---
title: 教育用共用PCを想定したEntra Kerberosの検証｜すきやねん Azure!! #38
tags: 
author: [Toruneko](https://docswell.com/user/projectEE)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/GE5M3G1GE4.jpg?width=480
description: 教育用共用PC環境を題材に、Hybrid Entra ID Join環境でのMicrosoft Entra Kerberosを検証しました。CloudTgt取得、オンプレミスファイルサーバーへのKerberos認証、FSLogixの動作確認を行い、教育用共用PCへの適用可能性を調査した内容です。 LT後にいただいた質問をもとに、Entra Join環境での追加検証結果も追記しています。
published: July 03, 26
canonical: https://docswell.com/s/projectEE/KL33D4-2026-07-03-152750
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/GE5M3G1GE4.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
教育用共用PCを想定した
Entra Kerberos の検証
Hybrid AAD Join / FSLogix / オンプレFS
～ CloudTgt:YES ～
Toruneko（トルねこ）
教育機関の共用PC環境管理
1
2026/05/29


# Page. 2

![Page Image](https://bcdn.docswell.com/page/9729ZY1DJR.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
現在の教育用共用PCの環境
・教育用共用PC 約500台
・利用者 約１万人規模
・Hybrid AAD Join
・FSLogix（オンプレFS）
・ネットブート＆ディスク配信システムほたて（非永続VDI）
現在の認証イメージ
・Windowsログオン
ICカード→ID取得→オンプレAD Password認証→FSLogix attach
・M365アクセス
ADFS連携→Azure MFA→M365 SSO
現状でも、ICカード+Hybrid AAD Join+FSLogix運用自体は成立
ただし、WindowsログオンとM365サービスへのアクセスは別経路
また、2027年3月のシステム更改でADFS廃止
発端：センター長から
「ICカード認証止めたいから、MFAできる？」
当時の自分：「条件付きアクセスで何とかなるのでは？」
と返答しつつ、焦って調査開始
2
2026/05/29


# Page. 3

![Page Image](https://bcdn.docswell.com/page/DJY4RGZM7M.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
Entra Kerberosって何？
Azure AcademyやQiitaの記事で、Entra Kerbrosを発見
 Entra Kerbrosとは
Entra ID Join / Hybrid Entra IDJoin 端末から
オンプレミスリソースへKerberos SSOでアクセス可能にする仕組み
でも AVD + Azure Files の例ばかりで
オンプレFS + FSLogix の記事は見つからず…
 調べたもの
Azure Academy：This Update Makes Azure Virtual Desktop Truly
Cloud-Native
NTTデータ先端技術 野口さん：Microsoft Entra Kerberos 認証 を構成
し オンプレミスへ SSO する
NTT西日本 鶴田さん：Entra ハイブリッド参加をせずに、オンプレリ
ソースにSSOする方法（Entra Kerberosの利用形式の一つ）
3
2026/05/29


# Page. 4

![Page Image](https://bcdn.docswell.com/page/V7NYDG33E8.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
クラウドに見えて、実はEntra Kerberos
AVD ( ﾟдﾟ) Azure Files
＼／| y |＼／
分解すると
( ﾟдﾟ) SMB
(＼／＼／
Auth
そして
FSLogix ( ﾟдﾟ) SMB
＼／| y |＼／
つまり
( ﾟдﾟ) Entra Kerberos
(＼／＼／
なので
( ﾟдﾟ) オンプレFSにもつながる
(＼／＼／
4
2026/05/29


# Page. 5

![Page Image](https://bcdn.docswell.com/page/YJ9PGW9P73.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
とりあえず、やってみた
構成
・オンプレAD（Entra Connect同居）
・オンプレFS
・Win11クライアントVM（Hybrid Entra ID Join）
・開発用Entra IDテナント
・PHS（Password Hash Synchronization）
・FSLogix
・Entra Kerberos
手順
① オンプレAD / FS / CL02（Win11）構築
② Entra Connect
PHS/OU同期/Hybrid Entra Join
③ Hybrid Entra ID Join確認
④ Entra Kerberos設定
5
2026/05/29


# Page. 6

![Page Image](https://bcdn.docswell.com/page/GJ8DVN9XJD.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
確認できた事
クライアントVM（Win11 CL02）
AzureAdPrt
: YES
→ AzureAd プライマリリフレッシュトークン取得確認
CloudTgt
: YES
→ Entra Kerberos 用チケット取得確認
Klist
:cifs/FS →オンプレFS向け SMB Kerberos チケット確認
FSLogix attach
→オンプレFS上のFSLogix attach確認
6
2026/05/29


# Page. 7

![Page Image](https://bcdn.docswell.com/page/LJLM5PWNER.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
でも現実は甘くなかった
いろいろあった：Hybrid Join途中停止（保留状態），ADFS時代の設定残
骸，AD同期権限エラー，OU同期設定，パスワード同期(PHS / Password
Hash Synchronization)，VMホストからの時間同期継承，基本セッション
問題，CloudTgt:NO，dsregcmdとにらめっこ， Windows Hello for
Business PIN登録無限ループ….etc
・WHfB問題
GPO設定
推奨：WHfB(PIN)有効 + Kerberos Trust 有効
今回：WHfB無効 + Kerberos Trust 有効
しかしPWログオンでも 確認
AzureAdPrt : YES
CloudTgt : YES
7
2026/05/29


# Page. 8

![Page Image](https://bcdn.docswell.com/page/47MY349Q7W.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
まとめと今後
 今回の確認
ID/PWログオン→Hybrid Entra ID Join
→Azure PRT→Entra Kerberos
→cifs/FS→FSlogix atach
認証の入口をEntra IDへ寄せることで
共用PCでもオンプレFSを含めたKerberos SSO と
MFA / Passwordless方向の可能性が見えてきた。
 今後の目標
ICカード→Entra ID認証→条件付きアクセス
→MFA / Passwordless→Azure PRT
→Entra Kerberos→FSLogix
2026/05/29
8


# Page. 9

![Page Image](https://bcdn.docswell.com/page/P7R9QWGKE9.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
参考文献
MS Learn Microsoft Entra Kerberos の概要
https://learn.microsoft.com/jajp/entra/identity/authentication/kerberos
Azure Academy
This Update Makes Azure Virtual Desktop Truly Cloud-Native
https://www.youtube.com/watch?v=28KrwCWILGA&t=2s
鶴田 光彬 ( Mitsuaki Tsuruta) NTT西日本
Entra ハイブリッド参加をせずに、オンプレリソースにSSOする方
法（Entra Kerberosの利用形式の一つ）
https://mitsurublog.com/post-11477/?utm_source=chatgpt.com
@carol0226(Shuji Noguchi) in NTTデータ先端技術
Microsoft Entra Kerberos 認証 を構成し オンプレミスへ SSO する
https://qiita.com/carol0226/items/a52a54ff63c19fa957e6
9
2026/05/29


# Page. 10

![Page Image](https://bcdn.docswell.com/page/PJXQ5PX57X.jpg)

すきやねん Azure!! #38｜教育用共用PCでの Entra Kerberos 検証
LT後の追加検証
環境比較
AzureAdPrt
CloudTgt
Entra Kerberos
(cifs/FS)
FSLogix
Entra Join
(AAD Join)
〇
〇
〇
〇
Hybrid AAD
Join
〇
〇
〇
〇
LT後、うしがみさん ( X:@tushigami) からいただいた質問
Q： Entra Join端末からオンプレAD認証のファイルサーバーへ
アクセスできますか？
A：Entra Join環境でも CloudTgt取得後にEntra Kerberos（cifs/FS）
によるオンプレFSアクセスとFSLogix attachが成立。
10
2026/05/29