このガイドを使って、Azure EnclaveにおけるAzure Virtual Desktop(AVD)セッションホストワークロードとそのネットワーク接続を計画しましょう。 エンドツーエンドのAVDデプロイ手順(ホストプールやセッションホストを含む)については、Azure Enclave で Azure Virtual Desktop ワークロードをデプロイするを参照してください。 この記事では、ワークロードリソースグループの関連付けとエンクレイブネットワークパスの設定に焦点を当てています。AVDのデプロイ手順を置き換えるものではありません。
管理者VMは、管理者が隔離されたエンクレーブネットワーク内から変更を行うことができるように設定された仮想マシンです。 他のリソースへの到達可能性は、設定されたネットワークルートやセキュリティ制御に依存します。
Azure Bastionがエンクレーブで有効になっている場合、プライベートIPアドレスを使って仮想マシンへの安全な接続を提供できます。 組織が別のアクセスパターンを必要とする場合は、AVDセッションホストを代替のエントリーポイントとして設定できます。 AVDの接続性は、設計上のルート、ネットワークセキュリティグループ、ファイアウォールルール、Enclaveエンドポイントルールに依存します。
前提条件
準備:
- コミュニティとエンクレーブを作りましょう。
- 選択したアイデンティティおよび展開設定のAVD導入要件とネットワーク宛先を確認しましょう。
- どのリソース グループに AVD リソースを含めるかを決め、そのリソース グループを作成する、またはワークロードに関連付ける権限があることを確認してください。
ワークロードリソースグループを作成して関連付けます
- エンクレイブでワークロードを作成します。
wl-avd-managementのようなワークロード名を使いましょう。 - ワークロード作成時に、AVDリソース用のワークロードリソースグループを作成または追加してください。 例えば、ワークロードリソースグループ名には
wl-rg-avd-sessionhostsを使います。 詳細は「Create a workload resource group」をご覧ください。 -
Azure Virtual Desktopのデプロイガイダンスに従ってAVDコンポーネントを展開してください。 リソースグループをターゲットにした各デプロイステップでは、作成したワークロードリソースグループ(例:
wl-rg-avd-sessionhosts)を使いましょう。 Azure EnclaveでAzure Virtual Desktopワークロードをデプロイする手順に従う場合は、前提条件とパラメータを確認してください。
ネットワーク接続を構成する
- デプロイで必要とされる AVD 宛先のルールをまとめた共通エンドポイントを作成します。 選択したエンドポイントルールタイプとコミュニティファイアウォールSKUがこれらの目的地に対応しているか確認してください。
- エンクレーブ エンドポイントを作成します。これは、エンクレーブ内の必要な宛先用です。 設計に必要な宛先IPアドレスやCIDRの範囲、ポート、プロトコルを設定してください。
- エンクレーブ接続を作成し、エンクレーブとコミュニティ間で設定されたネットワーク経路を確立します。 接続を作成するだけでAVD接続が保証されるわけではありません。エンドポイントルールやその他のネットワーク制御が必要なトラフィックを許可しているかを検証してください。