ADFS展開
はじめに
このドキュメントでは、Citrix環境とMicrosoft ADFSを統合する方法について説明します。
多くの組織では、単一の認証ポイントを必要とするWebサイトへの安全なユーザーアクセスを管理するためにADFSを使用しています。たとえば、企業が従業員に利用可能な追加のコンテンツやダウンロードを持っている場合、それらの場所は標準のWindowsログオン資格情報で保護する必要があります。
Federated Authentication Service（FAS）は、Citrix GatewayとCitrix StoreFront™をADFSログオンシステムと統合することも可能にし、従業員の潜在的な混乱を軽減します。
この展開では、Citrix GatewayをMicrosoft ADFSへの証明書利用者として統合します。
注記:
バックエンドリソースがWindows VDAまたはLinux VDAのどちらであっても、違いはありません。
SAMLの概要
Security Assertion Markup Language（SAML）は、「ログオンページへのリダイレクト」というシンプルなWebブラウザログオンシステムです。構成には、次の項目が含まれます。
リダイレクトURL [シングルサインオンサービスURL]
Citrix Gatewayがユーザーの認証が必要であることを検出すると、ユーザーのWebブラウザにADFSサーバー上のSAMLログオンWebページへのHTTP POSTを実行するよう指示します。これは通常、https://adfs.mycompany.com/adfs/lsのような形式のhttps://アドレスです。
このWebページPOSTには、ログオン完了時にADFSがユーザーを返す「戻りアドレス」を含むその他の情報が含まれます。
識別子 [発行者名/EntityID]
EntityIDは、Citrix GatewayがADFSへのPOSTデータに含める一意の識別子です。これにより、ユーザーがログオンしようとしているサービスをADFSに通知し、必要に応じて異なる認証ポリシーを適用します。発行された場合、SAML認証XMLは、EntityIDによって識別されるサービスへのログオンにのみ適しています。
通常、EntityIDはCitrix GatewayサーバーのログオンページのURLですが、Citrix GatewayとADFSがそれに同意する限り、一般的には何でも構いません: https://ns.mycompany.com/application/logonpage。
認証が成功すると、ADFSはユーザーのWebブラウザに、EntityID用に構成されている応答URLのいずれかにSAML認証XMLをPOSTするよう指示します。これは通常、元のCitrix Gatewayサーバー上のhttps://ns.mycompany.com/cgi/samlauthのような形式のhttps://アドレスです。
複数の応答URLアドレスが構成されている場合、Citrix Gatewayは元のADFSへのPOSTで1つを選択できます。
署名証明書 [IDP証明書]
ADFSは、秘密キーを使用してSAML認証XMLブロブに暗号署名します。この署名を検証するために、Citrix Gatewayは証明書ファイルに含まれる公開キーを使用してこれらの署名をチェックするように構成する必要があります。証明書ファイルは通常、ADFSサーバーから取得したテキストファイルです。
シングルサインアウトURL [シングルログアウトURL]
ADFSとCitrix Gatewayは、「中央ログアウト」システムをサポートしています。これは、SAML認証XMLブロブが現在ログオンしているセッションをまだ表しているかどうかをチェックするために、Citrix Gatewayが時々ポーリングするURLです。
これはオプション機能であり、構成する必要はありません。通常、https://adfs.mycompany.com/adfs/logoutのような形式のhttps://アドレスです。（シングルログオンURLと同じである場合もあります。）
構成
Citrix Gatewayの展開セクションでは、標準のLDAP認証オプションを処理するようにCitrix Gatewayを設定する方法について説明しています。それが正常に完了した後、SAML認証を許可する新しい認証ポリシーをCitrix Gateway上に作成できます。これは、Citrix Gatewayウィザードで使用されるデフォルトのLDAPポリシーを置き換えることができます。
SAMLポリシーの入力
以前にADFS管理コンソールから取得した情報を使用して、新しいSAML IdPサーバーを構成します。このポリシーが適用されると、Citrix GatewayはユーザーをログオンのためにADFSにリダイレクトし、ADFS署名付きSAML認証トークンを返します。
