Azure Managed Service Column ＜Azure運用コラム＞Azure Virtual Desktop（AVD）導入に注意すべき点について

AVD の構成要素、考慮すべき点や注意すること、設定要件について解説します

働き方の多様化によりテレワークが普及し VDI （仮想デスクトップ基盤）を導入する企業が増えています。

マイクロソフトのクラウドサービスである Azure が提供する Azure Virtual Desktop （通称 AVD ）はデスクトップ環境が集約され、柔軟性、可用性、拡張性を高めながらコスト削減、セキュリティの強化を実現することが可能です。

しかし、AVD をただ導入するだけではコスト、セキュリティリスクを高めてしまいかねません。自社の環境に合わせ最適な導入を計画する必要があります。

本記事では AVD の導入に失敗しないために、AVD を構成する上で必要なコンポーネント、導入する上での考慮すべきことや注意事項、設定要件について解説します。

1. Azure Virtual Desktop（ AVD ）の全体構成

まず前提となる AVD の構成に必要になる 4 つのコンポーネントを紹介します。

AVD ライセンス

AVD を利用するためにライセンスが必要です。このライセンスとは AVD にアクセスする権利に相当するライセンスです。Windows または Microsoft 365 ライセンスを保持している場合、追加コストなしで Windows 7 / 10 の OS デスクトップ環境とマイクロソフトのアプリケーションを利用する事が出来ます。

ライセンスに関して注意が必要なのは Office 永続ライセンス（ Office を利用するだけのライセンス）では AVD を利用できないという点と Windows Server の場合は接続クライアント数に応じたクライアントアクセスライセンス（ CAL ）を購入する必要がある点です。 またマイクロソフトは 2021 年 8 月に AVD 上で Windows 11 のプレビュー版の提供を開始しました。プレビュー版は無料で利用することができます。

該当するライセンスや利用条件については詳細をマイクロソフト公式のライセンスガイドで確認されることを推奨いたします。

Azure Active Directory（ Azure AD ）

AVD へのアクセスはさまざまな種類の ID がサポートされていますが、AVD にアクセスするために、Azure AD 経由でユーザーを認識できる必要があります。Azure AD ではユーザー名とパスワード認証、シングルサインオン、多要素認証、パスワードレス認証の機能が利用できます。

AVD コントロール

AVD ではユーザー個別の環境に接続するためのコントロールプレーンが機能しています。コントロールプレーンは全てのユーザーが経由し以下の機能を提供しています。

Web アクセス

AVD へのアクセスを HTML5 互換 Web ブラウザーを使用して行う場合、認証やアクセス制御の管理を行う機能です。

ゲートウェイ

ユーザーのデバイスと AVD 環境の仮想マシンの間で SSL トンネルを確立し、より安全な通信経路を提供します。

接続ブローカー

ユーザーと仮想ホスト間の接続負荷分散、既存のセッションへの再接続のようにセッション管理を行う機能です。

診断

AVD の接続におけるユーザーのアクションに対し、成功、失敗を管理し、接続の健全性を診断する機能です。

Azure 仮想ホスト（セッションホスト）

AVD 環境において、実際に OS が動作しデスクトップ環境を提供する仮想ホストです。セッションホストとよばれ、実際にユーザーが接続してくる仮想マシンです。セッションホストは利用するユーザー数や利用するシーンを考慮し事前に OS やサイズを決める必要があります。

2. AVD 導入時の注意点

ここまで紹介した構成要素以外にも様々なサービスを組み合わせることが可能です。それでは次に AVD の導入における注意点について解説します。

利用料金

AVD の利用において「ライセンス」、Azure 環境を利用する「仮想ホスト（セッションホスト）」コスト以外にも、「通信」コストが発生するので注意が必要です。

通信コストは基本的にインターネットから Azure 内へのインバウンド方向のトラフィックは無料ですが、アウトバウンド方向の通信は従量制課金となります。

認証方法

AVD サービスへ接続するため Azure AD 認証と、AD ドメイン認証の 2 つの認証が行われます。そのため、それぞれの環境でユーザー ID を同期させなくてはいけません。同期方法と利用する機能によって Azure AD のライセンス料金の考慮が必要です。

プロファイル管理

AVD におけるマルチセッションでは接続のたびに利用する仮想マシンが異なります。どの仮想マシンに接続しても前のセッションで保存したユーザー固有の情報を引き継ぐ仕組みが必要です。

AVD の上限について

AVD の設定値には上限があります。それぞれの上限値についてはマイクロソフトの公式サイトをご参照ください。

3. AVD の設計要件について

ここまで AVD の導入について構成要素と考慮事項を解説してきました。本章ではそれらを踏まえ設計要件のポイントについて解説します。

ネットワーク設計

Azure AD のテナントを決めてユーザー ID を同期する

AVD では Azure AD と Active Directory で 2 回の認証が行われることから、 Azure AD のテナントを決めてユーザー ID を同期する必要があります。

AVD 全体の利用者数を決める

利用人数は、セッションホスト台数を始めネットワーク構成の前提条件に重要な要素です。 複数ホストプールを利用する場合、ハブアンドスポーク方式が推奨されています。ハブアンドスポークとは中心拠点（ハブ）に接続を集約させ、拠点（スポーク）毎に仕分けて接続する形態です。

接続元の場所を決める

AVD への接続が社内からなのか、社外からなのかなど場所決めます。場所は接続回線の形態を選定する上で重要な要件です。

セッションホストからの通信ポリシーを整理しておく

Web 系の通信経路を利用する Microsoft 365 のようなアプリケーションを、セッションホストからどのように通信させるかを予め整理する必要があります。

ホストプール設計

AVD で利用する OS、アプリケーションを決める

AVD で利用したいアプリケーションを明確にし、マルチセッション、 OS がそのアプリケーションをサポートしているかを確認します。

ホストプールの形式を決める

ユーザーとの紐づけ方を決める必要があります。 Personal は、ユーザーとセッションホストが、1:1 、Pooled は 1：多のマルチセッション型でありランダムに紐づきます。

配信方式を決める

セッションホスト上で動いているアプリケーションだけ配信するのか、デスクトップすべてを配信するのかを決める必要があります。

ユーザープロファイルのサイズと保存先を決める

プロファイルを管理する上で必要となる、管理ツールも含めた個別のプロファイルサイズと保存場所を予め決めておく必要があります。

セキュリティ設計

セッションホストの通信を管理・制御する

セッションホストからの通信制御に関しては Azure Firewall の利用が最適です。特に、AVD コントロールプレーン、Microsoft 365 向けの通信を制御する際に有効的です。

Azure AD の認証とアクセス制御を有効化する

AVD では Azure AD は必須であり、シングルサインオン、多要素認証など様々な認証を実装できます。

利用デバイスを制御する

Microsoft Intune など、 MDM ツールと連携し、 Azure AD に認証情報としてデバイス情報を渡すことが可能です。

セッションホストを保護する

Microsoft Defender for Endpoint はマルチセッションにも対応しています。セッションホストの状態を常に管理でき、アンチウィルススキャンなど様々なセキュリティ機能を利用する事が可能です。

モニタリングを有効化する

Azure Monitor と連携しあらゆるイベントを監視することで、セキュリティの向上や異常の検出、無駄なコストの発見など、運用に活用することが可能です。

4.まとめ

AVD の導入においては、最低限必要なコンポーネントに対し、それらに対する注意事項、考慮事項を踏まえた上での要件設計が重要です。

本記事では AVD を構成する上で必要なコンポーネント、導入する上での注意事項や考慮すべき事項、設定要件について解説しました。自社の規模や利用状況に合わせ導入の検討をお勧めします。また導入や統合的な利用については専門家へ相談されることを推奨いたします。

また AVD 導入後の運用でいちばんご相談を受ける「更新作業」については、以下の記事をご参照ください。

Microsoft Azureを利用したシステムの設計・構築を代行します。お客様のご要件を実現する構成をご提案・実装いたします。

Tag： Azure Virtual Desktop

• 

  シングルサインオンとは？必要性とAzureクラウドにおける実現方法を解説

• 

  Azure Virtual Desktop（AVD）のセキュリティ面における課題について