Azure Managed Service Column ＜Azure運用コラム＞AVD認証の重要性とは？サポートされるIDや認証方法を詳しく解説

自社に適した認証方法を選択して安全なAVD環境を構築しよう

AVD （ Azure Virtual Desktop ）とは、 Microsoft から提供されるデスクトップ仮想化サービスです。どこからでも仮想デスクトップ環境にアクセスできるなど多くのメリットがあります。

一方で、ユーザーがAVDへアクセスする際に適切な認証を行わないと、セキュリティリスクが高まるおそれもあります。本記事では、 AVD でサポートされる ID および認証方法の種類などについて詳しく解説しますので、ぜひ参考にしてください。

1. AVD の認証とは

AVDにおける認証とは、AVDへの安全なアクセスを確保するための重要なプロセスです。ユーザーが AVD 環境へアクセスする際に、その身元を確認して適切なアクセス権を付与することを目的とします。

AVD はインターネットを介して場所を問わずにアクセスできることがメリットですが、一方で不正アクセスや情報漏えいなどのリスクも伴います。適切な認証プロセスを用いることはセキュリティの強化やコンプライアンスの遵守を実現し、重要なデータを保護することにつながるのです。

AVD の利便性を最大限に活かしつつ安全に運用するには、適切な認証方法を導入することが必要不可欠であるといえるでしょう。

2. AVD でサポートされる ID の種類

まずユーザーを識別するための認証情報となる ID について、 AVD でサポートされるものを解説します。

ハイブリッド ID

AVD リソースにアクセスするには、 Microsoft Entra アカウントへのサインインが必要です。そのため Active Directory Domain Services （ AD DS ） のみに存在するオンプレミスのユーザー ID はサポートされません。

ただし、 Microsoft Entra Connect というサービスで Microsoft Entra ID と同期させてハイブリッド ID を利用することで、 AVD リソースへのアクセスを可能にします。

クラウド専用 ID

Microsoft Entra ID で直接作成および管理される ID 、また Microsoft Entra に直接参加している仮想マシンなどの完全にクラウドベースの ID はサポートされます。

サードパーティの ID プロバイダ

Microsoft Entra ID ではないサードパーティの ID プロバイダ （ IdP ） を使用する場合、次の条件を満たせばサポートされます。

• IdP を Microsoft Entra ID とフェデレーション済み
• セッションホストが Microsoft Entra に参加済み、もしくは Microsoft Entra ハイブリッドに参加済み
• セッションホストに対する Microsoft Entra 認証が有効

3. AVD でサポートされる認証方法の種類

AVD でサポートされる認証方法の種類には次のようなものがあります。

サービス認証

AVD サービスへアクセスするための認証方法は次のとおりです。

• 多要素認証 （ MFA ）
  ユーザー名とパスワードに加えて電話番号やアプリでの通知など、第二の認証要素を求める認証方法です。不正アクセスの防止に効果があります。

• パスワードレスの認証
  パスワードを使用せず、 Windows Hello for Business による顔認証または指紋認証を利用する認証方法です。パスワードを思い出せない、またはフィッシング攻撃などにより誤ってパスワードを公開するといったリスクを防ぎます。

• スマートカード認証
  物理的な IC カードを使用してユーザーを認証する方法です。ユーザーの認証情報がカードに格納されているため、パスワードベースの認証の代替手段となります。

セッションホスト認証

AVD を起動するときに必要な、セッションホストに対する認証方法は次のとおりです。

• シングルサインオン
  

  1 度 ID ・パスワードによる認証を行うと、連携している複数のサービスに自動的にログインできる仕組みです。シングルサインオンを有効にすると、セッションホストの資格情報の入力をスキップし、ユーザーは自動的に Windows にサインインできます。利便性の向上と認証プロセスの簡素化に効果的です。

• スマートカードと Windows Hello for Business
  ネットワーク認証方式の一つである Kerberos を使用すると、スマートカードと Windows Hello for Business による認証も可能です。

セッション内認証

RemoteApp またはデスクトップ接続時に、セッション内で認証を求められる場合の認証方法は次のとおりです。

• セッション内パスワードレス認証
  Windows Desktop クライアントの使用時は、 Windows Hello for Business や、 FIDO キー（多要素認証デバイスの一種）などを使用したパスワードレス認証が可能です。

• セッション内スマートカード認証
  スマートカードドライバーがセッションホストにインストールされ、かつスマートカードリダイレクトが有効である場合、スマートカード認証が可能です。

4. AVD 認証における注意点

AVD 認証を導入する際の注意点について紹介します。

適切な認証方法の選択

本記事で紹介したとおり AVD 認証にはさまざまなオプションがあるため、自社のセキュリティ要件に応じた適切な方法を選択する必要があります。

たとえば機密性の高いデータを取り扱う場合は、パスワードのみの認証よりも多要素認証などを取り入れた方がセキュリティリスクを軽減できます。

ただし、過度に複雑な認証プロセスはユーザーの不満や生産性の低下を招くおそれもあるためバランスが重要です。またセキュリティ環境は常に変化しているため、定期的に認証方法を見直し、必要に応じて更新しなければなりません。

ユーザー ID とアクセス権の管理

ユーザー ID の管理には細心の注意を払い、不要なアカウントは迅速に無効化して不正利用やアクセス権の乱用を防ぐ必要があります。またユーザーにはそれぞれの役割と必要性に応じた、最小限のアクセス権を割り当てることを意識しましょう。

5. まとめ

AVD を安全に運用するには、適切な認証を行う環境を構築する必要があります。 AVD がサポートする ID や認証方法の種類は複数あり、それぞれ特徴が異なるため、セキュリティ要件に応じて選択することが重要です。ぜひ一度自社で採用している認証方法を見直し、セキュリティ体制に問題はないか確認してみてください。

Microsoft Azureを利用したシステムの設計・構築を代行します。お客様のご要件を実現する構成をご提案・実装いたします。

Tag： AVD認証

• 

  AVDのセキュリティ対策とは？AVDのセキュリティ課題と実際の解決事例までを詳しく解説！

• 

  AVDへの接続方法とは？仕組みや種類、接続手順を詳しく解説