Microsoft Entra IDを使用してAzure Virtual Desktop のシングルサインオンを構成する

Microsoft Entra IDを使用したAzure Virtual Desktop のシングルサインオン (SSO) は、セッションホストに接続するユーザーにシームレスなサインインエクスペリエンスを提供します。シングルサインオンを有効にすると、ユーザーはMicrosoft Entra ID トークンを使用して Windows に対して認証されます。このトークンを使用すると、セッションホストへの接続時にMicrosoft Entra IDとフェデレーションするパスワードレス認証とサードパーティ ID プロバイダーを使用でき、サインインエクスペリエンスがシームレスになります。

Microsoft Entra IDを使用したシングルサインオンは、セッション内のMicrosoft Entra ID ベースのリソースにもシームレスなエクスペリエンスを提供します。セッション内でパスワードレス認証を使用する方法の詳細については、「インセッションパスワードレス認証」を参照してください。

注:

外部 ID に対して Azure Virtual Desktop リソースを提供する予定の場合は、ホストプールに対してシングルサインオンを有効にする必要があります。詳細とその他の要件については、「外部 ID」を参照してください。

Microsoft Entra ID認証を使用してシングルサインオンを有効にするには、次の 5 つのタスクを実行する必要があります。

リモートデスクトッププロトコル (RDP) のMicrosoft Entra認証を有効にします。
同意プロンプトダイアログを非表示にします。
Active Directory Domain Servicesが環境の一部である場合は、Kerberos Server オブジェクトを作成します。条件の詳細については、そのセクションに記載されています。
条件付きアクセスポリシーを確認します。
シングルサインオンを有効にするようにホストプールを構成します。

シングルサインオンを有効にする前に

シングルサインオンを有効にする前に、環境内で使用するための次の情報を確認してください。

セッションロックの動作

Microsoft Entra IDを使用したシングルサインオンが有効になっていて、ユーザーまたはポリシーによってリモートセッションがロックされている場合は、セッションが切断されているか、リモートロック画面が表示されるかを選択できます。既定の動作では、ロック時にセッションを切断します。

セッションロックの動作を切断に設定すると、切断されたことをユーザーに知らせるダイアログが表示されます。ユーザーは、もう一度接続する準備ができたら、ダイアログから [ 再接続 ] オプションを選択できます。この動作はセキュリティ上の理由から行われ、パスワードレス認証が完全にサポートされます。セッションを切断すると、次の利点があります。

必要に応じて、Microsoft Entra IDを通じて一貫したサインインエクスペリエンスを実現します。
条件付きアクセスポリシーで許可されている場合は、シングルサインオンエクスペリエンスと認証プロンプトなしの再接続。
リモートロック画面とは異なり、パスキーや FIDO2 デバイスなどのパスワードレス認証をサポートします。
多要素認証やサインイン頻度を含む条件付きアクセスポリシーは、ユーザーがセッションに再接続したときに再評価されます。
セッションに戻るために多要素認証を要求し、ユーザーが単純なユーザー名とパスワードでロックを解除できないようにすることができます。

セッションを切断するのではなく、リモートロック画面を表示するようにセッションロック動作を構成する場合は、「セッションロック動作を構成する」を参照してください。

シングルサインオンを使用する Active Directory ドメイン管理者アカウント

Active Directory Domain Services (AD DS) とハイブリッドユーザーアカウントを持つ環境では、読み取り専用ドメインコントローラーの既定のパスワードレプリケーションポリシーによって、Domain Admins および Administrators セキュリティグループのメンバーのパスワードレプリケーションが拒否されます。このポリシーは、これらの管理者アカウントがハイブリッド参加済みホストMicrosoft Entraサインインできないようにし、資格情報の入力を求め続ける場合があります。また、管理者アカウントが、参加しているホストから Kerberos 認証を使用するオンプレミスリソースMicrosoft Entraアクセスできないようにします。セキュリティ上の理由から、ドメイン管理者であるアカウントを使用してリモートセッションに接続することはお勧めしません。

管理者としてセッションホストを変更する必要がある場合は、管理者以外のアカウントを使用してセッションホストにサインインし、コマンドプロンプトから [管理者として実行 ] オプションまたは runas ツールを使用して管理者に変更します。

前提条件

シングルサインオンを有効にする前に、次の前提条件を満たす必要があります。

Microsoft Entra テナントを構成するには、次のいずれかの組み込みロールまたは同等のMicrosoft Entraを割り当てる必要があります。
- アプリケーション管理者
- クラウドアプリケーション管理者
セッションホストは、関連する累積的な更新プログラムがインストールされた次のいずれかのオペレーティングシステムを実行している必要があります。
- Windows 11 (KB5018418) 以降の 2022-10 累積Updatesがインストールされている単一または複数セッションWindows 11 Enterprise。
- Windows 10 (KB5018410) 以降の 2022-10 累積Updatesがインストールされている単一または複数セッションWindows 10 Enterprise。
- Windows Server 2022-10 Microsoft サーバーオペレーティングシステム (KB5018421) 以降の累積的な更新プログラムがインストールされている 2022。
セッションホストは、Microsoft Entra参加済みであるか、ハイブリッド参加Microsoft Entra必要があります。 Microsoft Entra Domain Services または Active Directory Domain Services にのみ参加しているセッションホストはサポートされていません。

Microsoft Entraハイブリッド参加済みセッションホストがユーザーアカウントとは異なる Active Directory ドメイン内にある場合は、2 つのドメイン間に双方向の信頼が必要です。双方向の信頼がないと、接続は古い認証プロトコルにフォールバックします。
Microsoft Graph PowerShell SDK バージョン 2.9.0 以降をローカルデバイスまたはAzure Cloud Shellにインストールします。
サポートされているバージョンのWindows アプリまたはリモートデスクトップクライアントを使用して、リモートセッションに接続します。次のプラットフォームとバージョンがサポートされています。
- Windows アプリ:
  - Windows: すべてのバージョンのWindows アプリ。ローカル PC を Microsoft Entra ID または Active Directory ドメインに参加させる必要はありません。
  - macOS: バージョン 10.9.10 以降。
  - iOS/iPadOS: バージョン 10.5.2 以降。
  - Web ブラウザー。
- リモートデスクトップクライアント:
  - Windows 10 以降を実行しているローカル PC 上の Windows デスクトップクライアント。ローカル PC を Microsoft Entra ID または Active Directory ドメインに参加させる必要はありません。
  - Web クライアント。
  - macOS クライアント、バージョン 10.8.2 以降。
  - iOS クライアント、バージョン 10.5.1 以降。
  - Android クライアント、バージョン 10.0.16 以降。

RDP のMicrosoft Entra認証を有効にする

まず、Microsoft Entra テナントで Windows のMicrosoft Entra認証を許可する必要があります。これにより、ユーザーがAzure Virtual Desktop セッションホストにサインインできるようにする RDP アクセストークンを発行できます。次のMicrosoft Entra アプリケーションのサービスプリンシパルのremoteDesktopSecurityConfiguration オブジェクトで、isRemoteDesktopProtocolEnabled プロパティを true に設定します。

Windows クラウドログイン: 270efc09-cd0d-444b-a71f-39af4910ec45

Microsoft Entra認証を有効にするには、シナリオに関連するタブを選択し、手順に従います。

Azure portal
PowerShell

Azure portalを使用してMicrosoft Entra認証を有効にする方法を次に示します。

Azure portal にサインインし
検索バーに「Microsoft Entra ID」と入力し、一致するサービスエントリを選択します。
[ デバイス] ( [管理] の下) を選択し、[ リモート接続構成 ] ( [管理] の下) を選択します。
[ Windows クラウドログイン] を選択します。
ラジオボタンを [Microsoft Entra ID認証プロトコルを有効にする] に切り替えて、リモートデバイスに対してユーザーを認証します。
完了したら、[保存] を選択 します。

PowerShell を使用してMicrosoft Entra認証を有効にするには、Microsoft Graph PowerShell SDK を使用して、サービスプリンシパルに新しい remoteDesktopSecurityConfiguration オブジェクトを作成し、プロパティ isRemoteDesktopProtocolEnabledを true に設定します。 Microsoft Graph API は、Graph エクスプローラーなどのツールと共に使用することもできます。

powerShell ターミナルの種類でAzure portalでAzure Cloud Shellを開くか、ローカルデバイスで PowerShell を実行します。
- Cloud Shellを使用している場合は、Azure コンテキストが使用するサブスクリプションに設定されていることを確認します。
- PowerShell をローカルで使用している場合は、最初に Azure PowerShell でサインインしてから、Azure コンテキストが使用するサブスクリプションに設定されていることを確認します。

前提条件から Microsoft Graph PowerShell SDK をインストールしたことを確認してから、認証とアプリケーションの Microsoft Graph モジュールをインポートし、次のコマンドを実行して、Application.Read.AllスコープとApplication-RemoteDesktopConfig.ReadWrite.Allスコープを使用して Microsoft Graph に接続します。
```
Import-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Applications

Connect-MgGraph -Scopes "Application.Read.All","Application-RemoteDesktopConfig.ReadWrite.All"
```
Windows Cloud Login サービスプリンシパルのオブジェクト ID を取得し、次のコマンドを実行して変数に格納します。
```
$WCLspId = (Get-MgServicePrincipal -Filter "AppId eq '270efc09-cd0d-444b-a71f-39af4910ec45'").Id
```

次のコマンドを実行して、プロパティ isRemoteDesktopProtocolEnabled を true に設定します。これらのコマンドからの出力はありません。

If ((Get-MgServicePrincipalRemoteDesktopSecurityConfiguration -ServicePrincipalId $WCLspId) -ne $true) {
    Update-MgServicePrincipalRemoteDesktopSecurityConfiguration -ServicePrincipalId $WCLspId -IsRemoteDesktopProtocolEnabled
}

次のコマンドを実行して、プロパティ isRemoteDesktopProtocolEnabled が true に設定されていることを確認します。
```
Get-MgServicePrincipalRemoteDesktopSecurityConfiguration -ServicePrincipalId $WCLspId
```
両方のコマンドへの出力は次のようになります。
```
Id IsRemoteDesktopProtocolEnabled
-- ------------------------------
id True
```

既定では、シングルサインオンが有効になっている場合、ユーザーには、新しいセッションホストに接続するときにリモートデスクトップ接続を許可するダイアログが表示されます。 Microsoft Entraは、もう一度プロンプトを表示する前に、最大 15 ホストを 30 日間記憶します。リモートデスクトップ接続を許可するためにこのダイアログが表示された場合は、[ はい ] を選択して接続できます。

このダイアログを非表示にするには、信頼されたデバイスの一覧を構成します。デバイスの一覧を構成するには、セッションホストを含む 1 つ以上のグループを Microsoft Entra ID に作成し、SSO サービスプリンシパル Windows Cloud Login のプロパティにグループ ID を追加します。

同意プロンプトダイアログを非表示にするには、シナリオに関連するタブを選択し、手順に従います。

ヒント

動的グループを使用し、すべてのAzure Virtual Desktop セッションホストを含むように動的メンバーシップ規則を構成することをお勧めします。このグループではデバイス名を使用できますが、より安全なオプションとして、Microsoft Graph APIを使用してデバイス拡張属性を設定して使用できます。動的グループは通常、5 ~ 10 分以内に更新されますが、大規模なテナントには最大 24 時間かかることがあります。

動的グループには、Microsoft Entra ID P1 ライセンスまたは Education ライセンスのIntuneが必要です。詳細については、「グループの動的メンバーシップ規則」を参照してください。

Azure portal
PowerShell

Azure portalを使用して同意プロンプトダイアログを非表示にする方法を次に示します。

ダイアログを非表示にするセッションホストを含むMicrosoft Entra IDに動的グループを作成します。
Azure portal にサインインし
検索バーに「Microsoft Entra ID」と入力し、一致するサービスエントリを選択します。
[ デバイス] ( [管理] の下) を選択し、[ リモート接続構成 ] ( [管理] の下) を選択します。
[ Windows クラウドログイン] を選択します。
[ターゲットデバイスグループ] でハイパーリンクを選択して SSO を有効にします。
最初の手順で作成したグループのように、動的デバイスグループを検索して選択します。最大 10 個のデバイスグループを追加できます。
完了したら、[保存] を選択 します。

PowerShell を使用して同意プロンプトダイアログを非表示にするには、 Microsoft Graph PowerShell SDK を使用して、動的グループのオブジェクト ID と表示名を持つ新しい targetDeviceGroup オブジェクトをサービスプリンシパルに作成します。 Microsoft Graph API は、Graph エクスプローラーなどのツールと共に使用することもできます。

ダイアログを非表示にするセッションホストを含むMicrosoft Entra IDに動的グループを作成します。次の手順では、グループのオブジェクト ID を書き留めます。
同じ PowerShell セッションで、次のコマンドを実行して targetDeviceGroup オブジェクトを作成し、 <placeholders> を独自の値に置き換えます。
```
$tdg = New-Object -TypeName Microsoft.Graph.PowerShell.Models.MicrosoftGraphTargetDeviceGroup
$tdg.Id = "<Group object ID>"
$tdg.DisplayName = "<Group display name>"
```
次のコマンドを実行して、グループを targetDeviceGroup オブジェクトに追加します。
```
New-MgServicePrincipalRemoteDesktopSecurityConfigurationTargetDeviceGroup -ServicePrincipalId $WCLspId -BodyParameter $tdg
```
出力は次の例のようになります。
```
Id                                   DisplayName
--                                   -----------
12345678-abcd-1234-abcd-1234567890ab Contoso-session-hosts
```
targetDeviceGroup オブジェクトに追加するグループごとに手順 2 と 3 を繰り返します。最大 10 グループまでです。
後で targetDeviceGroup オブジェクトからデバイスグループを削除する必要がある場合は、次のコマンドを実行し、 <placeholders> を独自の値に置き換えます。
```
Remove-MgServicePrincipalRemoteDesktopSecurityConfigurationTargetDeviceGroup -ServicePrincipalId $WCLspId -TargetDeviceGroupId "<Group object ID>"
```

Kerberos サーバーオブジェクトを作成する

セッションホストが次の条件を満たしている場合は、Kerberos サーバーオブジェクトを作成する必要があります。詳細については、「Microsoft Entra IDを使用してオンプレミスリソースへのパスワードレスセキュリティキーサインインを有効にする」を参照してください。具体的には、「Kerberos Server オブジェクトを作成する」セクションを参照してください。

セッションホストがハイブリッド参加Microsoft Entra。ドメインコントローラーへの認証を完了するには、Kerberos サーバーオブジェクトが必要です。
セッションホストがMicrosoft Entra参加しており、環境に Active Directory ドメインコントローラーが含まれています。ユーザーがオンプレミスのリソース (SMB 共有や Windows 統合認証など) に Web サイトにアクセスするには、Kerberos サーバーオブジェクトが必要です。

重要

Kerberos サーバーオブジェクトを作成せずにハイブリッド参加済みセッションホストMicrosoft Entraシングルサインオンを有効にした場合、リモートセッションに接続しようとすると、次のいずれかが発生する可能性があります。

特定のセッションが存在しないことを示すエラーメッセージが表示されます。
シングルサインオンはスキップされ、セッションホストの標準認証ダイアログが表示されます。

これらの問題を解決するには、Kerberos サーバーオブジェクトを作成してから、もう一度接続します。

条件付きアクセスポリシーを確認する

シングルサインオンを有効にすると、セッションホストに対してユーザーを認証するための新しいMicrosoft Entra ID アプリ (Windows Cloud Login) が導入されます。 Virtual Desktop への Azureアクセス時に適用される条件付きアクセスポリシーがある場合は、推奨される 2 つのポリシー構造、構成前チェックリスト、および一般的な構成の誤りについては、「条件付きアクセスを使用してAzure Virtual Desktop に多要素認証Microsoft Entra適用する」を参照してください。

SSO を有効にした後もサインインプロンプトが繰り返し表示される場合は、「Azure Virtual Desktop のシングルサインオンと条件付きアクセスのトラブルシューティング」を参照してください。

シングルサインオンを有効にするようにホストプールを構成する

ホストプールでシングルサインオンを有効にするには、次の RDP プロパティを構成する必要があります。このプロパティは、Azure portalまたは PowerShell を使用して実行できます。 RDP プロパティを構成する手順については、「ホストプールのリモートデスクトッププロトコル (RDP) プロパティをカスタマイズする」を参照してください。

Azure portalで、シングルサインオンMicrosoft Entra [接続] に設定すると、Microsoft Entra認証が使用され、シングルサインオンが提供されます。
PowerShell の場合は、 enablerdsaadauth プロパティを 1 に設定します。

次の手順

パスワードレス認証を有効にする方法については、「セッション内パスワードレス認証」を参照してください。
Azure Virtual Desktop のセッションロック動作を構成する方法について説明します。
Kerberos Microsoft Entraの詳細については、「詳細: Kerberos のしくみMicrosoft Entra」を参照してください。
問題が発生した場合は、「参加している VM への接続のトラブルシューティング」Microsoft Entra参照してください。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-06-30

Microsoft Entra IDを使用してAzure Virtual Desktop のシングル サインオンを構成する

シングル サインオンを有効にする前に

セッション ロックの動作

シングル サインオンを使用する Active Directory ドメイン管理者アカウント

前提条件

RDP のMicrosoft Entra認証を有効にする

同意プロンプトダイアログを非表示にする

Kerberos サーバー オブジェクトを作成する

条件付きアクセス ポリシーを確認する

シングル サインオンを有効にするようにホスト プールを構成する