教育用共用PCを想定したEntra Kerberosの検証｜すきやねん Azure!! #38

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 教育用共用PCを想定した Entra Kerberos の検証 Hybrid AAD Join / FSLogix / オンプレFS ～ CloudTgt:YES ～ Toruneko（トルねこ） 教育機関の共用PC環境管理 1 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 現在の教育用共用PCの環境 ・教育用共用PC 約500台 ・利用者 約１万人規模 ・Hybrid AAD Join ・FSLogix（オンプレFS） ・ネットブート＆ディスク配信システムほたて（非永続VDI） 現在の認証イメージ ・Windowsログオン ICカード→ID取得→オンプレAD Password認証→FSLogix attach ・M365アクセス ADFS連携→Azure MFA→M365 SSO 現状でも、ICカード+Hybrid AAD Join+FSLogix運用自体は成立 ただし、WindowsログオンとM365サービスへのアクセスは別経路 また、2027年3月のシステム更改でADFS廃止 発端：センター長から 「ICカード認証止めたいから、MFAできる？」 当時の自分：「条件付きアクセスで何とかなるのでは？」 と返答しつつ、焦って調査開始 2 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 Entra Kerberosって何？ Azure AcademyやQiitaの記事で、Entra Kerbrosを発見  Entra Kerbrosとは Entra ID Join / Hybrid Entra IDJoin 端末から オンプレミスリソースへKerberos SSOでアクセス可能にする仕組み でも AVD + Azure Files の例ばかりで オンプレFS + FSLogix の記事は見つからず…  調べたもの Azure Academy：This Update Makes Azure Virtual Desktop Truly Cloud-Native NTTデータ先端技術 野口さん：Microsoft Entra Kerberos 認証 を構成 し オンプレミスへ SSO する NTT西日本 鶴田さん：Entra ハイブリッド参加をせずに、オンプレリ ソースにSSOする方法（Entra Kerberosの利用形式の一つ） 3 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 クラウドに見えて、実はEntra Kerberos AVD ( ﾟдﾟ) Azure Files ＼／| y |＼／ 分解すると ( ﾟдﾟ) SMB (＼／＼／ Auth そして FSLogix ( ﾟдﾟ) SMB ＼／| y |＼／ つまり ( ﾟдﾟ) Entra Kerberos (＼／＼／ なので ( ﾟдﾟ) オンプレFSにもつながる (＼／＼／ 4 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 とりあえず、やってみた 構成 ・オンプレAD（Entra Connect同居） ・オンプレFS ・Win11クライアントVM（Hybrid Entra ID Join） ・開発用Entra IDテナント ・PHS（Password Hash Synchronization） ・FSLogix ・Entra Kerberos 手順 ① オンプレAD / FS / CL02（Win11）構築 ② Entra Connect PHS/OU同期/Hybrid Entra Join ③ Hybrid Entra ID Join確認 ④ Entra Kerberos設定 5 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 確認できた事 クライアントVM（Win11 CL02） AzureAdPrt : YES → AzureAd プライマリリフレッシュトークン取得確認 CloudTgt : YES → Entra Kerberos 用チケット取得確認 Klist :cifs/FS →オンプレFS向け SMB Kerberos チケット確認 FSLogix attach →オンプレFS上のFSLogix attach確認 6 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 でも現実は甘くなかった いろいろあった：Hybrid Join途中停止（保留状態），ADFS時代の設定残 骸，AD同期権限エラー，OU同期設定，パスワード同期(PHS / Password Hash Synchronization)，VMホストからの時間同期継承，基本セッション 問題，CloudTgt:NO，dsregcmdとにらめっこ， Windows Hello for Business PIN登録無限ループ….etc ・WHfB問題 GPO設定 推奨：WHfB(PIN)有効 + Kerberos Trust 有効 今回：WHfB無効 + Kerberos Trust 有効 しかしPWログオンでも 確認 AzureAdPrt : YES CloudTgt : YES 7 2026/05/29

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 まとめと今後  今回の確認 ID/PWログオン→Hybrid Entra ID Join →Azure PRT→Entra Kerberos →cifs/FS→FSlogix atach 認証の入口をEntra IDへ寄せることで 共用PCでもオンプレFSを含めたKerberos SSO と MFA / Passwordless方向の可能性が見えてきた。  今後の目標 ICカード→Entra ID認証→条件付きアクセス →MFA / Passwordless→Azure PRT →Entra Kerberos→FSLogix 2026/05/29 8

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 参考文献 MS Learn Microsoft Entra Kerberos の概要 https://learn.microsoft.com/jajp/entra/identity/authentication/kerberos Azure Academy This Update Makes Azure Virtual Desktop Truly Cloud-Native https://www.youtube.com/watch?v=28KrwCWILGA&t=2s 鶴田 光彬 ( Mitsuaki Tsuruta) NTT西日本 Entra ハイブリッド参加をせずに、オンプレリソースにSSOする方 法（Entra Kerberosの利用形式の一つ） https://mitsurublog.com/post-11477/?utm_source=chatgpt.com @carol0226(Shuji Noguchi) in NTTデータ先端技術 Microsoft Entra Kerberos 認証 を構成し オンプレミスへ SSO する https://qiita.com/carol0226/items/a52a54ff63c19fa957e6 9 2026/05/29

• https://learn.microsoft.com/ja-
• https://www.youtube.com/watch?v=28KrwCWILGA&t=2s
• https://mitsurublog.com/post-11477/?utm_source=chatgpt.com
• https://qiita.com/carol0226/items/a52a54ff63c19fa957e6

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証 LT後の追加検証 環境比較 AzureAdPrt CloudTgt Entra Kerberos (cifs/FS) FSLogix Entra Join (AAD Join) 〇 〇 〇 〇 Hybrid AAD Join 〇 〇 〇 〇 LT後、うしがみさん ( X:@tushigami) からいただいた質問 Q： Entra Join端末からオンプレAD認証のファイルサーバーへ アクセスできますか？ A：Entra Join環境でも CloudTgt取得後にEntra Kerberos（cifs/FS） によるオンプレFSアクセスとFSLogix attachが成立。 10 2026/05/29