シトリックス ゲートウェイからのパススルー
ストアへのリモートアクセスにCitrix Gatewayを使用する場合、通常、ユーザーはまずゲートウェイで認証するように構成されています。StoreFrontがユーザーを再認証する必要がないように、Citrix Gatewayからのパススルー認証を有効にできます。これには3つのバリエーションがあります。
- ゲートウェイはActive Directoryのユーザー名とパスワードをStoreFrontに渡し、StoreFrontはそれらを使用してユーザーを認証します。
- ゲートウェイはActive Directoryのユーザー名をStoreFrontに渡しますが、パスワードは渡しません。StoreFrontはゲートウェイを信頼するように構成されており、ユーザーを認証しません。
- ゲートウェイはEntra IDアクセストークンをStoreFrontに渡します。StoreFrontはゲートウェイを信頼するように構成されており、ユーザーを認証しません。StoreFrontはMicrosoft Graph APIを使用してユーザー情報を検索します。
ストアへのリモートアクセスを初めて構成するときに、Citrix Gatewayからのパススルー認証方法が自動的に有効になります。Citrix Gateway経由でアクセスするためのStoreFrontの構成の詳細については、「Citrix Gatewayの構成」を参照してください。
サポートされているCitrix Gateway認証方法
StoreFrontは、以下のCitrix Gateway認証方法でのパススルーをサポートしています。
- ドメイン ユーザーはActive Directoryのユーザー名とパスワードを使用してログオンします。
- RSA ユーザーは、セキュリティトークンによって生成されたトークンコードと、場合によっては個人識別番号を組み合わせて生成されたパスコードを使用してログオンします。セキュリティトークンのみによるパススルー認証を有効にする場合は、提供するリソースが、ユーザーのMicrosoft Active Directoryドメイン資格情報などの追加または代替の認証形式を必要としないことを確認してください。
- スマートカード ユーザーは、Active Directoryアカウントにリンクされたスマートカードを使用してログオンします。
- RSA + ドメイン ユーザーは、ドメイン資格情報とセキュリティトークンのパスコードの両方を使用してログオンします。
-
SAML ユーザーはSAML経由でログオンするためにサードパーティのIdPにリダイレクトされます。SAMLアサーションには、ユーザーのActive DirectoryアカウントのUPNを含める必要があります。詳細については、「SAML SPとしてのNetScaler」を参照してください。
- Entra IDでSAMLを構成するには、「SAML IdPとしてのMicrosoft Entra IDとSAML SPとしてのNetScalerの構成」を参照してください。ユーザーはハイブリッドIDを持っている必要があります。StoreFrontは、SAMLを使用する場合、純粋なEntra ID IDをサポートしていません。
- Entra IDでのOIDC ユーザーは認証のためにMicrosoft Entra IDにリダイレクトされます。ユーザーは純粋なEntra IDであるか、ハイブリッドIDを持つことができます。詳細については、「OIDCを使用したEntra ID認証」を参照してください。
パススルーを実現するには、セッションプロファイルでWebアプリケーションへのシングルサインオンを選択する必要があります。この設定を無効にしている場合、または認証にゲートウェイを使用していない場合は、Citrix Gatewayからのパススルー認証は使用されず、他のStoreFront認証方法のいずれかを構成する必要があります。
二重ソース認証
Citrix Workspaceアプリ内からストアにアクセスするリモートユーザー向けにCitrix Gatewayへの二重ソース認証を構成する場合、Citrix Gateway上に2つの認証ポリシーを作成する必要があります。RADIUS (Remote Authentication Dial-In User Service) をプライマリ認証方法として、LDAP (Lightweight Directory Access Protocol) をセカンダリ認証方法として構成します。セッションプロファイルでセカンダリ認証方法を使用するように資格情報インデックスを変更し、LDAP資格情報がStoreFrontに渡されるようにします。Citrix GatewayアプライアンスをStoreFront構成に追加する際は、ログオンタイプを「ドメインとセキュリティトークン」に設定します。詳細については、http://support.citrix.com/article/CTX125364を参照してください。
マルチドメイン認証
Citrix Gatewayを介したStoreFrontへのマルチドメイン認証を有効にするには、各ドメインのCitrix Gateway LDAP認証ポリシーでSSO名属性をuserPrincipalNameに設定します。ユーザーにCitrix Gatewayログオンページでドメインを指定させることで、使用する適切なLDAPポリシーを決定できます。StoreFrontへの接続用にCitrix Gatewayセッションプロファイルを構成する際は、シングルサインオンドメインを指定しないでください。各ドメイン間に信頼関係を構成する必要があります。明示的に信頼されたドメインのみにアクセスを制限しないことで、ユーザーが任意のドメインからStoreFrontにログオンできるようにしてください。
Gatewayパススルーを有効にする
Workspaceアプリを介して接続する際にストアのゲートウェイパススルー認証を有効または無効にするには、認証方法ウィンドウでCitrix Gatewayからのパススルーをオンまたはオフにします。
ストアのCitrix Gatewayパススルー認証を有効にすると、デフォルトでそのストアのすべてのWebサイトでも有効になります。認証方法タブで、特定のWebサイトのユーザー名とパスワード認証を無効にできます。
信頼されたユーザー ドメインを構成する
Citrix GatewayがLDAP認証を使用するように構成されている場合、特定のドメインへのアクセスを制限できます。
-
「認証方法の管理」ウィンドウで、Citrix Gatewayからのパススルー > 設定ドロップダウンメニューから、信頼されたドメインの構成を選択します。
-
信頼されたドメインのみを選択し、追加をクリックして信頼されたドメインの名前を入力します。そのドメインにアカウントを持つユーザーは、認証サービスを使用するすべてのストアにログオンできます。ドメイン名を変更するには、信頼されたドメインリストのエントリを選択し、編集をクリックします。ドメイン内のユーザーアカウントのストアへのアクセスを停止するには、リスト内のドメインを選択し、削除をクリックします。
ドメイン名を指定する方法によって、ユーザーが資格情報を入力する必要がある形式が決まります。ユーザーにドメインユーザー名形式で資格情報を入力させたい場合は、NetBIOS名をリストに追加します。ユーザーにユーザープリンシパル名形式で資格情報を入力させる必要がある場合は、完全修飾ドメイン名をリストに追加します。ユーザーがドメインユーザー名形式とユーザープリンシパル名形式の両方で資格情報を入力できるようにしたい場合は、NetBIOS名と完全修飾ドメイン名の両方をリストに追加する必要があります。
-
複数の信頼されたドメインを構成する場合、ユーザーがログオンする際にデフォルトで選択されるドメインを「デフォルトドメイン」リストから選択します。
-
ログオンページに信頼されたドメインを一覧表示したい場合は、「ログオンページにドメインリストを表示」チェックボックスを選択します。
「信頼済みドメイン画面のスクリーンショット」(/ja-jp/storefront/current-release/media/stores/authentication/authentication-trusted-domain.png)
委任された認証
デフォルトでは、StoreFrontはCitrix Gatewayから受け取ったユーザー名とパスワードを検証します。Citrix GatewayがSAMLやスマートカードを使用している場合など、LDAPを介してActive Directoryの資格情報を使用しない場合は、ゲートウェイによって行われる検証をStoreFrontが信頼するように構成する必要があります。この場合、StoreFrontがCitrix Gatewayからの要求であることを確認できるように、ゲートウェイを構成する際にコールバックURLを入力することが重要です。「Citrix Gatewayの管理」を参照してください。
-
認証方法の管理ウィンドウで、Citrix Gatewayからのパススルー > 設定ドロップダウンメニューから、認証の委任を構成を選択します。
-
資格情報の検証をCitrix Gatewayに完全に委任するを選択します。
「認証の委任の構成ウィンドウのスクリーンショット」(/ja-jp/storefront/current-release/media/stores/authentication/gateway-authentication-delegated.png)。
パワーシェル
PowerShellを使用してストアがCitrix Gatewayに認証を委任するように構成するには、コマンドレットSet-STFCitrixAGBasicOptionsを実行します。
- ゲートウェイへの認証を委任するには、
CredentialValidationModeをAutoに設定します。 - StoreFrontが資格情報を検証するには、
CredentialValidationModeをPasswordに設定します。
パスワードの検証
StoreFrontが資格情報を自身で検証するか、デリバリーコントローラーに資格情報の検証を要求するかを選択できます。詳細については、「ユーザー名とパスワードによる認証 - パスワードの検証」を参照してください。
資格情報の検証をCitrix Gatewayに完全に委任するが選択されている場合、デリバリーコントローラーを使用してパスワードを検証する設定は無効になります。この場合、StoreFrontはActive Directoryでユーザーを検索できる必要があるため、StoreFrontサーバーのドメインは常にユーザーのドメインとの信頼関係を持っている必要があります。
ユーザーがログオン時に期限切れのパスワードを変更できるようにする
Citrix GatewayがLDAP（ユーザー名とパスワード）認証を使用するように構成されている場合、NetScalerを構成して、ログオン時に期限切れのパスワードを変更できるようにすることができます。
- NetScaler®管理Webサイトにログインします
- サイドメニューで、認証 > ダッシュボード に移動します。
- 認証サーバーをクリックします。
- その他の設定 の下で、パスワード変更を許可 にチェックを入れます。
ユーザーがログオン後にパスワードを変更できるようにする
StoreFrontを構成して、ユーザーがログオン後にパスワードを変更できるようにすることができます。この機能は、ゲートウェイがLDAP認証を使用し、ユーザーがローカルにインストールされたCitrix Workspaceアプリではなくブラウザを介してストアにアクセスする場合にのみ利用可能です。
デフォルトのStoreFront構成では、パスワードの有効期限が切れていても、ユーザーがパスワードを変更することはできません。この機能を有効にすることを決定した場合は、サーバーを含むドメインのポリシーがユーザーのパスワード変更を妨げないことを確認してください。ユーザーがパスワードを変更できるようにすると、認証サービスを使用するストアにアクセスできるすべてのユーザーに機密性の高いセキュリティ機能が公開されます。組織に、ユーザーのパスワード変更機能を内部使用のみに限定するセキュリティポリシーがある場合は、企業ネットワークの外部からストアにアクセスできないようにしてください。
-
「認証方法の管理」ウィンドウで、「Citrix Gatewayからのパススルー」>「設定」ドロップダウンメニューから、「パスワードオプションの管理」を選択します。
-
ユーザーがパスワードを変更できるようにするには、Allow users to change passwords チェックボックスをオンにします。
パスワードオプションの管理のスクリーンショット(/ja-jp/storefront/current-release/media/stores/authentication/gateway-authentication-change-password.png)
注：
Allow users to change passwords を選択またはクリアすると、これは、ユーザー名とパスワード 認証の Manage Password Options の設定にも影響します。
パワーシェル
PowerShell を使用してパスワード変更オプションを変更するには、コマンドレット Set-STFExplicitCommonOptions を実行します。
デリバリーコントローラー™ がストアフロントを信頼するように構成する
Citrix GatewayがLDAP認証で構成されている場合、資格情報はStoreFrontに渡されます。その他の認証方法の場合、StoreFrontは資格情報にアクセスできないため、Citrix Virtual Apps and Desktopsに対して認証できません。したがって、Delivery Controllerを構成してStoreFrontからの要求を信頼するようにする必要があります。詳細については、Citrix Virtual Apps and Desktopsのセキュリティに関する考慮事項とベストプラクティスを参照してください。
OIDC を使用したエントラ ID
ゲートウェイをOIDCを使用したEntra ID認証用に構成している場合、StoreFrontを構成して、NetScaler Gatewayから提供されるアクセストークンを読み取り、Microsoft Graph APIでユーザー情報を検索する必要があります。
- 認証方法の管理ウィンドウで、Citrix Gatewayからのパススルー > 設定ドロップダウンメニューから、パスワードオプションの管理を選択します
- 有効を選択します。
- EntraテナントIDを入力します。
- オプションでGraph API URLを入力します。指定しない場合、
https://graph.microsoft.com/v1.0が使用されます。
パワーシェル
次のPowerShellを実行し、テナントIDをEntra IDテナントのIDに置き換え、/Citrix/EntraStoreをストアパスに置き換えます。
$store = Get-STFStoreService /Citrix/EntraStore
$authenticationService = Get-STFAuthenticationService -Store $store
Set-STFEntraIdSettings -AuthenticationService $authenticationService -TenantId "<Your tenant id>" -Enabled $true
<!--NeedCopy-->
VDAへのシングルサインオン
アクティブディレクトリ資格情報の使用
ユーザーがLDAP認証を使用してゲートウェイで認証すると、ゲートウェイは資格情報をStoreFrontに渡し、VDAへの認証を行い、シングルサインオンを提供します。これには追加の構成は必要ありません。
フェデレーション認証サービスの使用
ユーザーがLDAP以外の認証方法を使用してゲートウェイで認証する場合、StoreFrontはユーザーの資格情報にアクセスできないため、デフォルトではシングルサインオンは利用できません。シングルサインオンを提供するために、フェデレーション認証サービスを構成できます。
エントラ アイディー の使用
Citrix Gateway を OIDC Entra ID 認証 を使用するように構成している場合、Entra ID シングルサインオンを有効にできます。この機能には、StoreFront 2603 以降が必要です。詳細については、VDA への Entra ID シングルサインオン (プレビュー) を参照してください。