ADの統合ドキュメント履歴PDFを表示このコンテンツは動的に機械翻訳されています。放弃このコンテンツは動的に機械翻訳されています。AD機能と統合する方法について説明します。ADは、ドメイン参加の新しいモデルです。これを利用すれば、管理とシングルサインオンの目的で、ローミングラップトップを、インターネット上で企業ドメインに参加させることができます。10ラップトップに会社のメールアドレスと登録コードが提供されるシステムを説明しています。このコードにアクセスします。365などのAzureアプリケーションに自動的にサインオンします。365などの最新クラウドテクノロジとの統合により、従来の企業ネットワークがAzure内に完全に複製されます。すべてのエンドユーザーがリモートワーカーと見なされ、社内イントラネット上にはエンドユーザーが存在しないというコンセプトです。Connectの同期サービスが、インターネット上でAzureへの橋渡しとして機能するため、既存のオンプレミスシステムを持つ企業はこのモデルを適用することができます。セキュアな接続やシングルサインオンといえば、従来はファイアウォールで保護されたLANや、Kerberos認証およびNTLM認証でしたが、このアーキテクチャでは、AzureへのTLS接続およびSAMLがこれらに取って代わります。ADへの参加により、新しいサービスが生み出されています。Directoryサーバーの仮想マシンを使用して実行できます。Desktopsの公開アプリケーションを使用してアクセスします。ページからさまざまな種類のアプリケーションが照合されます。Microsoftは、Azureアプリケーションの一覧表示と起動ができるAndroidおよびiOSアプリを提供しています。ADでは、管理者がパブリックDNSアドレスを登録し、ドメイン名サフィックスの委任ゾーンを管理する必要があります。DNSゾーン機能を使用できます。DNSネームサーバーの名前が表示されます。n1-01.azure-dns.com)。Azureで実行される仮想マシンへの参照を追加する場合は、CNAMEポインターを、Azureが管理する仮想マシンのDNSレコードに使用するのが最も簡単です。仮想マシンのIPアドレスが変更されている場合は、DNSゾーンファイルを手動で更新する必要はありません。内部および外部のDNSアドレスサフィックスは、この展開に一致します。ドメインはcitrixsamldemo.netで、スプリットDNS(内部で10.0.0.*)を使用します。Webアプリケーションプロキシサーバーを参照する、「fs.citrixsamldemo.net」エントリを追加します。これがこのゾーンのフェデレーションサービスです。クラウドサービスの作成この例では、Azureで実行されるADFSサーバーが設置されたAD環境を含む、Citrix環境を構成します。クラウドサービスを作成し、「citrixsamldemo」と名づけます。Windows仮想マシンの作成クラウドサービスで実行されるWindows仮想マシンを5台作成します。Directory展開を作成します(この例では、citrixsamldemo.net)。Directory証明書サービスの役割を追加します。テスト用に通常のユーザーアカウントを作成します(例:George@citrixsamldemo.net)。このサーバーでは内部DNSが実行されるため、すべてのサーバーはDNS解決にこのサーバーを参照する必要があります。(詳しくは、このドキュメントの付録を参照してください。)ADFSコントローラーとWebアプリケーションプロキシサーバーADFSサーバーをcitrixsamldemoドメインに参加させます。DNSでDNSアドレスを手動で登録します。Connectツールからファイアウォール経由のPSリモーティングを有効にします。ControllerとVDAを、citrixsamldemoに参加した残り2台のWindowsサーバーにインストールします。内部DNSの構成ドメインコントローラーのインストール後にDNSサーバーを構成し、citrixsamldemo.netの内部ビューを処理し、外部DNSサーバーに対してフォワーダーとして機能するように設定します(例:8.8.8.8)。静的なレコードを追加します。wap.citrixsamldemo.net[Webアプリケーションプロキシの仮想マシンはドメインに参加しません]fs.citrixsamldemo.net[内部フェデレーションサーバーのアドレス]enterpriseregistration.citrixsaml.net[fs.citrixsamldemo.netと同じ]Azureで実行されるすべての仮想マシンは、このDNSサーバーのみを使用するように構成する必要があります。これは、ネットワークインターフェイスGUIから実行できます。デフォルトでは、内部IP(10.0.0.9)アドレスは動的に割り当てられます。IPアドレスの設定を使用して、IPアドレスを永続的に割り当てることができます。これは、Webアプリケーションプロキシサーバーとドメインコントローラーで実行する必要があります。仮想マシン実行時に、Azureは、仮想マシンに割り当てられた現在のパブリックIPアドレスを指す自身のDNSゾーンサーバーを維持します。Azureはデフォルトで各仮想マシンの起動時にIPアドレスを割り当てるため、この便利な機能を有効にします。この例では、DNSアドレスdomaincontrol-citrixsamldemo.westeurope.cloudapp.azure.comを、ドメインコントローラーに割り当てています。Gateway仮想マシンだけである点に注意してください。(構成では、環境へのRDPアクセスにパブリックIPアドレスが使用されます)。セキュリティグループの構成Azureクラウドは、セキュリティグループを使用して、インターネットから仮想マシンへのTCPおよびUDPアクセスのファイアウォールルールを管理します。デフォルトでは、すべての仮想マシンでRDPアクセスが許可されます。GatewayおよびWebアプリケーションプロキシサーバーでは、ポート443でTLSを許可する必要があります。ADFS証明書の作成Microsoft証明機関でWebサーバー証明書テンプレートを有効にします。これにより、PFXファイルにエクスポート(秘密キーも含む)できる、カスタムDNSアドレスを持つ証明書を作成できます。PFXファイルを優先オプションにするには、この証明書をADFSとWebアプリケーションプロキシサーバーの両方にインストールする必要があります。次のサブジェクト名を使用して、Webサーバー証明書を発行します。[DNSのエントリ]enterpriseregistration.citrixsamldemo.netパスワードで保護された秘密キーを含め、証明書をPFXファイルにエクスポートします。ADに参加させるために使用できるユーザーIDを作成する方法について説明します。新しいディレクトリの作成Azureクラシックポータルにログオンして、新しいディレクトリを作成します。完了すると、概要ページが表示されます。グローバル管理者ユーザー(AzureAdmin)の作成Azureでグローバル管理者を作成し(この例ではAzureAdmin@citrixsamldemo.onmicrosoft.com)、この新しいアカウントでログオンしてパスワードを設定します。ADを使用したドメインの登録デフォルトでは、ユーザーは次の形式のメールアドレスで識別されます:<user.name>@<company>.onmicrosoft.com。このアドレスは追加の構成なしで機能しますが、エンドユーザーのメールアカウントと一致する、次の標準形式のメールアドレスをお勧めします:<user.name>@<company>.com。ユーザーの会社のドメインからのリダイレクトを構成します。この例では、citrixsamldemo.netを使用します。ADFSをシングルサインオンにセットアップしている場合は、チェックボックスにチェックマークを入れます。ConnectのMicrosoftダウンロードページにリダイレクトされます。これをADFS仮想マシンにインストールします。使用し、ADFSのオプションが利用できるようにします。FSとのフェデレーション]シングルサインオンオプションを選択します。作成した管理アカウントでAzureに接続します。内部ADフォレストを選択します。ディレクトリ構造がシンプルな場合は、ユーザー名の一意性に依存して、ログオンするユーザーを識別することができます。デフォルトのフィルタリングオプションを使用するか、あるいはユーザーとデバイスを特定のグループセットに制限します。Directoryと同期することができます。これは、通常、ADFSベースの認証では必要ありません。FSで使用するように選択します。DNS名としてfs.citrixsamldemo.netを指定します。プロキシサーバーの選択を求める画面が表示されたら、wap.citrixsamldemo.netサーバーのアドレスを入力します。–Forceコマンドレットを実行する必要がある場合があります。PowerShellの信頼性の問題でこの手順に失敗した場合は、Webアプリケーションプロキシサーバーをドメインに参加させてみてください。ウィザードの残りの手順については、標準の管理者パスワードを使用して、ADFSのサービスアカウントを作成します。Connectにより、DNSゾーンの所有権の検証が求められます。TXTレコードとMXレコードをAzureのDNSアドレスレコードに追加します。Azure管理コンソールで[検証]をクリックします。Connectを実行する前にドメインを検証します。完了すると、外部アドレスfs.citrixsamldemo.netがポート443で接続されます。DNSレコードの作成にDNSサフィックスが使用されます(enterpriseregistration.<upnsuffix>)。この例では、fs.citrixsamldemo.netとなります。10コンピューターにインストールします。ADドメインに参加します。UPNは、ADFSドメインコントローラーで認識されるUPNと一致する必要があることに注意してください。ADへの参加が正常に行われたことを検証します。Edgeが起動してhttp://myapps.microsoft.comに接続します。このWebサイトでは、シングルサインオンが自動的に使用されます。ControllerおよびVDA仮想マシンをAzureに直接インストールすることができます。Controllerと同じサーバーにインストールされています。Servicesとは統合していません(ただしオプションで構成することができます)。作業を続行する前に、ユーザーGeorge@citrixsamldemo.netがパスワードで認証できることを確認します。PowerShellコマンドレットをControllerで実行します。Controllerと同じ仮想マシンにインストールされているため)。「インストールと構成」を参照してください。Controllerのコンピューター証明書を要求します。ポート443にIISバインドを設定し、StoreFrontのベースアドレスをhttps:に変更して、IISおよびStoreFrontでHTTPSが使用されるように構成します。StoreFrontでFASサーバーが使用されるように構成し(「インストールと構成」のPowerShellスクリプトを使用します)、Azure内で内部テストを行います。FASサーバーのイベントビューアーをチェックして、ログオンにFASが使用されることを確認します。Gatewayを使用するよう構成します。Gatewayアドレスの構成を行います。2.0シングルサインオン機能を使用します。Directoryプレミアムサブスクリプションが必要です。[カスタム]カテゴリの[私の組織で使用している、一覧にないアプリケーションを追加]を選択して、ユーザーが使用する新しいカスタムアプリケーションを作成します。縦横215ピクセルの画像を作成して[構成]ページにアップロードし、アプリケーションのアイコンとして使用します。SAML認証の構成アプリケーションダッシュボードの概要ページに戻り、[シングルサインオンの構成]を選択します。2.0認証を使用します。Gatewayに提供された構成と一致する必要があります)。/cgi/samlauthになっています。ADの証明書利用者として構成するために使用される情報が含まれています。64の信頼された署名証明書をダウンロードして、サインオンURLとサインアウトURLをコピーします。Gatewayの[構成]画面にペーストします。ユーザーへのアプリケーションの割り当て最後の手順では、アプリケーションを有効にして、ユーザーの「myapps.microsoft.com」コントロールページにアプリケーションが表示されるようにします。これは[ユーザーとグループ]ページで行います。Connectが同期したドメインユーザーアカウントへのアクセスを割り当てます。ほかのアカウントも使用できますが、<user>@<domain>パターンに従っていないため、明示的にマップする必要があります。MyAppsページアプリケーションが構成されると、https://myapps.microsoft.comで、Azureアプリケーションのユーザー一覧に表示されます。10により、Azureアプリケーションへのシングルサインオンがサポートされます。Webページに移動します。ADダッシュボードのアプリケーションに戻ります。アプリケーションに利用できるシングルサインオンURLがあることを確認します。このURLは、Webブラウザーリンクの提供や、StoreFrontに直接移動するための、スタートメニューのショートカットの作成に使用されます。ADがリダイレクトするようにします。これが機能するのは、割り当てられたユーザーだけです。ADに参加しているログオンセッションだけです。ADの資格情報の入力が求められます。Gateway)を実行する独立した仮想マシンを使用します。仮想マシンはAzureストアで購入できます。License」バージョンを使用しています。Webブラウザーのアドレスバーに内部IPアドレスを入力し、ユーザー認証の際に指定された資格情報を使用して、NetScaler仮想マシンにログオンします。AD仮想マシンのnsrootユーザーのパスワードを変更する必要があることに注意してください。選択して、DNSリゾルバーがMicrosoftドメインコントローラーをポイントするようにします。Desktopsのインストールウィザードを実行するこの例では、SAMLを使用しない、シンプルなStoreFront統合を構成することから始めます。この展開が機能するようになってから、SAMLのログオンポリシーが追加されます。GatewayおよびStoreFrontの標準設定を選択します。Azureでの使用のため、この例ではポート443ではなく、ポート4433を構成します。Gateway管理Webサイトを再マップしたりすることもできます。この例では、簡単にするために、ファイルに保存された既存のサーバー証明書と秘密キーをアップロードします。ADアカウント管理のためのドメインコントローラーの構成ドメインコントローラーはアカウント解決に使用されるため、そのIPアドレスをプライマリ認証方法に追加します。ダイアログボックスの各フィールドで求められる形式に注意してください。StoreFrontアドレスの構成この例では、HTTPSを使用してStoreFrontが構成されているため、SSLプロトコルのオプションを選択します。Gatewayに接続し、ユーザー名とパスワードを使用して、認証と起動が正常に行われることを確認します。SAML認証サポートの有効化StoreFrontでのSAMLの使用は、ほかのWebサイトでSAMlを使用するのと同様です。NS_TRUEの式を使用して、新しいSAMLポリシーを追加します。IdPサーバーを構成します。10デスクトップにログオンします。Edgeを起動してhttps://myapps.microsoft.comに接続します。ADアプリケーションが表示されます。アイコンをクリックすると認証されたStoreFrontサーバーにリダイレクトされることを確認します。Azureとの間でリダイレクトされることを確認します。ADへの明示的なサインオンが1回行われます)。付録Azureで仮想マシンをセットアップするときには、次の標準オプションを構成してください。パブリックIPアドレスとDNSアドレスの入力Azureは内部サブネット上で、すべての仮想マシンにIPアドレスを提供します(この例では10.*.*.*)。デフォルトでは、動的に更新されたDNSラベルで参照できる、パブリックIPアドレスも提供されます。[パブリックIPアドレス/DNS名]ラベルの[構成]を選択します。仮想マシンのパブリックDNSアドレスを選択します。これは、ほかのDNSゾーンファイルでのCNAME参照に使用でき、IPアドレスが再割り当てされた場合も、すべてのDNSレコードが正しく仮想マシンをポイントするようにします。ファイアウォールルールのセットアップ(セキュリティグループ)クラウド上の各仮想マシンには、自動的に適用されたファイアウォールルールのセットがあり、このセットはセキュリティグループとして知られています。セキュリティグループはパブリックIPアドレスからプライベートIPアドレスに転送されるトラフィックを制御します。デフォルトでは、Azureはすべての仮想マシンへのRDPの転送を許可します。GatewayサーバーおよびADFSサーバーは、TLSトラフィック(443)を転送する必要があります。仮想マシンの[ネットワークインターフェイス]を開いて[ネットワークセキュリティグループ]ラベルをクリックします。構成し、適切なネットワークトラフィックを許可します。関連情報FASのインストールと構成については、「インストールと構成」を参照してください。一般的なFASの展開については、「展開アーキテクチャ」を参照してください。具体的な手順については、「詳細な構成」を参照してください。このコンテンツの正式なバージョンは英語で提供されています。Groupドキュメントのコンテンツの一部は、お客様の利便性のみを目的として機械翻訳されています。Groupは機械翻訳されたコンテンツを管理していないため、誤り、不正確な情報、不適切な用語が含まれる場合があります。Groupとのその他すべての契約に基づき提供される保証、および製品またはサービスのドキュメントとの一致に関する保証は、明示的か黙示的かを問わず、かかるドキュメントの機械翻訳された範囲には適用されないものとします。Groupは責任を負わないものとします。提供する翻訳が含まれている可能性があります。翻訳について、明示的か黙示的かを問わず、精度と信頼性に関するあらゆる保証、および商品性、特定目的への適合性、第三者の権利を侵害しないことに関するあらゆる黙示的保証を含め、一切保証しません。Contributors><このコンテンツは動的に機械翻訳されています。reserved.フィードバックを提供フィードバックをありがとうございます。詳細情報が必要な場合、記載のメールアドレスに連絡させていただきます。フィードバックの送信中にエラーが発生しました。