Azure Active Directory シングルサインオン

注:

2023年7月以降、MicrosoftはAzure Active Directory (Azure AD) をMicrosoft Entra IDに名称変更しました。本ドキュメントでは、Azure Active Directory、Azure AD、またはAADへの言及はすべてMicrosoft Entra IDを指します。

Citrix Federated Authentication Service (FAS) は、ドメイン参加済みVirtual Delivery Agent (VDA) へのシングルサインオン (SSO) を提供します。FASは、ユーザー証明書をVDAに提供することでSSOを実現します。VDAはこの証明書を使用して、ユーザーをActive Directory (AD) に対して認証します。VDAセッションにサインオンすると、再認証なしでADリソースにアクセスできます。

ADとMicrosoft Entra ID間で同期を行い、Microsoft Entra ID (ME-ID) を実装するのが一般的です。これにより、ユーザーとコンピューターの両方にハイブリッドIDが作成されます。この記事では、FASを使用している場合にVDAセッション内からMicrosoft Entra IDへのSSOを実現するために必要な追加構成について説明します。これにより、ユーザーは再認証なしでMicrosoft Entra IDで保護されたアプリケーションにアクセスできます。

注:

• FASがMicrosoft Entra IDのSSOを使用するために特別な構成は必要ありません
• FASのインセッション証明書は必要ありません
• 任意のバージョンのFASを使用できます
• FASをサポートする任意のバージョンのVDAを使用できます

Microsoft Entra ID SSOの技術の概要を次の表にまとめます。

• ME-ID認証タイプ

  VDAがドメイン参加済み

  VDAがハイブリッド参加済み

• マネージド	ME-IDシームレスSSOを使用	ME-ID証明書ベース認証を使用
  Active Directory Federation Services (ADFS) にフェデレーション済み	ADFSでWindows認証を有効にする	WS-Trust certificatemixed エンドポイントが有効になっていることを確認する
  サードパーティIDプロバイダーにフェデレーション済み	サードパーティソリューションを使用	サードパーティソリューションを使用

• マネージドMicrosoft Entra IDドメインとは、ユーザー認証がMicrosoft Entra IDで行われるドメインです。これは、ネイティブMicrosoft Entra ID認証と呼ばれることもあります。

• フェデレーション済みMicrosoft Entra IDドメインとは、Microsoft Entra IDが認証をADFSやサードパーティIDプロバイダーなどの他の場所にリダイレクトするように構成されているドメインです。

• ハイブリッド参加済みVDAとは、ADとMicrosoft Entra IDの両方に参加しているVDAです。

ドメイン参加済みVDA

• ドメイン参加済みVDAの場合、Windows認証 (従来は統合Windows認証またはKerberosと呼ばれていました) を使用してMicrosoft Entra IDへのSSOを実現します。Microsoft Entra IDへの認証は、ユーザーがVDAセッション内からMicrosoft Entra IDで保護されたアプリケーションにアクセスしたときに発生します。次の図は、認証プロセスを大まかに示しています。

詳細については、Microsoft Entra IDドメインがマネージドであるかフェデレーション済みであるかによって異なります。

マネージドMicrosoft Entra IDドメインのセットアップについては、「シームレスシングルサインオン」を参照してください。

ADFSにフェデレーションされているMicrosoft Entra IDドメインの場合、ADFSサーバーでWindows認証を有効にします。

サードパーティIDプロバイダーにフェデレーションされているMicrosoft Entra IDドメインの場合、同様のソリューションが存在します。詳細については、IDプロバイダーにお問い合わせください。

注:

ドメイン参加済みVDAに記載されているソリューションは、ハイブリッド参加済みVDAにも使用できます。ただし、FASを使用している場合、Microsoft Entra IDプライマリ更新トークン (PRT) は生成されません。

ハイブリッド参加済みVDA

ハイブリッド参加済みVDAは、ADとMicrosoft Entra IDの両方に同時に参加しています。ユーザーがVDAにサインインすると、次のアーティファクトが作成されます。

• ADリソースへの認証のためのKerberosチケット保証チケット (TGT)
• Microsoft Entra IDリソースへの認証のためのプライマリ更新トークン (PRT)

PRTには、ユーザーとコンピューターの両方に関する情報が含まれています。この情報は、必要に応じてMicrosoft Entra ID条件付きアクセスポリシーで使用されます。

FASはユーザー証明書をVDAに提供することでユーザーを認証するため、Microsoft Entra IDの証明書ベース認証が実装されている場合にのみPRTを作成できます。次の図は、認証プロセスを大まかに示しています。

詳細については、Microsoft Entra IDドメインがマネージドであるかフェデレーション済みであるかによって異なります。

マネージドMicrosoft Entra IDドメインの場合、Microsoft Entra ID CBAを構成します。詳細については、「Azure AD証明書ベース認証の概要」を参照してください。VDAは、Microsoft Entra ID CBAを使用して、ユーザーのFAS証明書でユーザーをMicrosoft Entra IDに対して認証します。

注:

Microsoftのドキュメントではスマートカード証明書を使用したサインインについて説明していますが、その根底にある技術はFASユーザー証明書でサインインする場合にも適用されます。

ADFSにフェデレーションされているMicrosoft Entra IDドメインの場合、VDAはADFSサーバーのWS-Trust certificatemixed エンドポイントを使用して、ユーザーのFAS証明書でユーザーをMicrosoft Entra IDに対して認証します。このエンドポイントはデフォルトで有効になっています。

サードパーティIDプロバイダーにフェデレーションされているMicrosoft Entra IDドメインの場合、同様のソリューションが存在する可能性があります。IDプロバイダーはWS-Trust certificatemixed エンドポイントを実装する必要があります。詳細については、IDプロバイダーにお問い合わせください。