クラウド PC ユーザーの ID は、そのユーザーとクラウド PC を管理するアクセス管理サービスを定義します。 この ID では次のものが定義されます:
- ユーザーがアクセスできるクラウド PC の種類。
- ユーザーがアクセスできるクラウド以外の PC リソースの種類。
デバイスは、Microsoft Entra ID への参加の種類によって決定される ID を持つこともできます。 デバイスの場合、参加の種類により次が定義されます:
- デバイスがドメイン コントローラーへの見通し線を必要とする場合。
- デバイスの管理方法。
- ユーザーがデバイスを認証する方法。
ID の種類
次の 4 つの ID タイプがあります。
- ハイブリッド ID: オンプレミスの Active Directory Domain Services で作成され、Microsoft Entra IDに同期されたユーザーまたはデバイス。
- クラウドのみの ID: 作成され、Microsoft Entra ID にのみ存在するユーザーまたはデバイス。
- フェデレーション ID: Microsoft Entra ID または Active Directory Domain Services 以外のサード パーティの ID プロバイダーで作成され、Microsoft Entra ID とフェデレーションされたユーザー。
- 外部 ID: Microsoft Entra テナントの外部で作成および管理されているが、Microsoft Entra テナントに招待されてorganizationのリソースにアクセスするユーザー。
注:
外部 ID
外部 ID のサポートを使用すると、ユーザーを Entra ID テナントに招待し、クラウド PC を提供することができます。 クラウド PC を外部 ID に提供する場合は、いくつかの要件と制約があります。
- 要件
- クラウド PC オペレーティング システム: クラウド PC は、Windows 11 Enterprise バージョン 24H2 以降を実行し、2025-09 累積 Updates for Windows 11 (KB5065789) 以降がインストールされている必要があります。
- クラウド PC 参加の種類: クラウド PC は Entra に参加している必要があります。
- シングル サインオン: クラウド PC 用に シングル サインオン を構成する必要があります。
- Windows アプリ Client: 外部 ID のサポートは、Windows、macOS、iOS、Android、または Web ブラウザーの Windows アプリ で一般的に利用できます。 詳細については、Windows アプリ ドキュメントの「ID」セクションを参照してください。
- ライセンス: 外部 ID に、クラウド PC 上のソフトウェアとサービスに対する適切な資格があることを確認します。 詳細については、「Windows 365 ライセンス ガイダンス」を参照してください。
- 制限事項
Intune デバイス構成ポリシー: 外部 ID に割り当てられたデバイス構成ポリシーは、ユーザーのクラウド PC には適用されません。 代わりに、デバイス構成ポリシーをデバイスに割り当てます。
Windows 365 Government の可用性: Windows 365 Government がサポートされており、ユーザーは Windows、macOS、iOS、Android で Windows アプリ に接続できます。
クロス クラウド招待: クロスクラウド ユーザーはサポートされていません。 クラウド PC を提供することができるのは、ソーシャル ID プロバイダーから招待したユーザー、Windows 365 サービスと同じ Microsoft Azure クラウドの Microsoft Entra ユーザー、または従業員テナントに登録されているその他の ID プロバイダーのみです。 21Vianet が運営する Microsoft Azure から招待したユーザーにクラウド PC をプロビジョニングすることはできません。
トークン保護: Microsoft Entra には、外部 ID のトークン保護に関して一定の制限があります。 プラットフォーム別のトークン保護のための Windows アプリ のサポートの詳細について説明します。
Kerberos 認証: 外部 ID は、Kerberos または NTLM プロトコルを使用してオンプレミス リソースに対して認証できません。
Microsoft 365 アプリ: Windows デスクトップ版の Microsoft 365 アプリには、次の場合にのみログインできます。
- 招待されるユーザーは、Entra ベースのアカウント、または Microsoft 365 Apps のライセンスが付与されている Microsoft アカウントです。
- 招待されたユーザーは、ホーム organizationからの条件付きアクセス ポリシーによって Microsoft 365 アプリへのアクセスがブロックされません。
招待されたアカウントに関係なく、クラウド PC の Web ブラウザーで適切な Microsoft 365 アプリを使用して、共有されている Microsoft 365 ファイルにアクセスできます。
ID プロバイダー: ワンタイム パスコード サインインを除き、リストされている任意の ID プロバイダーで外部 ID としてサインインできます。 次の Windows アプリ クライアントには、追加の制限があります。
- iOS、Android: サインインに使用できるサポートされているソーシャル ID プロバイダーは、クライアントと同じデバイスで実行されている Microsoft Authenticator アプリで接続されている アカウント として構成されている Microsoft アカウントのみです。 Facebook または Google ではサインインできません。
ドメインレス フェデレーション: Windows 365 は、ドメインレス SAML IdP フェデレーションを通じて外部 ID をサポートしますが、これらのユーザーは、Windows アプリを起動する前に招待 (
domain_hintパラメーターを含む) を使用する必要があります。 ユーザーが Windows アプリ に接続しているが、まだドメインレス SAML IdP への招待を引き換えていない場合、ユーザーは招待を認証または承諾できません。
外部 ID 用の環境の構成に関する推奨事項と Windows 365 ライセンス ガイダンスについては、Microsoft Entra B2B のベスト プラクティスを参照してください。
デバイス参加の種類
クラウド PC のプロビジョニングをするときに選択できる参加の種類は 2 つあります。
- Microsoft Entra ハイブリッド参加: この参加の種類を選択すると、Windows 365 はクラウド PC を指定した Windows Server Active Directory ドメインに参加させます。 次に、organization が Microsoft Entra ハイブリッド参加用に適切に構成されている場合、デバイスは Microsoft Entra ID に同期されます。
- Microsoft Entra 参加: この参加の種類を選択すると、Windows 365 はクラウド PC を Microsoft Entra ID に直接参加させます。
次の表に、選択した結合の種類に基づく主な機能または要件を示します。
| 機能または要件 | Microsoft Entra ハイブリッド参加 | Microsoft Entra 参加 |
|---|---|---|
| Azure サブスクリプション | 必須 | 省略可能 |
| ドメイン コントローラーへの見通し線がある Azure Virtual Network | 必須 | 省略可能 |
| ログインでサポートされているユーザー ID の種類 | ハイブリッド ユーザーのみ | ハイブリッド ユーザー、クラウドのみのユーザー、または外部 ID |
| ポリシー管理 | グループ ポリシー オブジェクト (GPO) または Intune MDM | Intune MDM のみ |
| Windows Hello for Business サインインがサポートされています | はい。接続するデバイスには、ダイレクト ネットワークまたは VPN を介してドメイン コントローラーへの見通し線があることが必要です | はい |
認証
ユーザーがクラウド PC にアクセスすると、次の 3 つの個別の認証フェーズがあります。
- クラウド サービス認証: リソースのサブスクライブとゲートウェイへの認証を含む Windows 365 サービスへの認証は、Microsoft Entra ID で行われます。 ここで、Entra ID 条件付きアクセス ポリシーを適用できます。 また、ここで Entra ID からサードパーティの ID プロバイダーにフェデレーションできます。
- リモート セッション認証: クラウド PC に対する認証。 推奨されるシングル サインオン (SSO) など、リモート セッションに対する認証方法は複数あります。
- セッション内認証: クラウド PC 内のアプリケーションと Web サイトに対する認証。
各認証フェーズでのユーザー認証オプションの簡単な比較を次に示します。
| クラウド サービス認証 | リモート セッション認証 | セッション内認証 |
|---|---|---|
|
|
|
これらは、認証フェーズごとの認証オプションのスーパーセットです。 認証フェーズごとに異なるクライアントで使用できる資格情報の一覧については、 プラットフォーム間でクライアントを比較します。
重要
認証を正常に機能させるには、ユーザーのローカル コンピューターが Azure Virtual Desktop の必須 URL リストの [リモート デスクトップ クライアント] セクションにある URL にアクセスできる必要があります。
Windows 365 は、サービスの一部としてシングル サインオン (Windows 365 サービス認証とクラウド PC 認証の両方を満たすことができる単一の認証プロンプトとして定義されます) を提供します。 詳細については、「 シングル サインオン」を参照してください。
以降のセクションでは、これらの認証フェーズについて詳しく説明します。
クラウド サービス認証
ユーザーは、次の場合に Windows 365 サービスで認証する必要があります:
- windows.cloud.microsoftにアクセスします。
- クラウド PC に直接マップされる URL に移動するとき。
- サポートされているクライアントを使用して、クラウド PC を一覧表示します。
Windows 365 サービスにアクセスするには、ユーザーはまず Microsoft Entra ID アカウントでサインインしてサービスに対して認証する必要があります。
多要素認証
「条件付きアクセス ポリシーの設定」の手順に従って、クラウド PC に Microsoft Entra 多要素認証を適用する方法を確認してください。 また、資格情報の入力を求める頻度を構成する方法についても説明します。
パスワードレス認証
ユーザーは、Windows Hello for Business やその他のパスワードなし認証オプション (FIDO キーなど) など、Microsoft Entra ID でサポートされている任意の認証の種類を使用して、サービスへの認証を行うことができます。
スマート カード認証
スマート カードを使用して Microsoft Entra ID に対して認証するには、最初に Microsoft Entra 証明書ベースの認証を構成するか、ユーザー証明書認証用に AD FS を構成する必要があります。
サード パーティの ID プロバイダー
サード パーティの ID プロバイダーは、Microsoft Entra ID とフェデレーションしている限り使用できます。
リモート セッション認証
シングル サインオンをまだ有効にしておらず、ユーザーが資格情報をローカルに保存していない場合は、接続を開始するときにクラウド PC への認証も必要になります。
シングル サインオン (SSO)
シングル サインオン (SSO) を使用すると、接続でクラウド PC 資格情報プロンプトをスキップし、Microsoft Entra 認証を通じてユーザーを Windows に自動的にサインインできます。 Microsoft Entra 認証には、パスワードレス認証やサード パーティの ID プロバイダーのサポートなど、他の利点があります。 開始するには、 シングル サインオンを構成する手順を確認します。
重要
クラウド PC にログインするには、外部 ID に対して SSO を構成する必要があります。 SSO が構成されていない場合、ユーザーはリモート セッション認証プロンプトで停止します。
SSO を使用しない場合、クライアントは接続のたびにユーザーにクラウド PC 資格情報の入力を求めます。 プロンプトが表示されないようにする唯一の方法は、資格情報をクライアントに保存することです。 他のユーザーがリソースにアクセスできないように、資格情報はセキュリティで保護されたデバイスにのみ保存することをお勧めします。
セッション内認証
クラウド PC に接続した後、セッション内で認証を求められる場合があります。 このセクションでは、このシナリオでユーザー名とパスワード以外の資格情報を使用する方法について説明します。
セッション内パスワードレス認証
Windows 365 では、Windows App の使用時に Windows Hello for Business または FIDO キーなどのセキュリティ デバイスを使用したセッション内パスワードレス認証がサポートされています。 パスワードレス認証は、セッション ホストとローカル PC が次のオペレーティング システムを使用しているときに自動的に有効になります。
- Windows 11 Enterprise 2022-10 Cumulative Updates for Windows 11 (KB5018418) 以降がインストールされています。
- Windows 10 Enterprise、2022-10 Cumulative Updates for Windows 10 (KB5018410) 以降がインストールされているバージョン 20H2 以降。
他の Windows アプリ クライアントから接続するときのセッション内のパスワードレス認証の動作とアプリの要件については、Windows アプリ ドキュメントの WebAuthn リダイレクト動作を参照してください
有効にすると、セッション内のすべての WebAuthn 要求がローカル PC にリダイレクトされます。 Windows Hello for Business またはローカルに接続されたセキュリティ デバイスを使用して、認証プロセスを完了できます。
Windows Hello for Business またはセキュリティ デバイスを使用して Microsoft Entra リソースにアクセスするには、ユーザーの認証方法として FIDO2 セキュリティ キーを有効にする必要があります。 この方法を有効にするには、「 FIDO2 セキュリティ キーの方法を有効にする」の手順に従います。
ヒント
Windows 11 バージョン 24H2 以降では、プライバシー コントロールを使用すると、ユーザーはアプリまたは Web サイトでパスキーを使用できるかどうかを決定できます。 ユーザーがプライバシーに関する同意のプロンプトを拒否した場合、パスキーの登録と認証がクラウド PC セッションで機能しない可能性があります。 この問題を解決するには、[ 設定>プライバシー] & [セキュリティ>パスキー アクセス] でパスキー アクセスを再度有効にするようにユーザーに指示します。 詳細については、「Windows 11 パスキーのプライバシーに関する同意のトラブルシューティング」を参照してください。
セッション中のスマート カード認証
セッションでスマート カードを使用するには、クラウド PC にスマート カード ドライバーをインストールし、クラウド PC の RDP デバイス リダイレクト管理の一部としてスマート カードのリダイレクトを許可してください。 クライアント比較チャートを確認して、クライアントがスマート カード リダイレクトをサポートしていることを確認します。