製品ドキュメント
Application Delivery Management
14.1 - Current Release 13.1 13.0
PDFを表示

Microsoft ADFS proxy StyleBook

February 6, 2024
寄稿者: 
C

Microsoft™ ADFS プロキシは、内部のフェデレーション対応リソースとクラウドリソースの両方にシングルサインオンアクセスを提供することで重要な役割を果たします。クラウドリソースの一例がOffice 365です。ADFS プロキシサーバーの目的は、インターネットからアクセスできない ADFS サーバーに要求を受信および転送することです。ADFS プロキシはリバースプロキシで、通常は組織の境界ネットワーク (DMZ) にあります。ADFS プロキシは、リモートユーザーの接続とアプリケーションアクセスにおいて重要な役割を果たします。

NetScaler ADCには、フェデレーションIDの安全な接続、認証、および処理を可能にする正確なテクノロジーが搭載されています。NetScaler ADCをADFSプロキシとして使用すると、DMZに追加のコンポーネントを展開する必要がなくなります。

NetScaler Application Delivery Management（ADM）のMicrosoft ADFSプロキシStyleBookを使用すると、NetScaler ADCインスタンスでADFSプロキシサーバーを構成できます。

次の図は、Citrix ADC インスタンスをエンタープライズDMZのADFSプロキシサーバーとして展開しているところを示しています。

ローカライズされた画像

ADFSプロキシとしてNetScaler ADC を使用する利点

  1. 負荷分散とADFSプロキシの両方のニーズに対応
  2. 内部ユーザーアクセスシナリオと外部ユーザーアクセスシナリオの両方をサポート
  3. 事前認証のための豊富なメソッドをサポート
  4. ユーザーにシングルサインオン環境を提供します
  5. アクティブプロトコルとパッシブプロトコルの両方をサポート
    1. アクティブなプロトコルアプリの例としては、Microsoft Outlook、Microsoft Skype for Business
    2. パッシブプロトコルアプリの例としては、Microsoft Outlook Web アプリ、Web ブラウザー
  6. DMZ ベースの展開のための強化されたデバイス
  7. Citrix ADC ADC のコア機能を追加して付加価値を高める
    1. コンテンツスイッチ
    2. SSL オフロード
    3. 書き換え
    4. セキュリティ (NetScaler ADC AAA)

プロトコルベースのアクティブなシナリオでは、Office 365 に接続して認証情報を入力できます。Microsoft フェデレーションゲートウェイは、アクティブなプロトコルクライアントに代わって (ADFS プロキシを介して) ADFS サービスにアクセスします。次に、ゲートウェイは基本認証 (401) を使用して認証情報を送信します。NetScaler ADCは、ADFSサービスにアクセスする前にクライアント認証を処理します。認証後、ADFS サービスはフェデレーションゲートウェイに SAML トークンを渡します。次に、フェデレーションゲートウェイはトークンを Office 365 に送信してクライアントアクセスを提供します。

パッシブクライアントの場合、ADFS プロキシ StyleBook は Kerberos 制約付き委任 (KCD) ユーザーアカウントを作成します。KCD アカウントは、Kerberos SSO 認証で ADFS サーバーに接続するために必要です。StyleBookはLDAPポリシーとセッションポリシーも生成します。これらのポリシーは、パッシブクライアントの認証を処理するNetScaler ADC AAA仮想サーバーに後でバインドされます。

StyleBookは、NetScaler ADC上のDNSサーバーがADFS用に構成されていることを確認することもできます。

以下の構成セクションでは、アクティブプロトコルベースとパッシブプロトコルベースのクライアント認証の両方を処理するようにNetScaler ADCを設定する方法について説明します。

構成の詳細

以下の表は、この統合を正常にデプロイするために最低限必要なソフトウェアバージョンを示しています。

Product 最低限必要なバージョン
Citrix ADC 11.0、アドバンスト/プレミアムライセンス

次の手順は、適切な外部および内部 DNS エントリが既に作成されていることを前提としています。

NetScaler ADM からの Microsoft ADFS プロキシ StyleBook 構成の展開

以下の手順は、Microsoft ADFS プロキシ StyleBook をビジネスネットワークに実装する際に役立ちます。

Microsoft ADFS プロキシ StyleBook をデプロイするには

  1. NetScaler ADM で、［ アプリケーション ］>［ StyleBook］に移動します。 StyleBookページには 、Citrix ADM で使用できるすべてのStyleBookが表示されます。

  2. 下にスクロールして Microsoft ADFS プロキシ StyleBookを見つけてください。[ 構成を作成] をクリックします。 StyleBookがユーザーインターフェイスページとして開き、このStyleBookで定義されているすべてのパラメーターの値を入力できます。

  3. 次のパラメータに値を入力します。
    1. ADFS プロキシ展開名。ネットワークに導入されている ADFS プロキシ構成の名前を選択します。
    2. ADFS サーバーの FQDN または IP。ネットワーク内のすべての ADFS サーバーの IP アドレスまたは FQDN (ドメイン名) を入力します。
    3. ADFS プロキシパブリック VIP IP ADFSプロキシサーバーとしてNetScaler ADC 上のパブリック仮想IPアドレスを入力します。

    ローカライズされた画像

  4. [ ADFS プロキシ証明書 ] セクションで、SSL 証明書と証明書キーの詳細を入力します。

    このSSL証明書は、NetScaler ADCインスタンスで作成されたすべての仮想サーバーにバインドされます。

    ローカルストレージフォルダからそれぞれのファイルを選択します。また、秘密キーのパスワードを入力して、暗号化された秘密キーを.pem 形式でロードすることもできます。

    ローカライズされた画像

    [ 証明書の詳細設定 ] チェックボックスをオンにすることもできます。ここでは、証明書の有効期限通知期間などの詳細を入力したり、証明書有効期限モニターを有効または無効にしたりできます。

  5. SSL 証明書でNetScaler ADC にCA パブリック証明書をインストールする必要がある場合は、オプションで［SSL CA証明書］チェックボックスをオンにできます。[ 証明書の詳細設定 ] セクションで [ CA 証明書です ] を選択していることを確認してください。

  6. アクティブクライアントおよびパッシブクライアントの認証を有効にします。Active Directory でユーザー認証に使用されているDNSドメイン名を入力します。その後、アクティブクライアントまたはパッシブクライアントのいずれか、あるいはその両方の認証を設定できます。

  7. 次の詳細を入力して、アクティブなクライアントの認証を有効にします。

    注:

    アクティブクライアントのサポートの設定は任意です。

    1. ADFS プロキシアクティブ認証 VIP アクティブなクライアントが認証のためにリダイレクトされるNetScaler ADCインスタンス上の仮想認証サーバーの仮想IPアドレスを入力します。

    2. サービスアカウントのユーザー名。NetScaler ADCがActive Directoryへのユーザーを認証するために使用するサービスアカウントのユーザー名を入力します。

    3. サービスアカウントのパスワード。Active Directoryに対するユーザーを認証するためにNetScaler ADC が使用するパスワードを入力します。

    ローカライズされた画像

  8. 対応するオプションを有効にし、LDAP 設定を構成して、パッシブクライアントの認証を構成します。

    注:

    パッシブクライアントのサポートの設定は任意です。

    パッシブクライアントの認証を有効にするには、次の詳細を入力します。

    1. LDAP (Active Directory) ベース。認証を許可するActive Directory (AD) 内にユーザーアカウントが存在するドメインの基本ドメイン名を入力します。たとえば、dc=netscaler、dc=com

    2. LDAP（Active Directory）バインドDN。AD ツリーを参照する権限を持つドメインアカウント (構成を容易にするために電子メールアドレスを使用) を追加します。たとえば、CN=マネージャ、dc=netscaler、dc=com

    3. LDAP (Active Directory) バインド DN パスワード。認証用のドメインアカウントのパスワードを入力します。

      このセクションに値を入力する必要があるその他のフィールドは次のとおりです。

    4. LDAP サーバ (Active Directory) IP。AD 認証が正しく機能するように、アクティブディレクトリサーバーの IP アドレスを入力します。

    5. LDAP サーバーの FQDN 名 。アクティブディレクトリサーバーの FQDN 名を入力します。FQDN 名はオプションです。ステップ 1 のように IP アドレスまたは FQDN 名を指定します。

    6. LDAPサーバのActive Directory ポート。デフォルトでは、LDAPプロトコルのTCPポートとUDPポートは389ですが、セキュアLDAPのTCPポートは636です。

    7. LDAP（Active Directory）ログインユーザ名。ユーザー名を「SAM アカウント名」として入力します。

    8. ADFS プロキシパッシブ認証 VIP。パッシブクライアント用の ADFS プロキシ仮想サーバーの IP アドレスを入力します。

      注:

      「*」の付いたフィールドは必須です。

    ローカライズされた画像

  9. 必要に応じて、DNS サーバーの DNS VIP を構成することもできます。

    ローカライズされた画像

  10. ［ ターゲットインスタンス ］をクリックし、このMicrosoft ADFSプロキシ構成を展開するNetScaler ADCインスタンスを選択します。［ 作成 ］をクリックして構成を作成し、選択したNetScaler ADC インスタンスに構成を展開します。

    ローカライズされた画像

注：

Citrixでは、実際の構成を実行する前に、「 ドライラン」を選択することをお勧めします。まず、StyleBookによってターゲットのNetScaler ADC インスタンスに作成された構成オブジェクトを表示できます。その後、[ 作成 ] をクリックして、選択したインスタンスに設定をデプロイできます。

オブジェクトが作成されました

ADFSプロキシ構成がNetScaler ADCインスタンスに展開されると、いくつかの構成オブジェクトが作成されます。次の図は、作成されたオブジェクトのリストを示しています。

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

ローカライズされた画像

Microsoft ADFS proxy StyleBook
February 6, 2024
寄稿者: 
C
February 6, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.