---
title: 外部IDで広がるAzure Virtual Desktop のセキュアコラボレーション
tags:  #azure #avd  
author: [Yohei Iwasaki](https://docswell.com/user/iboy)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/GEWG6NZ3J2.jpg?width=480
description: 第61回 Tokyo Jazug Night の登壇資料 https://jazug.connpass.com/event/394698/
published: July 10, 26
canonical: https://docswell.com/s/iboy/Z7N941-jazug
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/GEWG6NZ3J2.jpg)

外部IDで広がるAzure Virtual Desktop の
セキュアコラボレーション


# Page. 2

![Page Image](https://bcdn.docswell.com/page/47ZLY31GJ3.jpg)

PLAYER PROFILE
CAREER
1st
STAGE
SIer ソースコード解析・開発環境構築などのPJのアーキテクト
▼
2nd
某 Windows OS の会社で Azure 技術サポート
▼
NOW
DJ
SIer で SE / システムアーキテクト
PLAYING
NAME
iboy
Yohei Iwasaki
S E / システムアーキテクト
SKILL
SET
☆12
Azure .......... AAA
☆8
フットサル ...... A
☆10
音ゲー ........ AA
☆7
ランニング
...... A
X: @I_BOY_1204 | Qiita: iboy
OUTPUT
Qiita で Azure VM / Storage / Azure Files の検証・ノウハウを発信


# Page. 3

![Page Image](https://bcdn.docswell.com/page/YJ6WDXLQJV.jpg)

TOPI C
エンタープライズ環境で
外部のユーザーとコラボレーション
社外の人とセキュアにコラボレーションするにはを解決する話
発表の元ネタ：
Enterprise 利用で組織外部の人とコラボレーションをする方法を考える(ライセンス編) #Azure - Qiita
Enterprise 利用で組織外部の人とコラボレーションをする方法を考える(外部 ID で AVD 利用編) #Azure – Qiita
Enterprise 利用で組織外部の人とコラボレーションをする方法を考える(Entra 運用編) #Azure - Qiita


# Page. 4

![Page Image](https://bcdn.docswell.com/page/GJ5M3X12J4.jpg)

社外の人とコラボレーションするときの課題
セキュリティ
利便性
● データ漏洩のリスクは？
● 社外の人のために社内システム上でアカウント
を作る
● どんな端末からアクセスされるかわからないけ
ど安全？
● どんなネットワークからアクセスされるかわか
らないけど安全？
– IDが複数になって便利が悪い
● 社外の人のために社内用の端末を払い出す
– 端末複数持ちになって重い
– 端末切り替えるのがめんどくさい


# Page. 5

![Page Image](https://bcdn.docswell.com/page/9E29ZX117R.jpg)

ゼロトラスト化したら解決するか？
大雑把に
解決
どんなネットワークからアクセスされるかわからないけど安全？
– ゼロトラストは、どのネットワークからのアクセスかはあまり気にしない
どんな端末からアクセスされるかわからないけど安全？
未解決
難しい
– 未解決（端末管理ができないので端末状態などでCAできない）
– 端末を貸し出したら解決するけど、利便性は激落ち
完全なゼロトラスト化は可能？
– ID/端末の問題が解決しないと、完全なゼロトラスト化は難しい


# Page. 6

![Page Image](https://bcdn.docswell.com/page/D7Y4R8Z4EM.jpg)

利便性 (ID) に対する対策は？
Microsoft Entra ID には外部の人をゲスト招待する機能がある
何がうれしいか
認証レイヤー
社外の人は、自分のアカウントで認証が可能
認証レイヤーは、社外の人管理
認可レイヤー
アクセス許可を出す側は、自分のルールでCA制御が
可能
認可レイヤーは、自社管理


# Page. 7

![Page Image](https://bcdn.docswell.com/page/VENYDQ36J8.jpg)

利便性の次の壁は、端末をどうするか
端末何とかなれば、便利に安全に使えるんじゃない？


# Page. 8

![Page Image](https://bcdn.docswell.com/page/Y79PGD9RE3.jpg)

AVDの外部IDサポート開始と、その落とし穴
待望のAzure Virtual Desktop(AVD) の外部ID サポート
2025年11月にサポート開始
でも、移動プロファイルが対応していなかった
どういうことか？
プロファイルの置き場所が無かった
つまり、シングルセッションしか使えなかった


# Page. 9

![Page Image](https://bcdn.docswell.com/page/G78DV39G7D.jpg)

AVD におけるプロファイル置き場
AVD でユーザの情報を保存するプロファイル置き場
Azure NetApp Files
クラウド専用ID/外部 ID 非対応
Azure Files
クラウド専用ID/外部 ID 非対応
その他ネットワークドライブ
クラウド専用ID/外部 ID 非対応
(非推奨)Azure Storage Page Blob
クラウド専用ID/外部 ID 非対応
VM 上のディスクドライブ


# Page. 10

![Page Image](https://bcdn.docswell.com/page/L7LM5VWXJR.jpg)

プロファイル置き場問題に、ついに答え
GA
ついに待望のAzure Files のクラウド専用IDがGA
AVD の外部IDでもFSLogixのプロファイルを
Azure Files に配置可能に！


# Page. 11

![Page Image](https://bcdn.docswell.com/page/4EMY3G93EW.jpg)

完全に同じではない：AVD 通常利用と外部ID利用の比較
比較項目
通常利用（社内ID）
外部ID利用（Entra 外部ID / ゲスト）
対応OS
Windows 11 / 10 Enterprise（マルチセッション含む）や Windows Server
など、AVD 対応イメージを幅広く利用可
Microsoft Entra 参加でサポートされる対応 OS イメージに限定（新しい
Windows 11 / 10 Enterprise 系）
利用できるID種別
クラウド専用ID・ハイブリッドID（AD DS 同期）など、Entra ID で解決で
きる社内ID
他テナントの Entra ユーザーやソーシャル IdP 等のゲスト（B2B 外部ID）
セッションホストの参加形態
Entra 参加 / ハイブリッド参加 / AD DS 参加 に対応
Microsoft Entra 参加のみ
FSLogix プロファイル置き場
Azure Files（AD DS / Entra Kerberos）、Azure NetApp Files、Azure
Files クラウド専用ID など複数から選択可
Azure Files クラウド専用ID（Entra Kerberos）のみ
認証・SSO・条件付きアクセス
SSO 推奨。MFA・条件付きアクセスをフルに利用可
SSO 必須。RDP 認証の有効化が前提、CA は受け入れ側で制御
提供状況（GA）
一般提供（GA）
外部ID サポートは 2025/11、Azure Files クラウド専用ID・FSLogix は
2026/05 に GA


# Page. 12

![Page Image](https://bcdn.docswell.com/page/PER9QZGRJ9.jpg)

完全に同じではない：外部ID利用時の制約事項（続き）
比較項目
通常利用（社内ID）
外部ID利用（Entra 外部ID / ゲスト）
接続クライアント
Windows App（Windows / macOS / iOS / Android）や Web ブラウザー
など幅広いクライアントから接続可
Windows 版の Windows App または Web ブラウザーのみ（macOS /
Android 版はプレビュー）
Intune デバイスポリシー
ユーザー割り当て・デバイス割り当てのどちらの構成ポリシーも適用可
ユーザー割り当てポリシーは適用されず、デバイスに割り当てる必要があ
る
各ユーザーに対象ライセンスを付与(必要ライセンスは同右)
招待側テナントでのライセンス付与が必要
具体的には、以下のライセンスなどをゲスト招待したテナントで紐づける
必要あり
• Microsoft 365 E3/E5/E7
• Microsoft 365 A3/A5
• Microsoft 365 F3
• Microsoft 365 Business Premium
• Microsoft 365 Student Use Benefit etc...
ライセンス・招待
外部IDでは制約が一部残るが、主要な・必要な機能のほとんどは利用可能


# Page. 13

![Page Image](https://bcdn.docswell.com/page/P7XQ59XYEX.jpg)

外部ID × AVD で実現するクラウドネイティブ構成
Entra Kerberos 有効化
サインイン
Microsoft Entra ID
Entra ID 参加
Azure Virtual Desktop
HostPool
接続/SSO
…
SessionHost
SessionHost
SessionHost
AzureFiles
外部ユーザー
自分のIDでアクセス
(Windows App)
ユーザープロファイル保存
(FSLogix)
デモ：この後、実際に構築して接続するまでの工程をデモで実演します


# Page. 14

![Page Image](https://bcdn.docswell.com/page/37K96PW47D.jpg)

デモ
L I V E DE MO
01
環境をライブ構築
02
外部IDでサインイン
03
接続・動作確認
セッションホストを Entra 参加で展開
ゲストユーザーの資格情報で接続
FSLogix プロファイル保存まで
QRコードからソースコードへ
ソースコード｜GitHub で公開
yiwasaki/iboy-blog-src
src/avd_external_identity_wz_fslogix


# Page. 15

![Page Image](https://bcdn.docswell.com/page/LJ3W6X1DJ5.jpg)

デモ：構築編
README.md通りではなく、少しAzure Portalを用いて説明


# Page. 16

![Page Image](https://bcdn.docswell.com/page/8JDKV2X2EG.jpg)

外部ID×AVD 構築のポイント①：Entra +ホストプール
AVD 側の設定 セッションホストは Entra ID 参加＋SSO が前提。
1
Microsoft Entra ID で RDP 認証を有効化
設定箇所 Microsoft Entra ID
設定例：サービス プリンシパルの RDP 認証を有効化
# Microsoft Graph へログイン
Connect-MgGraph -Scopes "Application.Read.All","Application-RemoteDesktopConfig.ReadWrite.All“
# Windows Cloud Login サービスプリンシパルのオブジェクトIDを取得 (後続のコマンドで利用)
$WCLspId = (Get-MgServicePrincipal -Filter "AppId eq '270efc09-cd0d-444b-a71f39af4910ec45'").Id
# Windows Cloud Login サービスプリンシパルの RDP 認証を有効化
Update-MgServicePrincipalRemoteDesktopSecurityConfiguration -ServicePrincipalId $WCLspId IsRemoteDesktopProtocolEnabled
2
ホストプールで SSO（シングルサインオン）を構成
設定箇所 AVD ホストプール
設定例：リソースの構成を更新(Azure CLI)
# リソースの構成を更新
az desktopvirtualization hostpool update \
--name $hostPool \
--resource-group $resourceGroup \
--custom-rdp-property "$customProperties“
設定例：リソースの構成を更新(Bicep テンプレート)
resource hostPool 'Microsoft.DesktopVirtualization/hostPools@2024-04-03' = {
// 重要部分以外は省略
properties: {
// 外部 ID 利用時に必須の Microsoft Entra SSO
customRdpProperty: 'enablerdsaadauth:i:1’
}
}


# Page. 17

![Page Image](https://bcdn.docswell.com/page/VEPKV1PL78.jpg)

外部ID×AVD 構築のポイント②：FSLogix プロファイル置き場(Files)
ストレージ側の設定 Kerberos／NTLM が使えず、FSLogix はクラウドストレージ（Azure Files）に格納必須。
1
Azure Files で Entra Kerberos 認証を有効化
2
ストレージアカウントに管理者の同意を付与
3
設定箇所 Azure Files
設定箇所 Microsoft Entra アプリ
クラウド専用グループ SID を有効化し、格納先を指定
設定箇所 Azure Files / FSLogix
設定例：Azure PowerShell
Set-AzStorageAccount -Name <SA> `
-ResourceGroupName <RG> `
-EnableAzureActiveDirectory`
KerberosForFile $true
設定手順（ポータル）
Entra アプリの登録 → API のアクセス許可
→ [管理者の同意を付与]
設定例：FSLogix レジストリ
HKLM¥SOFTWARE¥FSLogix¥Profiles
Enabled = 1
VHDLocations =
¥¥<SA>.file.core.windows.net¥<share>


# Page. 18

![Page Image](https://bcdn.docswell.com/page/27VVZY267Q.jpg)

デモ：接続編
個人情報の関係で、録画したものを使いながら紹介


# Page. 19

![Page Image](https://bcdn.docswell.com/page/5JGL49R27L.jpg)

外部ID×AVD 構築のポイント③：外部IDユーザーの接続
利用開始のポイント 外部IDユーザーの接続は通常のログインと手順が異なる。
1
2
接続クライアントは Windows App／Web ブラウザ
設定箇所 クライアント
「組織へのサインイン」から招待先ドメインを指定
設定箇所 ログイン手順
対応状況
Windows App（Windows）：GA
Web ブラウザ：GA
macOS／Android 版アプリ：プレビュー
組織にサインイン
contoso.onmicrosoft.com
次へ
3
Intune はデバイスに割り当てて制御
設定箇所 Intune
招待先組織の
ドメインを入力
割り当ての設定
デバイス構成ポリシー
ユーザー割り当て：✕（外部IDは不可）
デバイス割り当て：○


# Page. 20

![Page Image](https://bcdn.docswell.com/page/47QYGWV9EP.jpg)

デモ：接続編


# Page. 21

![Page Image](https://bcdn.docswell.com/page/KE4W5KWRJ1.jpg)

運用時の注意点①：ID 参加とデバイス管理
1
セッションホストは Entra ID 参加＋SSO が必須
注意点 AD DS / Entra Domain Services のドメイン参加では外部IDのアカウントが同期されず利用できない。
対処策 セッションホストを Entra ID 参加にし、AADLoginForWindows 拡張機能で参加。ホストプールにSSOを構成する（AVDではこの手順
が唯一サポート）。
2
VM削除後の孤立デバイスと同名ホスト名に注意
注意点 VMを削除しても Entra ID 上のデバイスは自動削除されず、同名ホスト名が残ると再参加に失敗する。
エラー “The hostname is already used by another device in this tenant, please change the VM name to redeploy the extension.”
対処策 VM削除と Entra デバイス削除をセットで運用フロー化。PowerShell（Microsoft Graph＋Az）で孤立デバイスを棚卸し・削除する。


# Page. 22

![Page Image](https://bcdn.docswell.com/page/L71YWXYVJG.jpg)

運用時の注意点②：プロファイルとガバナンス
1
FSLogix プロファイルは Azure Files に集約
注意点 Kerberos/NTLM のオンプレ認証が使えず、従来のドメイン依存のプロファイル置き場を利用できない。
対処策 クラウド専用ID（Entra Kerberos）の Azure Files に格納。ストレージアカウントへの管理者同意とクラウド専用グループSIDサポー
トを有効化する。
2
外部ユーザーのアクセス制御とガバナンスを徹底
注意点 ゲストのアクセスを放置すると権限が残存し、セキュリティ・棚卸しの観点でリスクになる。
対処策 外部ユーザーにも条件付きアクセス／MFAを適用。アクセスレビューで不要なゲストを失効し、サインイン／監査ログで継続的に監
視する。


# Page. 23

![Page Image](https://bcdn.docswell.com/page/G7WG6NG3E2.jpg)

まとめ：外部ID × AVD でセキュアな社外コラボレーションを実現
課題
実現
社外とのセキュアなコラボレーション
外部IDへの AVD サポートが GA
ID・利便性とゼロトラストの両立が、長年の課題だった。
社外の人が自組織のIDのまま、セキュアに AVD へ接続できる（2025年11月 GA）。
構成
ドメイン不要のクラウドネイティブ
Entra ID 参加のセッションホスト＋Azure Files（Entra Kerberos）で FSLogix を
格納。
Key Message
外部ID × AVD で、ドメイン依存から脱却し、社外コラボレーションをゼロトラストで実現する。


# Page. 24

![Page Image](https://bcdn.docswell.com/page/4JZLY3LGE3.jpg)

宣伝① YonaAz Build Update Night
日時：2026/07/16 21:00 から
形式：オンライン


# Page. 25

![Page Image](https://bcdn.docswell.com/page/YE6WDXWQEV.jpg)

宣伝② YonaAz オフラインイベント開催決定
日時：2026/08/27 19:00 から
形式：大阪 アールスリーインスティテュート様


# Page. 26

![Page Image](https://bcdn.docswell.com/page/GE5M3XM2E4.jpg)

宣伝③ AI Dev Day 2026


# Page. 27

![Page Image](https://bcdn.docswell.com/page/9729ZX91JR.jpg)

参考情報
• 公式情報
• Virtual Desktop Azureライセンス - Azure Virtual Desktop | Microsoft Learn
• Microsoft Entra ID を使用して AZURE Files に FSLogix プロファイル コンテナーを格納する
- FSLogix | Microsoft Learn
• プロファイル コンテナーの構成 - FSLogix | Microsoft Learn
• ブログ記事
• Enterprise 利用で組織外部の人とコラボレーションをする方法を考える(ライセンス編)
#Azure - Qiita
• Enterprise 利用で組織外部の人とコラボレーションをする方法を考える(外部 ID で AVD 利用
編) #Azure – Qiita
• Enterprise 利用で組織外部の人とコラボレーションをする方法を考える(Entra 運用編)
#Azure – Qiita
• Microsoft Entra ID Join した Azure VM に対して Remote Desktop 接続する際の方法と注意
点 #Windows - Qiita


# Page. 28

![Page Image](https://bcdn.docswell.com/page/DJY4R8447M.jpg)

おしまい
ご清聴ありがとうございました