第3章 · ID とセキュリティ·v1.0.0·更新 2026/6/28·読了目安約14分

変更要約: AZ-140 第3章を新規作成（ドメイン2: ID 統合(AD DS/Entra ID 参加/Entra Domain Services・Azure RBAC・Conditional Access・MFA/パスワードレス/スマートカード・Entra SSO)、セッションホストのセキュリティ(Defender for Cloud 態勢/Defender ウイルス対策/Defender for Endpoint EDR オンボーディング・NSG/UDR/Azure Firewall・Azure Bastion/JIT・App Control for Business/Controlled Folder Access・Trusted Launch/機密 VM)）。

3.1ID 統合とアクセス制御

この節の要点

AVD の ID シナリオ（AD DS / Microsoft Entra ID / Microsoft Entra Domain Services）、セッションホストの ID 構成、Azure RBAC、Conditional Access、認証オプション、Microsoft Entra シングルサインオンを理解します。

AVD のセッションホストは Windows VM なので、ユーザーがサインインするための ID 基盤が必要です。どの ID シナリオを選ぶかが設計の土台になります。

3.1.1ID シナリオの選択

セッションホストの参加先（ドメイン参加）は 3 系統あります＝オンプレ/IaaS の Active Directory Domain Services（AD DS）、マネージドドメインの Microsoft Entra Domain Services、そして Microsoft Entra ID 参加（クラウドネイティブ）。FSLogix プロファイル共有が AD ベース認証を要する点と、Entra ID 参加の構成可否は ID シナリオで決まります。「オンプレ AD と連携しつつクラウドへ」なら AD DS（Entra Connect 同期）、「ドメインコントローラを管理したくない」なら Entra Domain Services、「完全クラウドネイティブ」なら Entra ID 参加が定石です。

3.1.2RBAC・Conditional Access・認証

Azure RBAC で AVD の管理権限（ホストプール/アプリケーショングループへのロール割当・例: Desktop Virtualization 系の組み込みロール）を委任します。エンドユーザーのアクセスは Conditional Access で「MFA を要求」「準拠デバイスのみ」「リスクに応じてブロック」を AVD アプリに適用します。認証は MFA・パスワードレス・スマートカードを選べ、Microsoft Entra シングルサインオン（SSO）でフィードとセッションへのサインイン回数を減らします。「AVD 接続に MFA を強制」＝Conditional Access、「管理者に AVD 管理ロールを委任」＝Azure RBAC、と区別します。

試験ポイント

決め手：「オンプレ AD 連携」＝AD DS、「DC を管理せずドメイン参加」＝Entra Domain Services、「完全クラウドネイティブ」＝Entra ID 参加。「AVD 接続に MFA/準拠デバイス強制」＝Conditional Access。「AVD 管理権限の委任」＝Azure RBAC。「サインイン回数削減」＝Entra SSO。

注意

混同に注意：
①Conditional Access(エンドユーザーのアクセス条件)と Azure RBAC(管理権限の委任)を取り違えない。
②Entra ID 参加(クラウド)と Entra Domain Services(マネージドドメイン)と AD DS(自前 DC)は別物。
③FSLogix プロファイル共有は AD ベース認証が前提＝純粋な Entra ID 参加のみでは構成上の制約がある。

ID シナリオ(AD DS=オンプレ連携/Entra Domain Services=マネージドドメイン/Entra ID 参加=クラウドネイティブ)、Conditional Access(AVD 接続に MFA/準拠デバイス)、Azure RBAC(AVD 管理委任)、Entra SSO・MFA/パスワードレス/スマートカードを示す図。 — アクセスと委任を分ける

3.1.3この節のまとめ

ID シナリオ＝AD DS(オンプレ連携)/Entra Domain Services(マネージドドメイン)/Entra ID 参加(クラウドネイティブ)
Conditional Access＝エンドユーザーに MFA/準拠デバイス強制、Azure RBAC＝AVD 管理権限の委任
認証は MFA/パスワードレス/スマートカード、Entra SSO でサインイン回数を削減

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. AVD 接続時に多要素認証（MFA）と準拠デバイスを強制したい。最適な機能はどれですか？

Q2. 管理者にホストプール管理の権限だけを委任したい。最適なのはどれですか？

Q3. ドメインコントローラを自分で管理せずに、セッションホストをドメイン参加させたい。最適な ID シナリオはどれですか？

Q4. ユーザーがフィードとセッションへのサインインを繰り返す手間を減らしたい。最適なのはどれですか？

Q5. オンプレの Active Directory と連携しつつ AVD をクラウドに展開したい。最適な ID シナリオはどれですか？

理解度を確認第3章「ID とセキュリティ」の問題を解く