ネットワーク展開オプション

Windows 365には、クラウド PC で使用されるネットワーク接続用の 2 つの展開オプションが用意されています。

• Microsoft ホステッド ネットワーク - (推奨)

• Azure ネットワーク接続 (ANC) - (レガシまたは特殊な要件の場合)

Microsoft Hosted Network は、ほとんどのシナリオで推奨される展開オプションです。 シンプルでモダンで、ゼロ トラストの原則に沿っています。 この方法は、複雑さと管理オーバーヘッドを減らすので、推奨されます。 Azureネットワーク接続 (ANC) は、ハイブリッド Azure AD 参加や企業ネットワークへの直接の見通しなど、従来の要件を回避できない場合の代替手段です。

Microsoft ホステッド ネットワーク – 推奨される展開オプション

クラウド PC のデプロイ時に [Microsoft Hosted Network] オプションを選択する必要があります。 最後の手段として ANC デプロイに戻すだけです。

Microsoft Hosted Network は、Microsoft がクラウド PC の基になるネットワークを構成および管理するフル マネージド オプションです。 このアプローチにより、Windows 365の SaaS デプロイが完全に実現され、ネットワーク管理が簡素化され、セキュリティが強化され、コストが削減されます。 これは、最新でシンプルで安全でスケーラブルなWindows 365展開を必要とする組織に最適です。

Microsoft Hosted Network を選択する場合、必要なインフラストラクチャのセットアップはデプロイのリージョンの選択のみです。Microsoft は、将来の管理とメンテナンスの要件を含め、残りの部分を処理します。

Microsoft Hosted Network オプションの利点

Microsoft Hosted Network を選択すると、複雑さが軽減され、価値を得る時間が短縮され、Windows 365の信頼性が向上します。

セキュリティ

• 既定でセキュリティで保護されています。 送信接続のみが許可され、受信または横方向の接続は使用できません。 マネージド ノート PC と同様に、デバイスに標準の VPN または SWG を適用します。

• ゼロ トラストに合わせて配置します。 アクセスは、ネットワークの場所ではなく、ID、デバイス、ワークロード、およびデータ信号に基づいています。 デバイス上の最新のセキュア Web ゲートウェイ (SWG) ツールとプライベート アクセス ツールは、このモデルとうまく統合されます。

操作のシンプル &

• シンプルなデザイン。 カスタマー マネージドのAzure Virtual Network、ファイアウォール、ルートまたは UDR、NAT ゲートウェイ、またはルールを構築および管理する必要はありません。 デプロイするリージョンを選択するだけで済みます。最適なプロビジョニングが成功するには、[自動] を選択します。

• 運用オーバーヘッドを削減します。 環境を構成または維持するために、専用のAzure ネットワーク チームは必要ありません。 トラブルシューティングはより簡単で、Intuneポリシー、セキュリティ制御、組み込みのレポートを通じて最新のエンドポイント管理と連携します。

コスト効率

• インフラストラクチャ コストを削減します。 クラウド PC の仮想ネットワーク、ネットワーク仮想アプライアンス、帯域幅、NAT ゲートウェイの実行には料金はかかりません。 Microsoft は、お客様に代わって基になるネットワークを運用します。

• Azureサブスクリプションは必要ありません。 Microsoft は、クラウド PC が運用するために必要なすべてのAzure インフラストラクチャを提供および管理し、一般的な調達と課金の依存関係を削除します。

信頼性

• 信頼性の向上。 管理された標準化されたネットワークにより、構成ミスのリスクが軽減され、クラウド PC の全体的な信頼性が向上します。

• 高スループット接続。 クラウド PC には、高速インターネット接続があり、Microsoft 365 などのサービス用の Microsoft のグローバル ネットワークに直接アクセスできます。

[倍率]

• 迅速な展開。 顧客のネットワーク要素への依存関係が最小限に抑えられるので、クラウド PC を迅速にデプロイできます。

• エラスティック容量。 Microsoft はスケールを管理するため、最初にネットワーク インフラストラクチャを拡張することなく、大量のクラウド PC をオンデマンドで追加できます。 たとえば、リージョン間のディザスター リカバリーでは、Microsoft がホストするネットワークが選択されている場合、事前プロビジョニングされたネットワークは必要ありません。

Microsoft ホステッド ネットワークに関する考慮事項

Microsoft Hosted Network を選択する前に、これらのポイントを確認して、デプロイの目標に適合していることを確認してください。

• Microsoft Entra ハイブリッド参加と互換性がありません - このモデルでは、クラウドに参加しているクラウド PC のみがサポートされ、オンプレミスの Active Directory Domain Services (AD DS) への直接接続はありません。 グループ ポリシーに依存している場合は、設定カタログ、ADMX インジェスト、またはセキュリティ ベースラインを使用して、これらのポリシーをMicrosoft Intuneに移行します。

• VNet の顧客制御なし - 仮想ネットワークは Microsoft によって完全に管理されています。 クラウド PC (デバイス ベースの VPN/SWG クライアント規則、Windows ファイアウォール、Microsoft Defender for Endpoint Web コントロールなど) または VNet 内ではなく、organizationのインターネット エグレスで送信制御を適用します。

• オンプレミス リソースにアクセスするために必要な VPN またはプライベート アクセス ソリューション - オンプレミス アプリにアクセスするには、VPN または Private Access/ZTNA ソリューションを使用します。 Windows 365への RDP やその他のサービス トラフィックが VPN を通過しないように、分割トンネリングが必要です。 このパターンは、ゼロ トラストアプローチに合わせて調整されます。

• クラウドネイティブ管理が必要 -GPO 中心の操作ではなく、Intuneを使用して最新のエンドポイント管理を計画します。

• Microsoft マネージド パブリック IP - Microsoft は、トラフィックの発信元のパブリック IP アドレスを管理します。 特定のトラフィックが既知の IP アドレスから宛先に到達するための要件がある場合は、プロキシ、VPN、Secure Web Gateway など、制御するエグレス経由でこのトラフィックをルーティングする必要があります。

既定のネットワーク制限。

• ポート 25 (SMTP) がブロックされています。

• ICMP/ping がブロックされています。

• 横 (クラウド PC からクラウド PC) 通信なし。

• クラウド PC への直接受信接続はありません。

• IP アドレス指定はサービスで管理されます。 プライベート IP 範囲または送信 NAT アドレス空間を選択することはできません。 Windows 365は、IP アドレス指定を自動的に割り当て、管理します。

図: Microsoft Hosted Network オプション

図 1: Microsoft ホステッド ネットワーク展開の例

次の図は、Microsoft Hosted Network の 3 つの重要な要素を示しています。

1. クラウド PC とその基になるネットワーク接続の両方が、Microsoft によって完全に管理されている環境にデプロイされます

2. 送信接続は、クラウド PC にデプロイされた最新の Secure Web Gateway および Private Access ソリューションで管理できます。

3. または、従来の VPN を使用することもできます。

両方の 2 & 3 は、ローミング ユーザー デバイスに対して既に行っている方法と同じ方法で提供できます。

Azure ネットワーク接続の展開オプション

ネットワーク接続 (ANC) Azure選択するタイミング

解決できない特定のレガシまたはネットワーク要件があり、Microsoft Hosted Network の使用を妨げるような場合は、 ANC を使用します。

• ハイブリッド結合Microsoft Entra必要です。

• アプリ/サービスでは、オンプレミス のリソース (AD DS、Kerberos/NTLM、SMB 共有、レガシ プロトコルなど) への直接の視線アクセスが必要です。

• ゼロ トラスト モデルに完全に移行する準備ができていないので、移行にさらに時間が必要です。

• オンプレミス ネットワークからクラウド PC へのプライベート管理接続 (サイト間 VPN、ExpressRoute、固定エグレス IP、プライベート DNS など) が必要です。

推薦： Microsoft ホステッド ネットワークを既定で操作します。 ANC は、厳密にそれを必要とするペルソナとシナリオにのみ使用します。 どちらのモデルも並べて実行できます。

ANC が提供するもの

• フル Virtual Network (VNet) コントロール。 クラウド PC の仮想ネットワーク カード (vNIC) は、Azure サブスクリプションと VNet に存在します。 ネットワーク セキュリティ グループ (NSG)、ユーザー定義ルート (UDR)、ルート テーブル、Azure Firewall、NAT ゲートウェイ、ログ記録を制御します。

• オンプレミスへの直接接続。 AD DS、ファイル共有、プリント サーバー、およびオンプレミス アプリにアクセスするには、サイト間 VPN または ExpressRoute を使用します。

• "ネットワーク上" の動作。 企業ネットワークを VNet に拡張すると、クラウド PC はネットワーク境界内にあるかのように動作します。

• 他の VNet へのピアリング。クラウド PC VNet を他のAzure VNet とピアリングし、Azureホストされているリソースに直接アクセスします。

トレードオフと責任

ANC を選択すると、ネットワークの所有権がチームに移行され、複雑さが増します。

• Azureサブスクリプションが必要です。 すべてのネットワークは、サブスクリプションに存在 (および請求先) に存在します。

• 設計と操作を所有しています。 ネットワーク仮想アプライアンス (NVA)、パッチ適用、容量、変更管理のアドレス指定、ルーティング、DNS、セキュリティ制御、ログ記録、高可用性とディザスター リカバリーは、お客様の責任です。

• より高いコスト プロファイル。 organizationは、ネットワーク帯域幅、ネットワーク仮想アプライアンス (NVA)、Azure Firewall、NAT ゲートウェイ、ログ ストレージのコストに加えて、接続インフラストラクチャを監視するためのスタッフコストを担当します。

• より長いタイムライン。 通常、より多くの前提条件と承認により、Microsoft Hosted Network と比較して展開が大幅に拡張されます。

• 構成ミスのリスクが高くなります。 可動部分が多いほど、慎重に管理しないと、接続やパフォーマンスの問題のリスクが高くなる可能性があります。

図: Azureネットワーク接続オプション

図 2: ANC デプロイの例

この図に示す主要な要素:

1. クラウド PC は、Microsoft が管理するAzure環境にデプロイされます。

2. Azureネットワーク接続 (ANC) デプロイでは、クラウド PC ネットワーク インターフェイスは、顧客のサブスクリプション内の顧客所有および管理された仮想ネットワーク (VNet) に配置されます。 お客様は、その VNet に必要なすべてのネットワーク接続を提供する責任を負います。

3. サービス接続は、 Microsoft のネットワークに直接ルーティングする必要があります。 このトラフィックをオンプレミスのエグレス ポイント経由でルーティングしないでください。

4. 高速インターネット接続は、Azureから直接提供できます。 この方法では、オンプレミスのエグレスの場所を経由するルーティングよりもパフォーマンスが大幅に向上します。

5. ExpressRoute またはサイト間 VPN を使用して、VNet を企業ネットワークに接続します。

同時デプロイ オプション

Microsoft Hosted Network と Azure Network Connection (ANC) を並行して実行できます。 ANC は、オンプレミス データへの直接の視線を必要とする財務チームなど、厳密なレガシ ニーズを持つユーザーまたはワークロードのサブセットに対してのみ使用します。 これらの要件を満たしていない他のすべてのユーザーについては、Microsoft Hosted Network を使用して、複雑さ、コスト、価値までの時間を最小限に抑えます。

デプロイ オプションの比較