Windows Enterprise マルチセッション リモート デスクトップ

Microsoft Intuneを使用した Azure Virtual Desktop マルチセッションが一般公開されました。

共有 Windows クライアント デバイスの管理と同じように、Microsoft Intune を使って Microsoft Intune 管理センターで Windows Enterprise マルチセッション リモート デスクトップを管理できるようになりました。 このような仮想マシン (VM) を管理する場合は、デバイスを対象としたデバイス ベースの構成、またはユーザーを対象としたユーザー ベースの構成を使用できます。

Windows Enterprise マルチセッションは、Azure 上の Azure 仮想デスクトップ専用の新しいリモート デスクトップ セッション ホストです。 これには次のようなメリットがあります。

• 複数の同時ユーザー セッションを可能にします。
• ユーザーに使い慣れた Windows エクスペリエンスを提供します。
• 既存のユーザーごとの Microsoft 365 ライセンスの使用をサポートします。

米国政府コミュニティ (GCC)、GCC High、DoD の Azure Government Cloud で作成された Windows Enterprise マルチセッション VM を管理できます。

概要

Windows Enterprise マルチセッション向け Microsoft Intune でのデバイス構成サポートが一般提供されています (GA)。 つまり、OS スコープで定義されたポリシーと、システム コンテキストでインストールするように構成されたアプリは、デバイス グループに割り当てられたときに、Azure Virtual Desktop マルチセッション VM に適用できます。

Windows Enterprise マルチセッション VM に対する Microsoft Intune でのユーザー構成サポートが一般提供されています。 これにより、次のことができます。

• [設定カタログ] を使用してユーザー スコープ ポリシーを構成し、ユーザーのグループに割り当てます。 検索バーを使用すると、スコープが "user" に設定されているすべての構成を検索できます。

• ユーザー証明書を構成し、ユーザーに割り当てます。

• ユーザー コンテキストにインストールし、ユーザーに割り当てるために PowerShell スクリプトを構成します。

前提条件

この機能では、次の Windows Enterprise マルチセッション VM がサポートされます。

• Azure Resource Manager 経由でデプロイされたホスト プールでリモート デスクトップとして設定されている。
• Intune と同じテナントにあります。
• Azure Virtual Desktop エージェント バージョン 1.0.2944.1400 以降を実行している。
• 次のいずれかの方法を使用して、Microsoft Entra ハイブリッドに参加し、Microsoft Intune に登録しました。
  • Active Directory グループ ポリシーで構成され、デバイス資格情報を使用するように設定され、Microsoft Entra ハイブリッドに参加しているデバイスを自動的に登録するように設定されます。
  • Configuration Manager の共同管理。
• Microsoft Entra を有効にして、Microsoft Intune に参加し、登録しました Azure portalで Intune を使用して VM を登録します。
• ライセンス: Microsoft API を介したMicrosoft Intune サービスへのアクセスなど、ユーザーまたはデバイスがMicrosoft Intune サービスから直接的または間接的に恩恵を受ける場合は、適切な Azure 仮想デスクトップとMicrosoft Intune ライセンスが必要です。 詳細については、「Microsoft Intune ライセンス」を参照してください。
• Azure Virtual Desktop のライセンス要件の詳細については、「Azure Virtual Desktop のライセンス」を参照してください。

制限事項

Intune では、既に登録されているコンピューターのクローン イメージの使用はサポートされていません。 これには、物理デバイスと Azure Virtual Desktop (AVD) などの仮想デバイスの両方が含まれます。 デバイス登録または ID トークンがデバイス間でレプリケートされると、Intune デバイスの登録または同期のエラーが発生します。

• 詳細については、「 モバイル デバイスの登録 - Windows クライアント管理 」および 「証明書認証デバイスの登録 - Windows クライアント管理」を参照してください。
• 画像の複製に関連する問題のトラブルシューティングについては、「 エラー hr 0x8007064c: マシンは既に登録されています」を参照してください。

Windows Enterprise マルチセッション VM は別の OS エディションとして扱われ、一部の Windows Enterprise 構成はこのエディションではサポートされません。 この Microsoft Intune は、同じ VM の Azure Virtual Desktop 管理に依存したり干渉したりしません。

デバイス構成プロファイルの作成

Windows Enterprise マルチセッション VM の構成ポリシーを構成するには、Microsoft Intune 管理センターの設定カタログを使用します。

Windows Enterprise マルチセッション VM では、次の構成プロファイル テンプレートのみがサポートされています。

• 信頼できる証明書 - デバイスをターゲットにする場合はデバイス (マシン)、ユーザーをターゲットにする場合はユーザー
• SCEP 証明書 - デバイスをターゲットにする場合はデバイス (マシン)、ユーザーをターゲットにする場合はユーザー
• PKCS 証明書 - デバイスをターゲットにする場合はデバイス (マシン)、ユーザーをターゲットにする場合はユーザー
• VPN - デバイス トンネルのみ

Microsoft Intune は、サポートされていないテンプレートをマルチセッション デバイスに配信せず、それらのポリシーはレポート中で、適用不可と表示されます。

ポリシーを構成するには

1. Microsoft Intune 管理センターにサインインし、[デバイス]>プラットフォーム別>Windows>デバイスの管理>構成>作成>新しいポリシー] を選択します。
2. [プラットフォーム] には、[Windows 10 以降] を選択します。
3. [プロファイルの種類] で [設定カタログ] を選択するか、テンプレートを使用して設定を展開するときに、[テンプレート] を選択してから、サポートされているテンプレートの名前を選択します。
4. [作成] を選択します。
5. [基本] ページ上で、[名前] を指定し、(必要に応じて) [説明]>[次へ] に進みます。
6. [構成設定] ページで、[Add settings]\(設定の追加\) を選択します。
7. [設定ピッカー] で [フィルターの追加] を選択し、次のオプションを選択します。
   • キー: OS のエディション
   • 演算子: ==
   • 値: Enterprise マルチセッション
   • [適用] を選択します。 フィルター処理された一覧に、Windows Enterprise マルチセッションをサポートするすべての構成プロファイル カテゴリが表示されるようになりました。 ポリシーのスコープは、かっこ内に表示されます。 ユーザー スコープの場合は (ユーザー) として表示され、残りはすべてデバイス スコープを持つポリシーです。
8. フィルター処理された一覧から、目的のカテゴリを選択します。
   • 選択したカテゴリごとに、新しい構成プロファイルに適用する設定を選択します。
   • 設定ごとに、この構成プロファイルに使用する値を選択します。
9. 設定の追加が完了したら、[ 次へ ] を選択します。
10. [割り当て] ページで、このプロファイルを割り当てるデバイスを含むMicrosoft Entraグループを選択します >次へ)。
11. [ スコープ タグ] ページで、このプロファイルに適用するスコープ タグを必要に応じて追加します >次へ。 スコープ タグの詳細については、「分散 IT のためのロールベースのアクセス制御とスコープのタグの使用」をご覧ください。
12. [確認および作成] ページで、[作成] を選択してプロファイルを作成します。

管理用テンプレート

Intune 設定カタログの管理用テンプレートは、いくつかの制限付きで Windows Enterprise マルチセッションでサポートされています。

• ADMX ベースのポリシーがサポートされています。 一部のポリシーは、設定カタログではまだ利用できません。
• ADMX で取り込まれるポリシーがサポートされています。 ADMX が取り込まれたポリシーのカテゴリの完全な一覧については、「Win32 およびデスクトップ ブリッジ アプリ ポリシーの構成」を参照してください。 一部の ADMX 取り込み設定は、Windows Enterprise マルチセッションには適用されません。

コンプライアンスおよび条件付きアクセス

Windows Enterprise マルチセッション VM をセキュリティで保護するには、Microsoft Intune 管理センターでコンプライアンス ポリシーと条件付きアクセス ポリシーを構成します。 Windows Enterprise マルチセッション VM では、次のコンプライアンス ポリシーがサポートされています。

• 最小 OS バージョン
• 最大 OS バージョン
• 有効なオペレーティング システムのビルド
• 単純なパスワード
• パスワードの種類
• パスワードの最小文字数
• パスワードの複雑さ
• パスワードの有効期限 (日)
• 再使用を禁止するパスワード世代数
• Microsoft Defender マルウェア対策
• 最新の Microsoft Defender マルウェア対策セキュリティ インテリジェンス
• ファイアウォール
• ウイルス対策
• スパイウェア対策
• リアルタイム保護
• Microsoft Defender マルウェア対策の最小バージョン
• Defender ATP のリスク スコア

他のすべてのポリシーは、"適用なし" としてレポートされます。

条件付きアクセス ポリシー は、Windows Enterprise マルチセッションのユーザー ベースとデバイス ベースの構成の両方をサポートします。

エンドポイントのセキュリティ

マルチセッション VM のエンドポイント セキュリティのプロファイルは、[プラットフォーム Windows] を選択して構成できます。 そのプラットフォームが使用できない場合、マルチセッション VM ではプロファイルはサポートされません。

詳細については、「Microsoft Intune のエンドポイント セキュリティ ポリシーを使用したデバイス セキュリティの管理」を参照してください。

アプリケーションの展開

すべての Windows アプリは、次の制限付きで Windows Enterprise マルチセッションに展開できます。

• すべてのアプリは、システム コンテキストとデバイス コンテキストでインストールするように構成し、デバイスを対象にする必要があります。 Web アプリは、既定ではユーザー コンテキストで適用されるため、マルチセッション VM には適用されません。
• すべてのアプリは、必須、またはアンインストールのアプリ割り当ての目的で構成する必要があります。 使用可能なアプリ展開の目的は、マルチセッション VM でサポートされていません。
• システム コンテキストでインストールするように構成されている Win32 アプリが、ユーザー コンテキストでインストールするように構成されたアプリに対する依存関係または置き換えのリレーションシップを持っている場合、アプリはインストールされません。 Windows Enterprise マルチセッション VM に適用するには、システム コンテキスト アプリの別のインスタンスを作成するか、すべてのアプリの依存関係がシステム コンテキストにインストールされるように構成されていることを確認します。
• Azure Virtual Desktop RemoteApp と MSIX アプリ アパッチは、現在 Microsoft Intune でサポートされていません。

スクリプト展開

システム コンテキストで実行するように構成され、デバイスに割り当てられるスクリプトは、Windows Enterprise マルチセッションでサポートされます。 これは、[スクリプト設定] で [このスクリプトをログオンしたユーザーの資格情報を使用して実行する] を [いいえ] に設定することにより、構成できます。

ユーザー コンテキストで実行するように構成され、ユーザーに割り当てられたスクリプトは、Windows Enterprise マルチセッションでサポートされます。 これは、[スクリプト設定] で [このスクリプトをログオンしたユーザーの資格情報を使用して実行する] を [はい] に設定することにより、構成できます。

Windows Update クライアント ポリシー

設定カタログを使用して、Windows Enterprise マルチセッション VM の品質 (セキュリティ) 更新プログラムの Windows Update 設定を管理できます。 カタログでサポートされている設定を見つけるには、Enterprise マルチセッションの設定フィルターを構成してから、[Windows Update for Business] カテゴリを展開します。

次の設定がカタログで利用可能であり、リンクは Windows CSP ドキュメントを開きます。

• アクティブ時間の終了
• アクティブ時間の最大範囲
• アクティブ時間の開始
• "更新プログラムの一時停止" 機能のブロック
• 期限の猶予期間の構成
• 品質更新プログラムを延期する期間 (日数)
• 品質更新プログラムの一時停止の開始時刻
• 品質更新プログラムの期限期間 (日数)

リモート操作

次の Windows デスクトップ デバイスのリモート アクションはサポートされておらず、UI でグレー表示され、Windows Enterprise マルチセッション VM の Graph で無効になります。

• Windows Autopilot のリセット
• BitLocker キーの交換
• 新たに開始
• リモート ロック
• パスワードのリセット
• ワイプ

退職

Azure から VM を削除すると、孤立したデバイス レコードが Microsoft Intune 管理センターに残ります。 AVD マシンは 30 日後に自動的に削除され、60 日後には完全に削除されます。 詳細については、以下を参照してください:

• Intune デバイスのクリーンアップ規則を使用します。
• クリーンアップ ルールを使用してデバイスを自動的に削除する

セキュリティ基本計画

セキュリティ ベースラインは、Windows Enterprise マルチセッションで使用できます。 使用可能なセキュリティ ベースラインを確認し、設定カタログで推奨されるポリシーと値を構成することをお勧めします。

Windows Enterprise マルチセッション VM でサポートされていないその他の構成

Out of Box Experience (OOBE) 登録は、Windows Enterprise マルチセッションではサポートされていません。 この制限は次のことを意味します。

• Windows Autopilot と商用 OOBE はサポートされていません。
• 登録ステータス ページはサポートされていません。

Microsoft Intune によって管理される Windows Enterprise マルチセッションは、現在 China Sovereign Cloud ではサポートされていません。

トラブルシューティング

以下のセクションでは、一般的な問題に関するトラブルシューティングのガイダンスを提供します。

登録に関する問題

構成の問題

次の手順

Azure Virtual Desktops について、さらに詳しく学習します。