True SSO 機能により、ユーザーはスマート カード、RADIUS、または RSA SecurID 認証を使用して Omnissa Workspace ONE Access にログインできます。また、ユーザーがリモート デスクトップまたはアプリケーションを初めて起動するときでも、Active Directory 認証情報を求められなくなりました。
以前のリリースでは、SSO（シングル サインオン）は、以前に Active Directory 認証情報で認証されていないユーザーが最初にリモート デスクトップを起動したとき、またはアプリケーションを公開したときに Active Directory 認証情報をユーザーに求めることで機能していました。この認証情報がキャッシュされ、これによりユーザーは認証情報を再度入力せずに、以降の起動を行うことができました。True SSO では、一時的な証明書が作成され、Active Directory 認証情報の代わりに使用されます。
Omnissa Workspace ONE Access の SAML 認証を構成するプロセスは変わっていませんが、True SSO では 1 つの手順が追加されています。True SSO が有効になるように Omnissa Workspace ONE Access を構成する必要があります。
**注：**導入環境に複数の Connection Server インスタンスが含まれる場合は、各インスタンスに SAML 認証子を関連付ける必要があります。
前提条件
-
シングル サインオンがグローバル設定として有効になっていることを確認します。Horizon Console で、[設定] > [グローバル設定] を選択し、[Single Sign On (SSO)] が [有効] に設定されていることを確認します。
-
Omnissa Workspace ONE Access がインストールされ、構成されていることを確認します。Omnissa 製品ドキュメント ポータルにある Omnissa Workspace ONE Access のドキュメントを参照してください。
-
Connection Server ホストに、SAML サーバ証明書用の認証局 (CA) が署名したルート証明書がインストールされていることを確認します。Omnissa では、自己署名の証明書を使用するように SAML 認証子を構成することは推奨されません。『Horizon 8 のインストールとアップグレード』にある「Horizon Server 用の SSL 証明書の構成」の章のトピック「ルート証明書と中間証明書を Windows 証明書ストアにインポートする」を参照してください。
-
Omnissa Workspace ONE Access サーバ インスタンスの FQDN を書き留めます。
手順
-
Horizon Console で、[設定] > [サーバ] の順に選択します。
-
[Connection Server] タブで、SAML 認証子を関連付けるサーバ インスタンスを選択して [編集] をクリックします。
-
[認証] タブで、[Omnissa Horizon（SAML 2.0 認証子）への認証の委任] ドロップダウン メニューから、[許可] または [必須] を選択します。
要件に応じて、環境内の各 Connection Server インスタンスを異なる SAML 認証設定で構成できます。
-
[SAML 認証子の管理] をクリックし、[追加] をクリックします。
-
[SAML 2.0 認証子を追加] ダイアログ ボックスで SAML 認証子を構成します。
オプション 説明 ラベル Omnissa Workspace ONE Access サーバ インスタンスの FQDN を使用できます。 説明 （オプション）Omnissa Workspace ONE Access サーバ インスタンスの FQDN を使用できます。 メタデータ URL SAML ID プロバイダと Horizon Connection Server インスタンス間で SAML 情報を交換するために必要な情報すべてを取得するための URL。URL https://<YOUR HORIZON SERVER NAME>/SAAS/API/1.0/GET/metadata/idp.xmlで [<YOUR HORIZON SERVER NAME>] をクリックし、Omnissa Workspace ONE Access サーバ インスタンスの FQDN に置き換えます。管理 URL SAML ID プロバイダ（Omnissa Workspace ONE Access インスタンス）の管理コンソールにアクセスするための URL。この URL の形式は https://<Identity-Manager-FQDN>:8443.です。True SSO トリガ モード TrueSSO トリガ モード オプションは、SAML 認証子トリガ モードでサポートされる vdmUtil コマンドに基づいており、SAML 認証子 TrueSSO トリガ モードを個別に管理します。これらのオプションには、Connection Server で TrueSSO トリガ モードの値が手動で更新されている場合でも、選択した SAML 認証子の現在の TrueSSO トリガ モード値が反映されます Connection Server に有効 構成に応じて選択/選択解除します。 暗号化されたアサーションが必要 有効にすると、暗号化された SAML アサーションが適用されます。デフォルトでは、SAML アサーションが暗号化されていない場合、Connection Server は認証要求を拒否しません。 Workspace ONE モード 有効にすると、この SAML 認証子を Workspace ONE 認証子としてマークします。デフォルトでは、Connection Server は認証子を Workspace ONE 認証子とは見なしません。 IDP が毎回ユーザーを認証する必要がある 有効にすると、SAML セッションが特定のユーザーに対してアクティブになっている場合でも、IDP（ID プロバイダ）は再認証する必要があります。デフォルトでは、ユーザー セッションがすでにアクティブな場合、IDP はユーザーに再認証を要求しません。 -
[OK] をクリックして SAML 認証子の構成を保存します。
有効な情報を指定した場合、自己署名の証明書を受け入れるか（推奨されません）、Horizon 8 および Omnissa Workspace ONE Access の信頼されている証明書を使用する必要があります。
[SAML 2.0 認証子] ドロップダウン メニューに、新規に作成された認証子が表示され、選択した認証子として設定されます。
-
Horizon Console ダッシュボードの [システムの健全性] セクションで、[表示] をクリックし、[その他のコンポーネント] > [SAML 2.0 認証子] の順に選択し、追加した SAML 認証子を選択して詳細を確認します。
構成に成功した場合、認証子の健全性は緑色です。証明書が信頼されていない場合、Omnissa Workspace ONE Access サービスを利用できない場合、またはメタデータ URL が使用不可の場合、認証子の健全性が赤色で表示されることがあります。証明書が信頼されていない場合は、[検証] をクリックして証明書を検証してから受け入れることができます。
-
Omnissa Workspace ONE Access 管理コンソールにログインしてデスクトップ プールに移動し、[カタログ] > [仮想アプリケーション] ページの順に移動して、[True SSO が有効] チェック ボックスを選択します。
次のステップ
- Connection Server のメタデータの有効期間を延長して、リモート セッションが 24 時間経過後に終了されないようにします。「Connection Server でのサービス プロバイダ メタデータの有効期間の変更」を参照してください。
vdmutilコマンドライン インターフェイスを使用して、Connection Server の True SSO を構成します。「True SSO のための Horizon Connection Server の構成」を参照してください。
SAML 認証の仕組みの詳細については、「SAML 認証の使用」を参照してください。
-
このページは役に立ちましたか?