注:
Windows 365 Link 12 月品質更新プログラム バージョン 26100.7462 のリリースにより、デバイスへのサインイン後に、ユーザーに追加の対話型認証要求を求めるメッセージが表示されるようになりました。 これは、登録または参加デバイスのユーザー アクションに MFA 条件付きアクセス ポリシーがあることを確認するための以下の手順が、このバージョン以降の場合、環境で Windows 365 Link を使用するには必須ではなくなりました。 これらの手順は引き続き推奨されるベスト プラクティスであり、環境内のすべての Windows 365 Link デバイスがバージョン 26100.7462 以降の場合でも、登録または参加デバイスのユーザー アクションに条件付きアクセス ポリシーを実装することを強くお勧めします。
Windows 365 Link をサポートするための organization's 環境の設定の一環として、条件付きアクセス ポリシーが Windows 365 Link デバイスを介したサインインとデバイスからの接続の両方に対応していることを確認する必要があります。 「Windows 365 の条件付きアクセス ポリシーの設定」で説明されているように、Windows 365 クラウド PC へのアクセスに使用されるリソースを保護するために条件付きアクセスを使用する場合は、デバイスを登録または参加するためのユーザー アクションを保護するために、別の条件付きアクセス ポリシーも使用する必要があります。 この 2 番目のポリシーを作成しないと、Windows 365 Link 認証が失敗する場合があります。
ユーザー アクション ポリシーが必要かどうかを判断するには、次の手順に従います。
- Windows 365 リソースに接続するときに、いずれかのポリシーがトリガーされるかどうかを確認します。
- 同じアクセス制御を使用して新しいユーザー アクション ポリシーを作成します。
Windows 365 Link 認証のしくみ
Windows 365 クラウド PC デバイスは、2 つの連続した段階で認証を行います。
対話型サインイン: ユーザーが Windows 365 Link サインイン画面でサインインすると、[デバイスの登録] または [参加] アクションに適用される条件付きアクセス ポリシーをトリガーできます。 ユーザーにメッセージが表示されたり、より強力な多要素認証方法を求められる場合があります。 このステージでは、2 番目のステージで使用されるトークンが生成されます。
シングル サインオンを使用したクラウド PC リソースへの非対話型接続: このステージでは、条件付きアクセス ポリシーが Windows 365、Windows クラウド ログイン、すべてのリソースなどのリソースに適用されている場合、条件付きアクセス ポリシーをトリガーできます。 このステージでは、ユーザーにプロンプトが表示されたりチャレンジされたりすることはできません。 より強力な認証が必要な場合、接続が中断され、 対話型ウィンドウを表示できないというエラーがユーザーに表示されます。
既存のポリシーを確認する
What if ツールを使用すると、非対話型接続段階で条件付きアクセス ポリシーが関連する Windows 365 リソースに適用されているかどうかを判断できます。 これには、 すべてのリソース (以前の すべてのクラウド アプリ) に適用されるポリシーが含まれます。
- Microsoft Entra 管理センター>Protection>Conditional Access>Policies>What If. にサインインします。
- [ ユーザー] または [ワークロード ID ] で、テストに使用するユーザーを選択します。
- [クラウド アプリ]、[アクション]、または [認証コンテキスト] で、[ 任意のクラウド アプリ] を選択します。
- [ ターゲットの種類の選択 ] で 、[クラウド] を 選択したままにします。
- [ アプリの選択 ] を選択し、次のリソース (利用可能な場合) を選択します。
- Windows 365 (アプリ ID 0af06dc6-e4b5-4f28-818e-e78e62d137a5)。
- Azure Virtual Desktop (アプリ ID 9cdead84-a844-4324-93f2-b2e6bb768d07)。
- Windows クラウド ログイン (アプリ ID 270efc09-cd0d-444b-a71f-39af4910ec45)。
- [ What If] を選択します。
適用される各ポリシーを確認し、それらのリソースとセッション設定へのアクセスを許可するために使用されるアクセス制御を決定します。 次のセクションで新しいユーザー アクション ポリシーを作成するときに使用するこれらのポリシーをメモしておきます。
対話型サインイン ステージ用に新しい条件付きアクセス ポリシーを作成する
前のセクションの What If ツールから収集した情報を使用して、サインイン ステージに同じ制御を要求する新しい条件付きアクセス ポリシーを作成できます。
- Microsoft Entra 管理センター>Protection>Conditional Access>Policies>New policy にサインインします
- ポリシーに名前を付けます。 ポリシー名に意味のある標準を使用することを検討してください。
- [割り当て>ユーザー] で、0 個のユーザーとグループが選択されました。
- [含める] で、[すべてのユーザー] を選択するか、Windows 365 Link デバイスを介してサインインするユーザーのグループを選択します。
- [除外] で、ユーザーとグループを選択します>organizationの緊急アクセスまたは緊急アクセス アカウントを選択します。
- [ ターゲット リソース>ユーザー アクション] で、[ デバイスの登録または参加] を選択します。
- [ アクセス制御>許可] で、 What If ツールを使用して前に見つけたのと同じコントロールを使用します。
- 設定を確認し、[ ポリシーを有効にする] を [レポート専用] に設定します。
- [作成] を選択します。
- レポートのみのモードを使用して設定を確認したら、[ ポリシーの有効化 ] トグルを [レポート専用 ] から [オン] に変更します。
これらの手順は特に Windows 365 Link デバイスで対話型認証を有効にするためのものですが、結果として得られるユーザー アクション ポリシーは、ユーザーがデバイスを Microsoft Entra ID に登録または参加させるときにも適用されます。
競合の可能性を含む、デバイス登録の条件付きアクセス ポリシーの作成の詳細については、「 デバイス登録に多要素認証を要求する」を参照してください。
条件付きアクセスを使用したユーザー アクションの詳細については、「 ユーザー アクション」を参照してください。
Windows 365 で使用されるリソースの条件付きアクセス ポリシーの作成の詳細については、「条件付きアクセス ポリシーの設定」を参照してください。