AZURE RBAC ロールまたはMicrosoft Entra ロールをサービスプリンシパルに割り当てる

いくつかのAzure Virtual Desktop 機能では、Azureロールベースのアクセス制御 (Azure RBAC) ロールまたはMicrosoft Entra ロールをサービスプリンシパルに割り当てる必要があります。サービスプリンシパルにロールを割り当てる必要がある機能は次のとおりです。

App Attach (Azure Filesを使用していて、セッションホストがMicrosoft Entra IDに参加している場合)。
自動スケーリング。
セッションホストの更新
接続時に VM を起動します。

ヒント

各機能の記事で、どのサービスプリンシパルに割り当てる必要があるロールまたはロールを見つけることができます。 Azure Virtual Desktop 用に作成されたすべての使用可能なAzure RBAC ロールの一覧については、「Azure Virtual Desktop の組み込みAzure RBAC ロール」を参照してください。 Microsoft Entraロールの詳細については、Microsoft Entraロールのドキュメントを参照してください。

AZURE RBAC ロールまたはMicrosoft Entra ロールをサービスプリンシパルに割り当てる場合は、次の 2 つのサービスプリンシパルオプションのいずれかを選択できます。

マネージド ID (プレビュー) は、Azure上のホストプールで使用できます。 Azure リソースのマネージド ID を使用すると、Entra テナントにのみ存在するサービスプリンシパルにアクセス許可を割り当てることができます。ホストプールに直接関連付けられているシステム割り当てマネージド ID、または独立したAzure リソースであり、複数のホストプール間の操作に使用できるユーザー割り当てマネージド ID を使用できます。マネージド ID の種類について詳しくは、こちらをご覧ください。
重要

Azure Virtual Desktop ホストプールのマネージド ID のサポートは現在プレビュー段階です。ベータ版、プレビュー版、または一般公開されていないAzure機能に適用される法的条件については、「Microsoft Azure プレビューの補足使用条件」を参照してください。マネージド ID を使用するプレビュー機能を利用できるのは、次の機能のみです。
- セッションホストの更新

Azure Virtual Desktop サービスプリンシパルは、Azure および Azure ローカルのホストプールで使用できます。 Azure Virtual Desktop サービスの原則は、テナント内のマルチテナントサービスを表すために作成されるシングルテナント ID です。

Microsoft.DesktopVirtualization リソースプロバイダーを登録したタイミングに応じて、サービスプリンシパル名は Virtual Desktop または Windows Virtual DesktopAzureで始まります。また、以前に Virtual Desktop クラシックと Azure Virtual Desktop (Azure Resource Manager) の両方Azure使用していた場合は、同じ名前のアプリが表示されます。正しいサービスプリンシパルにロールを割り当てることを確認するには、そのアプリケーション ID を確認します。各サービスプリンシパルのアプリケーション ID を次の表に示します。

サービスプリンシパル	アプリケーション ID
Azure Virtual Desktop Windows Virtual Desktop	9cdead84-a844-4324-93f2-b2e6bb768d07
Azure Virtual Desktop Client Windows Virtual Desktop Client	a85cf173-4192-42f8-81fa-777a763e6e2c
Azure Virtual Desktop ARM Provider Windows Virtual Desktop ARM Provider	50e95039-b200-4007-bc97-8d5790743a63

この記事では、Azure portal、Azure CLI、またはAzure PowerShellを使用して、Azure RBAC ロールまたは Microsoft Entra ロールを正しいAzure Virtual Desktop サービスプリンシパルに割り当てる方法について説明します。

前提条件

サービスプリンシパルにロールを割り当てる前に、次の前提条件を満たす必要があります。

RBAC ロールAzure割り当てるには、そのサブスクリプションにロールを割り当てるには、Azure サブスクリプションに対するMicrosoft.Authorization/roleAssignments/writeアクセス許可が必要です。このアクセス許可は、組み込みのロールの所有者またはユーザーアクセス管理者の一部です。
Microsoft Entraロールを割り当てるには、特権ロール管理者またはそれと同等の権限を持っている必要があります。
Azure PowerShellまたは Azure CLI をローカルで使用する場合は、「Azure Azure Virtual Desktop で CLI とAzure PowerShellを使用する」を参照して、Az.DesktopVirtualization PowerShell モジュールまたは desktopvirtualization Azure CLI 拡張機能がインストールされていることを確認します。または、Azure Cloud Shellを使用します。

Azure RBAC ロールを Azure Virtual Desktop サービスプリンシパルに割り当てる

Azure RBAC ロールをAzure Virtual Desktop サービスプリンシパルに割り当てるには、シナリオに関連するタブを選択し、手順に従います。これらの例では、ロールの割り当てのスコープはAzureサブスクリプションですが、各機能で必要なスコープとロールを使用する必要があります。

Azure portalを使用してサブスクリプションをスコープAzure Virtual Desktop サービスプリンシパルにAzure RBAC ロールを割り当てる方法を次に示します。

Azure portal にサインインし
検索ボックスに「Microsoft Entra ID」と入力し、一致するサービスエントリを選択します。
[概要] ページの [ テナントの検索] の検索ボックスに、前の表から割り当てるサービスプリンシパルのアプリケーション ID を入力します。
結果で、割り当てるサービスプリンシパルに対応するエンタープライズアプリケーションを選択します。仮想デスクトップまたは Windows Virtual DesktopAzure開始します。
[プロパティ] で、名前と オブジェクト ID を書き留めます。オブジェクト ID はアプリケーション ID に関連付け、テナントに固有です。
検索ボックスに戻る、「サブスクリプション」と入力し、一致するサービスエントリを選択します。
ロールの割り当てを追加するサブスクリプションを選択します。
[ アクセス制御 (IAM)] を選択し、[ + 追加] を選択し、[ ロールの割り当ての追加] を選択します。
Azure Virtual Desktop サービスプリンシパルに割り当てるロールを選択し、[次へ] を選択します。
[アクセスの割り当て先] がユーザー、グループ、またはサービスプリンシパルMicrosoft Entra設定されていることを確認し、[メンバーの選択] を選択します。
前にメモしたエンタープライズアプリケーションの名前を入力します。
結果から一致するエントリを選択し、[ 選択] を選択します。同じ名前のエントリが 2 つある場合は、今のところ両方を選択します。
テーブル内のメンバーの一覧を確認します。 2 つのエントリがある場合は、先ほどメモしたオブジェクト ID と一致しないエントリを削除します。
[ 次へ] を選択し、[ 確認と割り当て ] を選択してロールの割り当てを完了します。

Az.DesktopVirtualization PowerShell モジュールを使用して、サブスクリプションをスコープAzure Virtual Desktop サービスプリンシパルにAzure RBAC ロールを割り当てる方法を次に示します。

powerShell ターミナルの種類でAzure portalでAzure Cloud Shellを開くか、ローカルデバイスで PowerShell を実行します。
- Cloud Shellを使用している場合は、Azure コンテキストが使用するサブスクリプションに設定されていることを確認します。
- PowerShell をローカルで使用している場合は、最初に Azure PowerShell でサインインしてから、Azure コンテキストが使用するサブスクリプションに設定されていることを確認します。

ロールの割り当てを追加するサブスクリプションの ID を見つけるには、次のコマンドを使用して使用可能なすべての ID を一覧表示します。
```
Get-AzSubscription
```
次のコマンドを実行してサブスクリプション ID を変数に格納し、この例のサブスクリプション ID を独自のサブスクリプション ID に置き換えます。
```
$subId = "<SubscriptionID>"
```

次のコマンドを実行して、Azure Virtual Desktop サービスプリンシパルにロールを割り当てます。RoleDefinitionName パラメーターの値を割り当てる必要があるロールの名前に置き換え、ApplicationId パラメーターを前の表から割り当てるサービスプリンシパルのアプリケーション ID に置き換えます。次の使用例は、サブスクリプションの Azure Virtual Desktop サービスプリンシパルに Desktop Virtualization Power On Off 共同作成者ロールを割り当てます。

$parameters = @{
    RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
    ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
    Scope = "/subscriptions/$subId"
}

New-AzRoleAssignment @parameters

出力は次の例のようになります。

RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
DisplayName        : Azure Virtual Desktop
SignInName         : 
RoleDefinitionName : Desktop Virtualization Power On Off Contributor
RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : ServicePrincipal
CanDelegate        : False
Description        : 
ConditionVersion   : 
Condition          :

cli の desktopvirtualization 拡張機能を使用して、サブスクリプションをスコープとしたAzure Virtual Desktop サービスプリンシパルにAzure RBAC ロールAzure割り当てる方法を次に示します。

Bash ターミナルの種類でAzure portalでAzure Cloud Shellを開くか、ローカルデバイスでAzure CLI を実行します。
- Cloud Shellを使用している場合は、Azure コンテキストが使用するサブスクリプションに設定されていることを確認します。
- Azure CLI をローカルで使用している場合は、まず Azure CLI でサインインし、Azure コンテキストが使用するサブスクリプションに設定されていることを確認します。

ロールの割り当てを追加するサブスクリプションの ID を見つけるには、次のコマンドを使用して使用可能なすべての ID を一覧表示します。
```
az account list --output table
```
次のコマンドを実行して SubscriptionId の値を変数に格納し、この例のサブスクリプション ID を独自のサブスクリプション ID に置き換えます。
```
subId=00000000-0000-0000-0000-000000000000
```

次のコマンドを実行して、Azure Virtual Desktop サービスプリンシパルにロールを割り当てます。role パラメーターの値を割り当てる必要があるロールの名前に置き換え、assignee パラメーターを前の表から割り当てるサービスプリンシパルのアプリケーション ID に置き換えます。次の使用例は、サブスクリプションの Azure Virtual Desktop サービスプリンシパルに Desktop Virtualization Power On Off 共同作成者ロールを割り当てます。

az role assignment create \
    --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
    --role "Desktop Virtualization Power On Off Contributor" \
    --scope "/subscriptions/$subId"

出力は次の例のようになります。

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": null,
  "createdOn": "2023-06-22T13:50:22.978226+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
  "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
  "principalId": "00000000-0000-0000-0000-000000000000",
  "principalType": "ServicePrincipal",
  "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
  "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
  "updatedOn": "2023-06-22T13:50:23.335229+00:00"
}

Azure Virtual Desktop サービスプリンシパルにMicrosoft Entraロールを割り当てる

Azure Virtual Desktop サービスプリンシパルにMicrosoft Entraロールを割り当てるには、次の手順に従います。これらの例では、ロールの割り当てのスコープはAzureサブスクリプションですが、各機能で必要なスコープとロールを使用する必要があります。

Azure portalを使用してテナントを対象Azure Virtual Desktop サービスプリンシパルにMicrosoft Entraロールを割り当てる方法を次に示します。

Azure portal にサインインし
検索ボックスに「Microsoft Entra ID」と入力し、一致するサービスエントリを選択します。
[ ロールと管理者] を選択します。
割り当てるロールの名前を検索して選択します。カスタムロールを割り当てる場合は、「カスタムロールを作成して最初に作成する」を参照してください。
[ 割り当ての追加] を選択します。
検索ボックスに、前の表から割り当てるサービスプリンシパルのアプリケーション ID を入力します (例: 9cdead84-a844-4324-93f2-b2e6bb768d07)。
一致するエントリの横にあるチェックボックスをオンにし、[ 追加 ] を選択してロールの割り当てを完了します。

マネージド ID にAzure RBAC ロールを割り当てる (プレビュー)

Azure RBAC ロールをマネージド ID に割り当てるには、シナリオに関連するリンクを選択し、手順に従います。これらの例では、ロールの割り当てのスコープはAzureサブスクリプションですが、各機能で必要なスコープとロールを使用する必要があります。

マネージド ID にMicrosoft Entra ロールを割り当てる (プレビュー)

マネージド ID にMicrosoft Entra ロールを割り当てるには、手順に従います。これらの例では、ロールの割り当てのスコープはAzureサブスクリプションですが、各機能で必要なスコープとロールを使用する必要があります。

Azure portalを使用して、テナントをスコープとしたマネージド ID にMicrosoft Entraロールを割り当てる方法を次に示します。

Azure portal にサインインし
検索ボックスに「Microsoft Entra ID」と入力し、一致するサービスエントリを選択します。
[ ロールと管理者] を選択します。
割り当てるロールの名前を検索して選択します。カスタムロールを割り当てる場合は、「カスタムロールを作成して最初に作成する」を参照してください。
[ 割り当ての追加] を選択します。
検索ボックスに、割り当てる既存のマネージド ID を持つAzure リソースの名前を入力します。
- システム割り当てマネージド ID の場合、これはホストプールの名前です。
- ユーザー割り当てマネージド ID の場合、これはマネージド ID の名前です。
一致するエントリの横にあるチェックボックスをオンにし、[ 追加 ] を選択してロールの割り当てを完了します。

次の手順

Azure Virtual Desktop の組み込みのAzure RBAC ロールの詳細について説明します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-30

AZURE RBAC ロールまたはMicrosoft Entra ロールをサービス プリンシパルに割り当てる