAML IdP サーバーを構成します。このポリシーが適用されると、Citrix Gateway はログオンのためにユーザーを ADFS にリダイレクトし、ADFS 署名付き SAML 認証トークンを受け入れます。
