条件付きアクセスMicrosoft Entra使用してAzure Virtual Desktop に多要素認証を適用する

ユーザーは、さまざまなデバイスとクライアントAzure使用してどこからでも Virtual Desktop にサインインできます。 ただし、環境とユーザーを安全に保つために必要な特定の対策があります。 Azure Virtual Desktop で Microsoft Entra多要素認証 (MFA) を使用すると、サインイン プロセス中に、ユーザー名とパスワードに加えて別の形式の識別を求めるメッセージが表示されます。 条件付きアクセスを使用してAzure Virtual Desktop に MFA を適用したり、Web クライアント、モバイル アプリ、デスクトップ クライアント、またはすべてのクライアントに適用するかどうかを構成することもできます。

ユーザーがリモート セッションに接続するときは、Azure Virtual Desktop サービスとセッション ホストに対して認証を行う必要があります。 MFA が有効になっている場合は、Azure Virtual Desktop サービスに接続するときに使用され、他のサービスにアクセスする場合と同じ方法で、ユーザー アカウントと 2 番目の形式の認証を求められます。 ユーザーがリモート セッションを開始すると、セッション ホストにユーザー名とパスワードが必要になりますが、シングル サインオン (SSO) が有効になっている場合、これはユーザーにとってシームレスです。 詳細については、「 認証方法」を参照してください。

ユーザーが再認証を求められる頻度は、条件付きアクセス アダプティブ セッションの有効期間ポリシー Microsoft Entraによって異なります。 資格情報を覚えておくのは便利ですが、個人用デバイスを使用したデプロイの安全性を低くすることもできます。 ユーザーを保護するために、クライアントが多要素認証資格情報Microsoft Entra要求する頻度を高めることができます。 条件付きアクセス のサインイン頻度を使用して、この動作を構成できます。

Azure Virtual Desktop に MFA を適用し、必要に応じて次のセクションでサインイン頻度を構成する方法について説明します。

前提条件

開始する必要がある内容を次に示します。

• P1 または P2 Microsoft Entra ID含むライセンスをユーザーに割り当てます。
• Azure Virtual Desktop ユーザーがグループ メンバーとして割り当てられているMicrosoft Entra グループ。
• 多要素認証Microsoft Entra有効にします。

条件付きアクセス ポリシーを作成します

Virtual Desktop に接続するときに多要素認証を必要とする条件付きアクセス ポリシー Azure作成する方法を次に示します。

1. 少なくとも条件付きアクセス管理者としてMicrosoft Entra 管理センターにサインインします。

2. [Protection>Conditional Access>Policies] を参照します。

3. [ 新しいポリシー] を選択します。

4. ポリシーに名前を付けます。 組織は、ポリシーの名前に意味のある標準を作成することをお勧めします。

5. [ 割り当て>ユーザー] で、 選択した 0 人のユーザーとグループを選択します。

6. [含める] タブで、[ユーザーとグループの選択] を選択し、[ユーザーとグループ] をチェックし、[選択] で [0 人のユーザーとグループを選択] を選択します。

7. 開いた新しいウィンドウで、Azure Virtual Desktop ユーザーをグループ メンバーとして含むグループを検索して選択し、[選択] を選択します。

8. [ 割り当て>ターゲット リソース] で、[ ターゲット リソースが選択されていない] を選択します。

9. ドロップダウン リストで 、このポリシーが適用される対象を選択します。既定の [リソース (旧称クラウド アプリ)] のままにします。 [ 含める ] タブで[ リソースの選択] を選択し、[ 選択] で [なし] を選択 します。

10. 開いた新しいウィンドウで、保護しようとしているリソースに基づいて必要なアプリを検索して選択します。 シナリオに関連するタブを選択します。 Azureでアプリケーション名を検索する場合は、アプリケーション名に含まれるキーワードの順序ではなく、アプリケーション名で始まる検索用語を使用します。 たとえば、Virtual Desktop Azure使用する場合は、その順序で「Azure Virtual」と入力する必要があります。 "virtual" を単独で入力した場合、検索では目的のアプリケーションは返されません。

    • Azure 仮想デスクトップ
    • Azure Virtual Desktop (クラシック)

    Azure Virtual Desktop の場合 (Azure Resource Managerに基づいて)、次のさまざまなアプリで MFA を構成できます。

    • Azure Virtual Desktop (アプリ ID 9cdead84-a844-4324-93f2-b2e6bb768d07) は、ユーザーが Virtual Desktop Azureサブスクライブするときに適用され、接続中にAzure Virtual Desktop Gateway に対して認証され、診断情報がユーザーのローカル デバイスからサービスに送信されるときに適用されます。

      ヒント

      アプリ名は以前 Windows Virtual Desktop でした。 表示名が変更される前に Microsoft.DesktopVirtualization リソース プロバイダーを登録した場合、アプリケーションの名前は、Azure Virtual Desktop と同じアプリ ID を持つ Windows Virtual Desktop になります。

    • Windows Cloud Login (アプリ ID 270efc09-cd0d-444b-a71f-39af4910ec45) 。 これは、シングル サインオン が有効になっているときにユーザーがセッション ホストに対して認証を行うときに適用されます。 サインイン頻度を除き、これらのアプリとAzure Virtual Desktop アプリの間で条件付きアクセス ポリシーを一致することをお勧めします。

      重要

      • シン クライアントAzure Virtual Desktop に接続する場合は、クライアントのプロバイダーに問い合わせて、シングル サインオン接続に条件付きアクセス ポリシーに Windows クラウド ログインを使用する必要があることを確認してください。

      • Virtual Desktop Azure Resource Manager プロバイダー (アプリ ID 50e95039-b200-4007-bc97-8d5790743a63) Azureというアプリを選択しないでください。 このアプリは、ユーザー フィードの取得にのみ使用され、多要素認証を持つべきではありません。

11. アプリを選択したら、[選択] を 選択します。

    

12. [ 割り当て>Conditions] で、[ 0 条件] を選択します。

13. [ クライアント アプリ] で、[ 未構成] を選択します。

14. 開いた新しいウィンドウで、[ 構成] で [ はい] を選択します。

15. このポリシーが適用されるクライアント アプリを選択します。

    • ポリシーを Web クライアントに適用する場合は、[ ブラウザー ] を選択します。
    • 他のクライアントにポリシーを適用する場合は、[ モバイル アプリとデスクトップ クライアント] を選択します。
    • ポリシーをすべてのクライアントに適用する場合は、両方のチェックボックスを選択します。
    • レガシ認証クライアントの値の選択を解除します。

    

16. このポリシーが適用されるクライアント アプリを選択したら、[完了] を選択 します。

17. [ アクセス制御>Grant] で、 選択した 0 個のコントロールを選択します。

18. 開いた新しいウィンドウで、[ アクセス権の付与] を選択します。

19. [ 多要素認証が必要] をオンにし、[選択] を 選択します。

20. ページの下部にある [ ポリシーの有効化] を [オン] に設定し、[ 作成] を選択します。

サインイン頻度を構成する

サインイン頻度ポリシーを使用すると、Microsoft Entra ベースのリソースにアクセスするときにユーザーがサインインする必要がある頻度を構成できます。 これは、環境をセキュリティで保護するのに役立ち、ローカル OS で MFA が必要ない場合や、非アクティブの後に自動的にロックされない可能性がある個人用デバイスにとって特に重要です。 ユーザーは、リソースにアクセスするときに、Microsoft Entra IDから新しいアクセス トークンが要求された場合にのみ認証するように求められます。

サインイン頻度ポリシーでは、選択したMicrosoft Entra アプリに基づいて動作が異なります。

ユーザーが再度サインインするように求められる期間を構成するには:

1. 前に作成したポリシーを開きます。
2. [ アクセス制御>Session] で、 選択した 0 つのコントロールを選択します。
3. [ セッション ] ウィンドウで、[ サインイン頻度] を選択します。
4. [ 定期的な再認証] または [ 毎回] を選択します。
   • [ 定期的な再認証] を選択した場合は、新しいアクセス トークンを必要とするアクションを実行するときにユーザーが再度サインインするように求められる期間の値を設定し、[ 選択] を選択します。 たとえば、値を 1 に設定し、単位を Hours に設定すると、最後のユーザー認証から 1 時間以上後に接続が起動された場合、多要素認証が必要になります。
   • [ 毎回 ] オプションは、ホスト プールに対してシングル サインオンが有効になっている場合に 、Windows Cloud ログイン アプリに適用された場合にのみサポートされます。 [ 毎回] を選択すると、最後の認証から 5 分から 10 分後に新しい接続を起動するときに、ユーザーに再認証を求められます。
5. ページの下部で、[保存] を選択します。

推奨される条件付きアクセス ポリシーの構造

Azure Virtual Desktop でシングル サインオンが有効になっている場合、2 つのMicrosoft Entra アプリケーションが接続に関与します。Azure Virtual Desktop アプリはフィード サブスクリプションとゲートウェイ認証を処理し、Windows Cloud Login アプリはセッション ホスト のサインインを処理します。 どちらのアプリでも、互いに連携する条件付きアクセス ポリシーが必要です。または、ユーザーには予期しない時間に多要素認証プロンプトが表示されます。

構成前チェックリスト

ホスト プールで SSO を有効にする前に、これらのチェックを完了します。

アプリの登録を確認する:

• テナントにAzure Virtual Desktop アプリ (ID: 9cdead84-a844-4324-93f2-b2e6bb768d07) が存在することを確認します。
• テナントに Windows Cloud ログイン アプリ (ID: 270efc09-cd0d-444b-a71f-39af4910ec45) が存在することを確認します。
• Azure Virtual Desktop Azure Resource Manager プロバイダー (ID: 50e95039-b200-4007-bc97-8d5790743a63) を条件付きアクセス ポリシーに追加しないでください。 このアプリはフィード取得専用であり、多要素認証を適用してはなりません。

競合がないか確認します。

• すべてのクラウド アプリを対象とするすべての条件付きアクセス ポリシーを一覧表示します。 これらのポリシーは、Azure Virtual Desktop SSO セッションに適用され、予期せずアクセスをブロックする可能性があります。
• ポリシーに デバイスコンプライアンスが必要かどうかを確認します。 Entra参加Azure Virtual Desktop セッション ホストは、ユーザー エンドポイント用に設計されたコンプライアンス ポリシーを満たしていない可能性があります。
• 任意のポリシーが 場所ベースの制限を適用するかどうかを確認します。 Azure Virtual Desktop アプリの場合、場所ベースのポリシーはユーザーのクライアント IP に対して評価されます。 Windows Cloud Login アプリ (セッション ホストへの SSO) の場合、条件付きアクセスで表示される IP アドレスは、ネットワーク ルーティングに応じてユーザーのクライアント IP と異なる場合があります。 適用する前に、両方のアプリに対して場所ベースのポリシーをテストします。
• ポリシーで Windows Cloud ログイン アプリがブロックされていないことを確認します。
• Windows 365 アプリ (0af06dc6-e4b5-4f28-818e-e78e62d137a5) がブロックされていないことを確認します。 Windows アプリは、ユーザーが仮想デスクトップ リソースのみを持っている場合でも、Azure Virtual Desktop アプリとWindows 365 アプリの両方に対して認証Azure。 Windows 365 アプリをブロックする条件付きアクセス ポリシーにより、Azure Virtual Desktop ユーザーのサインイン エラーが発生します。

ユーザーごとのレガシ多要素認証を無効にします。

Microsoft Entra 管理センターで、[Id>Users>すべてのユーザー] に移動し、ツール バーから [ユーザーごとの MFA] を選択します。 すべてのAzure Virtual Desktop ユーザーに対して、ユーザーごとの多要素認証が無効になっていることを確認します。 詳細については、「参加済みセッション ホスト VM のMicrosoft Entra」を参照してください。

2 つのポリシー構造

1 つのポリシーを結合するのではなく、2 つの個別のポリシーを作成します。

ポリシー 1 - 仮想デスクトップ サービス認証をAzureします。

ポリシー 2 - セッション ホスト SSO 認証:

認証フロー

ユーザーが接続すると、2 つのアプリが異なるポイントで評価されます。

1. ユーザーのWindows アプリは、Azure Virtual Desktop アプリに対して認証されます。 ポリシー 1 が評価されます。 トークンが発行されます。
2. Windows アプリは、トークンを使用してAzure Virtual Desktop Gateway に接続します。
3. ゲートウェイは、 Windows Cloud ログイン アプリを介してセッション ホスト SSO を開始します。 ポリシー 2 が評価されます。
4. Windows Cloud ログイン アプリは、セッション ホストのMicrosoft Entra トークンを発行します。
5. セッション ホストはトークンを受け入れ、セッションの準備ができました。

ポリシー 1 は、手順 1 を制御します。 ポリシー 2 は、手順 3 を制御します。 両方が正しく構成されると、ユーザーには 1 つの多要素認証プロンプト (必要な場合) が表示され、セッションにシームレスに入ります。

一般的な構成ミス

構成後の検証

SSO を有効にし、条件付きアクセス ポリシーを構成した後:

1. Windows アプリ Azure使用して Virtual Desktop に接続します。
2. (必要に応じて多要素認証を使用して) 1 回認証することを確認し、2 番目の資格情報プロンプトなしでセッションに入ります。
3. Microsoft Entra 管理センターで、Identity>Monitoring & health>Sign-in ログに移動し、テスト ユーザーによってフィルター処理します。 確認：
   • Azure Virtual Desktop: 状態: 成功、条件付きアクセス ポリシーが適用されました。
   • Windows クラウド ログイン: 状態: 成功、条件付きアクセス ポリシーが適用されました。
4. どちらかが [失敗] と表示されている場合は、エントリを選択し、[条件付きアクセス] タブをチェックして、サインインをブロックしたポリシーを特定します。

ユーザーに引き続きサインイン プロンプトが繰り返し表示される場合は、「Azure Virtual Desktop のシングル サインオンと条件付きアクセスのトラブルシューティング」を参照してください。

参加済みセッション ホスト VM のMicrosoft Entra

接続を成功させるには、 従来のユーザーごとの多要素認証サインイン方法を無効にする必要があります。 Windows Hello for Businessなどの強力な認証方法にサインインを制限しない場合は、条件付きアクセス ポリシーからAzure Windows VM Sign-In アプリを除外する必要があります。

次の手順

• 条件付きアクセス ポリシーの詳細
• ユーザーサインイン頻度の詳細