変更要約: AZ-140 第3章を新規作成（ドメイン2: ID 統合(AD DS/Entra ID 参加/Entra Domain Services・Azure RBAC・Conditional Access・MFA/パスワードレス/スマートカード・Entra SSO)、セッションホストのセキュリティ(Defender for Cloud 態勢/Defender ウイルス対策/Defender for Endpoint EDR オンボーディング・NSG/UDR/Azure Firewall・Azure Bastion/JIT・App Control for Business/Controlled Folder Access・Trusted Launch/機密 VM)）。
3.1ID 統合とアクセス制御
AVD の ID シナリオ（AD DS / Microsoft Entra ID / Microsoft Entra Domain Services）、セッションホストの ID 構成、Azure RBAC、Conditional Access、認証オプション、Microsoft Entra シングルサインオンを理解します。
AVD のセッションホストは Windows VM なので、ユーザーがサインインするための ID 基盤 が必要です。どの ID シナリオを選ぶかが設計の土台になります。
3.1.1ID シナリオの選択
セッションホストの参加先（ドメイン参加）は 3 系統あります＝オンプレ/IaaS の Active Directory Domain Services（AD DS）、マネージドドメインの Microsoft Entra Domain Services、そして Microsoft Entra ID 参加（クラウドネイティブ）。FSLogix プロファイル共有の認証方式（AD DS / Microsoft Entra Kerberos / Entra Domain Services）も ID シナリオで決まります。Entra ID 参加でも Entra Kerberos で構成できます。「オンプレ AD と連携しつつクラウドへ」なら AD DS（Entra Connect 同期）、「ドメインコントローラを管理したくない」なら Entra Domain Services、「完全クラウドネイティブ」なら Entra ID 参加が定石です。
3.1.2RBAC・Conditional Access・認証
Azure RBAC で AVD の管理権限（ホストプール/アプリケーショングループへのロール割当・例: Desktop Virtualization 系の組み込みロール）を委任します。エンドユーザーのアクセスは Conditional Access で「MFA を要求」「準拠デバイスのみ」「リスクに応じてブロック」を AVD アプリに適用します。認証は MFA・パスワードレス・スマートカード を選べ、Microsoft Entra シングルサインオン（SSO） でフィードとセッションへのサインイン回数を減らします。「AVD 接続に MFA を強制」＝Conditional Access、「管理者に AVD 管理ロールを委任」＝Azure RBAC、と区別します。
決め手：「オンプレ AD 連携」＝AD DS、「DC を管理せずドメイン参加」＝Entra Domain Services、「完全クラウドネイティブ」＝Entra ID 参加。「AVD 接続に MFA/準拠デバイス強制」＝Conditional Access。「AVD 管理権限の委任」＝Azure RBAC。「サインイン回数削減」＝Entra SSO。
混同に注意：
①Conditional Access(エンドユーザーのアクセス条件)と Azure RBAC(管理権限の委任)を取り違えない。
②Entra ID 参加(クラウド)と Entra Domain Services(マネージドドメイン)と AD DS(自前 DC)は別物。
③「FSLogix プロファイル共有は AD ベース認証が前提＝純粋な Entra ID 参加では構成できない」は誤り。Entra Kerberos で構成できる。
3.1.3この節のまとめ
- ID シナリオ＝AD DS(オンプレ連携)/Entra Domain Services(マネージドドメイン)/Entra ID 参加(クラウドネイティブ)
- Conditional Access＝エンドユーザーに MFA/準拠デバイス強制、Azure RBAC＝AVD 管理権限の委任
- 認証は MFA/パスワードレス/スマートカード、Entra SSO でサインイン回数を削減
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. AVD 接続時に多要素認証（MFA）と準拠デバイスを強制したい。最適な機能はどれですか？
Q2. 管理者にホストプール管理の権限だけを委任したい。最適なのはどれですか？
Q3. ドメインコントローラを自分で管理せずに、セッションホストをドメイン参加させたい。最適な ID シナリオはどれですか？
Q4. ユーザーがフィードとセッションへのサインインを繰り返す手間を減らしたい。最適なのはどれですか？
Q5. オンプレの Active Directory と連携しつつ AVD をクラウドに展開したい。最適な ID シナリオはどれですか？