サポートされている ID と認証方法

この記事では、Azure Virtual Desktop で使用できる ID の種類と認証方法の概要を簡単に説明します。

ID

Azure Virtual Desktop では、選択した構成に応じて、さまざまな種類の ID がサポートされます。 このセクションでは、各構成に使用できる ID について説明します。

重要

Azure Virtual Desktop では、1 つのユーザー アカウントで Microsoft Entra ID にサインインした後、別のユーザー アカウントで Windows にサインインすることはサポートされていません。 これには、ローカルの Windows アカウントや、Microsoft Entra ID で表されていないその他の ID を使用してセッション ホストにサインインすることが含まれます。 異なる ID で同時にサインインすると、ユーザーが間違ったセッション ホストに再接続したり、Azure portal の情報が正しくないか不足したり、アプリのアタッチを使用するときにエラー メッセージが表示されたり、Microsoft Entra ID 認証と条件付きアクセスの適用がバイパスされたりする可能性があります。 Azure Virtual Desktop は、同じ Microsoft Entra ID ID を使用してサービスへの認証とセッション ホストへのサインインを行うシナリオをサポートしています。 Microsoft では、Microsoft Entra 認証でシングル サインオン (SSO) を使用することをお勧めします。

オンプレミスの ID

Azure Virtual Desktop にアクセスするには Microsoft Entra ID を介してユーザーを検出できる必要があるため、Active Directory Domain Services (AD DS) にのみ存在するユーザー ID はサポートされていません。 これには、Active Directory フェデレーション サービス (AD FS) (AD FS) を使用したスタンドアロンの Active Directory 展開が含まれます。

ハイブリッド ID

Azure Virtual Desktop では、AD FS を使用してフェデレーションされたものを含め、Microsoft Entra ID を介してハイブリッド ID がサポートされます。 これらのユーザー ID を AD DS で管理し、Microsoft Entra Connect を使用して Microsoft Entra ID に同期できます。 Microsoft Entra ID を使用してこれらの ID を管理し、Microsoft Entra Domain Services と同期することもできます。

ハイブリッド ID を使用して Azure Virtual Desktop にアクセスする場合、Active Directory (AD) のユーザーのユーザー プリンシパル名 (UPN) またはセキュリティ識別子 (SID) と Microsoft Entra ID が一致しない場合があります。 たとえば、AD アカウント user@contoso.localは Microsoft Entra ID の user@contoso.com に対応する場合があります。 Azure Virtual Desktop では、AD アカウントと Microsoft Entra ID アカウントの両方の UPN または SID のいずれかが一致する場合にのみ、この種類の構成がサポートされます。 SID は、AD のユーザー オブジェクト プロパティ「ObjectSID」と Microsoft Entra ID の「OnPremisesSecurityIdentifier」を参照します。

クラウド専用 ID

Azure Virtual Desktop は、Microsoft Entra に参加している VM を使用する場合、クラウドのみの ID をサポートします。 これらのユーザーは、Microsoft Entra ID で直接作成および管理されます。

注:

また、参加の種類が Microsoft Entra 参加のセッション ホストをホストする Azure 仮想デスクトップ アプリケーション グループにハイブリッド ID を割り当てることもできます。

フェデレーション ID

Microsoft Entra ID や Active Directory Domain Services 以外のサード パーティの ID プロバイダー (IdP) を使用してユーザー アカウントを管理している場合は、次のことを確認してください。

外部 ID

外部 ID のサポートを使用すると、ユーザーを Entra ID テナントに招待し、Azure Virtual Desktop リソースを提供できます。 外部 ID にリソースを提供する場合、いくつかの要件と制約があります。

  • 要件
    • セッション ホストのオペレーティング システム: セッション ホストは、次のいずれかのオペレーティング システムを実行している必要があります。
    • セッション ホストの参加タイプ: セッション ホストは Entra に参加している必要があります。
    • シングル サインオン: ホスト プールに対して シングル サインオン を構成する必要があります。
    • Windows アプリ Client: 外部 ID のサポートは、Windows、Android、または Web ブラウザーの Windows アプリ で一般提供されています。 外部 ID のサポートは、macOS の Windows アプリ でプレビュー中です。 詳細については、Windows アプリ ドキュメントの「ID」セクションを参照してください。
  • 制限事項

    • Intune デバイス構成ポリシー: 外部 ID に割り当てられたデバイス構成ポリシーは、セッション ホスト上のユーザーには適用されません。 代わりに、デバイス構成ポリシーをデバイスに割り当てます。

    • クラウドの可用性: この機能は、Azure パブリック クラウドと Azure for US Government では使用できますが、21Vianet が運用する Azure では使用できません。 米国政府機関向け Azure のテナントに外部 ID として接続することは、リモート デスクトップ クライアント、Windows の Windows アプリ、Android の Windows アプリ でサポートされています。

    • クロス クラウド招待: クロスクラウド ユーザーはサポートされていません。 ソーシャル ID プロバイダーから招待したユーザー、Microsoft Entra Azure 仮想デスクトップ環境と同じ Microsoft Azure クラウドのユーザー、または従業員テナントに登録されているその他の ID プロバイダーにのみ、仮想デスクトップ リソースへのアクセスをAzure許可できます。 21Vianet が運営する Microsoft Azure から招待したユーザーに Azure 仮想デスクトップ リソースを割り当てることはできません。

    • トークン保護: Microsoft Entra には、外部 ID のトークン保護に関して一定の制限があります。 プラットフォーム別のトークン保護のための Windows アプリ のサポートの詳細について説明します。

    • Kerberos 認証: 外部 ID は、Kerberos または NTLM プロトコルを使用してオンプレミス リソースに対して認証できません。

    • Microsoft 365 アプリ: Windows デスクトップ版の Microsoft 365 アプリには、次の場合にのみログインできます。

      1. 招待されるユーザーは、Entra ベースのアカウント、または Microsoft 365 Apps のライセンスが付与されている Microsoft アカウントです。
      2. 招待されたユーザーは、ホーム organizationからの条件付きアクセス ポリシーによって Microsoft 365 アプリへのアクセスがブロックされません。

      招待されたアカウントに関係なく、セッション ホストの Web ブラウザーで適切な Microsoft 365 アプリを使用して、共有されている Microsoft 365 ファイルにアクセスできます。

    • ID プロバイダー: ワンタイム パスコード サインインを除き、リストされている任意の ID プロバイダーで外部 ID としてサインインできます。 次の Windows アプリ クライアントには、追加の制限があります。

      • Android: サインインに使用できるサポートされているソーシャル ID プロバイダーは、クライアントと同じデバイスで実行されている Microsoft Authenticator アプリで接続済み アカウント として構成されている Microsoft アカウントのみです。 Facebook または Google ではサインインできません。

    • ドメインレス フェデレーション: Azure Virtual Desktop は、ドメインレス SAML IdP フェデレーションを通じて外部 ID をサポートしますが、これらのユーザーは、Windows アプリを起動する前に招待 (domain_hint パラメータを含む) を使用する必要があります。 ユーザーが Windows アプリ に接続しているが、まだドメインレス SAML IdP への招待を引き換えていない場合、ユーザーは招待を認証または承諾できません。

外部 ID 用の環境構成に関する推奨事項については、Microsoft Entra B2B のベスト プラクティス、ライセンス ガイダンスを参照してください。

認証方法

Azure Virtual Desktop リソースにアクセスする場合は、次の 3 つの個別の認証フェーズがあります。

  • クラウド サービス認証: リソースのサブスクライブとゲートウェイへの認証を含む Azure Virtual Desktop サービスに対する認証は、Microsoft Entra ID を使用して行われます。 ここで、Entra ID 条件付きアクセス ポリシーを適用できます。 また、ここで Entra ID からサードパーティの ID プロバイダーにフェデレーションできます。
  • リモート セッション認証: リモート VM に対する認証。 推奨されるシングル サインオン (SSO) など、リモート セッションに対する認証方法は複数あります。
  • セッション内認証: リモート セッション内のアプリケーションと Web サイトに対する認証。

各認証フェーズでのユーザー認証オプションの簡単な比較を次に示します。

クラウド サービス認証 リモート セッション認証 セッション内認証
  • パスワードレス認証 (FIDO セキュリティ キー、クラウド Kerberos またはキー信頼を使用した Windows Hello for Business、Microsoft Authenticator 多要素認証などを含む)
  • サード パーティの ID プロバイダーへのフェデレーション
  • スマートカード (Entra 証明書ベースの認証と Windows Hello for Business 証明書信頼を含む)
  • Password
  • シングル サインオンで構成されている場合の任意のクラウド サービス認証方法
  • スマートカード (Windows Hello for Business 証明書信頼を含む)
  • Password
  • セッション内パスワードレス用に構成されている場合、パスワードレス認証
  • スマートカード (Windows Hello for Business 証明書信頼を含む)
  • Password

これらは、認証フェーズごとの認証オプションのスーパーセットです。 認証フェーズごとに異なるクライアントで使用できる資格情報の一覧については、 プラットフォーム間でクライアントを比較します。

重要

認証を正常に機能させるには、ローカル コンピューターが リモート デスクトップ クライアントの必要な URL にもアクセスできる必要があります。

以降のセクションでは、これらの認証フェーズについて詳しく説明します。

クラウド サービス認証

Azure Virtual Desktop リソースにアクセスするには、まず Microsoft Entra ID アカウントでサインインしてサービスに対して認証する必要があります。 認証は、リソースの取得をサブスクライブするたびに、接続を開始するとき、または診断情報をサービスに送信するときに、ゲートウェイに接続します。 この認証に使用される Microsoft Entra ID リソースは Azure Virtual Desktop (アプリ ID 9cdead84-a844-4324-93f2-b2e6bb768d07) です。

多要素認証

展開に Microsoft Entra 多要素認証を適用する方法については、「条件付きアクセスを使用して Azure Virtual Desktop に Microsoft Entra 多要素認証を適用する」の手順に従ってください。 また、資格情報の入力を求める頻度を構成する方法についても説明します。 Microsoft Entra に参加している VM をデプロイする場合は、Microsoft Entra に参加しているセッション ホスト VM の追加手順に注意してください。

パスワードレス認証

Windows Hello for Business やその他のパスワードなし認証オプション (FIDO キーなど) など、Microsoft Entra ID でサポートされている任意の認証の種類を使用して、サービスに対する認証を行うことができます。

スマート カード認証

スマート カードを使用して Microsoft Entra ID に対して認証するには、最初に Microsoft Entra 証明書ベースの認証を構成するか、ユーザー証明書認証用に AD FS を構成する必要があります。

サード パーティの ID プロバイダー

サード パーティの ID プロバイダーは、Microsoft Entra ID とフェデレーションしている限り使用できます。

リモート セッション認証

シングル サインオンをまだ有効にしていない場合、または資格情報をローカルに保存していない場合は、接続を開始するときにセッション ホストに対する認証も必要になります。

シングル サインオン (SSO)

SSO を使用すると、接続でセッション ホスト資格情報のプロンプトをスキップし、Microsoft Entra 認証を通じてユーザーを Windows に自動的にサインインできます。 Microsoft Entra に参加しているか、Microsoft Entra ハイブリッドに参加しているセッション ホストの場合は、Microsoft Entra 認証を使用して SSO を有効にすることをお勧めします。 Microsoft Entra 認証には、パスワードレス認証やサード パーティの ID プロバイダーのサポートなど、他の利点があります。

Azure Virtual Desktop では、Windows デスクトップおよび Web クライアント用に Active Directory フェデレーション サービス (AD FS) (AD FS) を使用した SSO もサポートされます。

SSO を使用しない場合、クライアントはすべての接続でユーザーにセッション ホスト資格情報の入力を求めます。 プロンプトが表示されないようにする唯一の方法は、資格情報をクライアントに保存することです。 他のユーザーがリソースにアクセスできないように、資格情報はセキュリティで保護されたデバイスにのみ保存することをお勧めします。

スマート カードと Windows Hello for Business

Azure Virtual Desktop では、セッション ホスト認証に NT LAN Manager (NTLM) と Kerberos の両方がサポートされていますが、スマート カードと Windows Hello for Business では Kerberos を使用してのみサインインできます。 Kerberos を使用するには、クライアントはドメイン コントローラーで実行されているキー配布センター (KDC) サービスから Kerberos セキュリティ チケットを取得する必要があります。 チケットを取得するには、クライアントはドメイン コントローラーへの直接のネットワーク見通し線を持っている必要があります。 企業ネットワーク内で直接接続するか、VPN 接続を使用するか、 KDC プロキシ サーバーを設定することで、見通し線を取得できます。

セッション内認証

RemoteApp またはデスクトップに接続すると、セッション内で認証を求めるメッセージが表示される場合があります。 このセクションでは、このシナリオでユーザー名とパスワード以外の資格情報を使用する方法について説明します。

セッション内パスワードレス認証

Azure Virtual Desktop では、Windows App の使用時に Windows Hello for Business または FIDO キーなどのセキュリティ デバイスを使用したセッション内パスワードレス認証がサポートされています。 パスワードレス認証は、セッション ホストとローカル PC が次のオペレーティング システムを使用しているときに自動的に有効になります。

他の Windows アプリ クライアントから接続するときのセッション内パスワードレス認証の動作とアプリの要件については、Windows アプリ ドキュメントの WebAuthn リダイレクト動作を参照してください。

ホスト プールでパスワードレス認証を無効にするには、 RDP プロパティをカスタマイズする必要があります。 WebAuthn リダイレクト プロパティは、Azure portal の [デバイス リダイレクト] タブにあります。または、PowerShell を使用して redirectwebauthn プロパティを 0 に設定することもできます。

有効にすると、セッション内のすべての WebAuthn 要求がローカル PC にリダイレクトされます。 Windows Hello for Business またはローカルに接続されたセキュリティ デバイスを使用して、認証プロセスを完了できます。

Windows Hello for Business またはセキュリティ デバイスを使用して Microsoft Entra リソースにアクセスするには、ユーザーの認証方法として FIDO2 セキュリティ キーを有効にする必要があります。 この方法を有効にするには、「 FIDO2 セキュリティ キーの方法を有効にする」の手順に従います。

セッション中のスマート カード認証

セッションでスマート カードを使用するには、セッション ホストにスマート カード ドライバーがインストールされ、スマート カード リダイレクトが有効になっていることを確認します。 Windows アプリ とリモート デスクトップ アプリの比較グラフを確認して、スマート カード リダイレクトを使用できるようにします。

次の手順

  • Last updated on