Azure Virtual Desktop の ID およびアクセスの管理に関する考慮事項

[アーティクル]
03/11/2024

Azure Virtual Desktop は、仮想デスクトップインフラストラクチャ用の Microsoft コントロールプレーンを提供するマネージドサービスです。 Azure Virtual Desktop の ID およびアクセスの管理では、この記事で説明されている特定の条件を設定して、Azure のロールベースのアクセス制御 (RBAC) を使用します。

RBAC の設計

RBAC では、Azure Virtual Desktop のデプロイを管理するさまざまなチームと個人の職務の分離をサポートしています。ランディングゾーンの設計の一部として、誰がさまざまな役割を担うかを決定する必要があります。次に、ロールに対するユーザーの追加と削除を簡略化するために、ロールごとにセキュリティグループを作成する必要があります。

Azure Virtual Desktop には、各機能領域向けに設計されたカスタムの Azure ロールが用意されています。これらのロールの構成方法については、「Azure Virtual Desktop の組み込みロール」を参照してください。

Azure の組み込みロールは、Azure デプロイ用のクラウド導入フレームワークの一部として作成および定義できます。 Azure Virtual Desktop に固有の RBAC ロールは、他の Azure RBAC ロールと組み合わせる必要がある場合があります。これにより、ユーザーが Azure Virtual Desktop およびその他の Azure サービス (仮想マシンやネットワークなど) のために必要なアクセス許可の完全なセットを提供できます。

Azure Virtual Desktop の設計に関する考慮事項

セッションホストから仮想デスクトップとリモートアプリにアクセスするには、ユーザーが認証できる必要があります。 Microsoft Entra ID は、この機能を実現する Microsoft の一元化されたクラウド ID サービスです。 Azure Virtual Desktop のユーザー認証には、常に Microsoft Entra ID が使用されます。セッションホストは、同じ Microsoft Entra テナントに参加することも、Active Directory Domain Services (AD DS) または Microsoft Entra Domain Services を使って Active Directory ドメインに参加することもでき、柔軟な構成オプションを選択できます。

Note

Azure Virtual Desktop では、B2B および Microsoft アカウントはサポートされていません。
ドメイン参加に使用するアカウントには、多要素認証やその他の対話型プロンプトを使用することはできず、その他の要件もあります。詳しくは、「仮想マシンの詳細」をご覧ください。
Azure Virtual Desktop には、ドメインサービスのホスティング戦略が必要です。 AD DS または Microsoft Entra Domain Services のいずれかを選びます。
Microsoft Entra Domain Services はサポートされているオプションですが、制限事項があります。
- パスワードハッシュ同期を有効にする必要があります。
- Azure Virtual Desktop VM のハイブリッド結合を使用して、Microsoft 365 サービスの Microsoft Entra シームレスシングルサインオンを有効にすることはできません。
  詳細については、Microsoft Entra Domain Services についてよく寄せられる質問 (FAQ) に関するページを参照してください。
Microsoft Entra Domain Services ドメインに参加する場合、アカウントは Microsoft Entra DC 管理者グループに属している必要があり、アカウントパスワードは Microsoft Entra Domain Services で機能する必要があります。詳しくは、「仮想マシンの詳細」をご覧ください。
組織単位を指定する場合は、識別名を引用符で囲まずに使用します。
最小限の特権の原則に従って、承認されたタスクに必要な最小限のアクセス許可を割り当てます。
Azure Virtual Desktop をサブスクライブするために使用するユーザープリンシパル名は、セッションホスト仮想マシンが参加している Active Directory ドメインに存在する必要があります。ユーザー要件の詳細については、Azure Virtual Desktop の要件に関するセクションを参照してください。
スマートカードを使用する場合は、Kerberos 認証用の Active Directory ドメインコントローラーを使用した直接接続 (視線) が必要です。詳細については、「Kerberos キー配布センタープロキシを構成する」を参照してください。
Windows Hello for Business を使用するには、ハイブリッド証明書信頼モデルが Azure Virtual Desktop と互換性がある必要があります。詳細については、Microsoft Entra ハイブリッド参加済み証明書信頼のデプロイに関するページを参照してください。
Windows Hello for Business またはスマートカード認証を使用する場合、これらの認証方法では Kerberos を使用してサインインするため、開始側のクライアントはドメインコントローラーと通信できる必要があります。詳細については、「サポートされる認証方法」を参照してください。
シングルサインオンによりユーザーエクスペリエンスを向上させることができますが、追加の構成が必要であり、Active Directory フェデレーションサービス (AD FS) を使用する場合にのみサポートされます。詳細については、「Azure Virtual Desktop 用に AD FS シングルサインオンを構成する」を参照してください。

サポートされる ID シナリオ

次の表は、Azure Virtual Desktop で現在サポートされている ID シナリオをまとめたものです。

ID のシナリオ	セッションホスト	ユーザーアカウント
Microsoft Entra ID + AD DS	AD DS に参加	Microsoft Entra ID と AD DS、同期される
Microsoft Entra ID + AD DS	Microsoft Entra ID に参加済み	Microsoft Entra ID と AD DS、同期される
Microsoft Entra ID + Microsoft Entra Domain Services	Microsoft Entra Domain Services に参加済み	Microsoft Entra ID と Microsoft Entra Domain Services、同期される
Microsoft Entra ID + Microsoft Entra Domain Services + AD DS	Microsoft Entra Domain Services に参加済み	Microsoft Entra ID と AD DS、同期される
Microsoft Entra ID + Microsoft Entra Domain Services	Microsoft Entra ID に参加済み	Microsoft Entra ID と Microsoft Entra Domain Services、同期される
Microsoft Entra のみ	Microsoft Entra ID に参加済み	Microsoft Entra ID

設計の推奨事項

Microsoft Entra Connect を使って、すべての ID を 1 つの Microsoft Entra テナントに同期します。詳細については、「Microsoft Sentinel Connect とは?」を参照してください。
Azure Virtual Desktop セッションホストが Microsoft Entra Domain Services または AD DS と通信できることを確認します。
Kerberos キー配布センタープロキシソリューションを使用して、スマートカード認証トラフィックをプロキシし、リモートサインインを有効にします。詳細については、「Kerberos キー配布センタープロキシを構成する」を参照してください。
セッションホスト仮想マシンを各ホストプールの Active Directory 組織単位に分離し、ポリシーと孤立オブジェクトをより簡単に管理できるようにします。詳しくは、「仮想マシンの詳細」をご覧ください。
Local Administrator Password Solution (LAPS) などのソリューションを使用して、Azure Virtual Desktop セッションホストのローカル管理者パスワードを頻繁にローテーションします。詳細については、「セキュリティ評価: Microsoft LAPS 使用状況」を参照してください。
ユーザーについて、デスクトップ仮想化ユーザーの組み込みロールをセキュリティグループに割り当てて、Azure Virtual Desktop アプリケーショングループへのアクセスを許可します。詳細については、「Azure Virtual Desktop における委任されたアクセス」を参照してください。
Azure Virtual Desktop の条件付きアクセスポリシーを作成します。これらのポリシーでは、危険なサインインなどの条件に基づいて多要素認証を適用して、組織のセキュリティ態勢を強化することができます。詳細については、Azure Virtual Desktop の Microsoft Entra 多要素認証を有効にする方法に関するページを参照してください。
AD FS を構成して、企業ネットワーク上のユーザーに対してシングルサインオンを有効にします。

次のステップ

Azure Virtual Desktop のエンタープライズ規模シナリオのネットワークトポロジと接続について説明します。

ネットワークトポロジと接続

Share via