Microsoft AZ-140: ID、アクセス、ガバナンス — 学習ガイド

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

こちらの一部です： Microsoft Azure Virtual Desktop Specialty AZ-140 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

ID、アクセス、ガバナンスは、ユーザー、デバイス、自動化がAzure Virtual Desktopリソースとどのように対話するかを定義します。堅牢な設計では、Microsoft Entra IDをIDコントロールプレーンとして位置づけ、AVDリソースにスコープを限定したAzure RBACで最小権限のアクセス許可を適用し、条件付きアクセスと多要素認証を強制し、マネージドIDで自動化を運用可能にします。セッションホストをMicrosoft Entra参加にするか、ハイブリッドMicrosoft Entra参加にするかといった決定は、DNS、認証、プロファイルストレージ、条件付きアクセスの動作に関する下流の要件を左右します。

IDとディレクトリの設計

• Microsoft Entra IDのテナント、ユーザー、グループ

  • AVDコントロールプレーンは、Microsoft Entra IDにネイティブです。ユーザーは、AVDリソースを所有するテナントに存在するか、適切な割り当てを持つB2Bゲストユーザーである必要があります。
  • アプリケーショングループの割り当てやロールベースの管理には、Microsoft Entraのセキュリティグループ（静的または動的）を使用します。AVDのロール割り当てに入れ子になったグループを使用することは避けてください。Azure RBACはロール割り当てにおいて、入れ子になったメンバーシップを評価しません。

• AVDアプリケーショングループへのグループベースの割り当て

  • ユーザーやグループをアプリケーショングループに割り当てることで、ユーザーにリモートアプリやデスクトップへのアクセス権を付与します。認可時に、Azureはそれらのプリンシパルに対して、アプリケーショングループのスコープでDesktop Virtualization Userのロール割り当てを適用します。
  • ライフサイクル管理とアクセスレビューを簡素化するために、個々のユーザーよりもグループでの割り当てを優先します。ユーザー属性や部署に基づいた動的グループを使用して、ユーザーを適切なRemoteAppまたはデスクトップアプリケーショングループにマッピングします。

• Microsoft Entra参加済みとハイブリッドMicrosoft Entra参加済みのセッションホストの比較

  • Microsoft Entra参加済み: 従来のドメインコントローラーへの通信経路が不要です。クラウドファーストのデプロイメントに最適です。Microsoft Entra IDによるセッションへの先進認証とSSOをサポートします。FSLogixには、Azure FilesとMicrosoft Entra Kerberosを使用し、ホストがAD DSなしでプロファイルに認証できるようにします。
  • ハイブリッドMicrosoft Entra参加済み（AD DSにドメイン参加し、Entra IDに登録）: 既存のグループポリシー、オンプレミスのKerberos/NTLM、またはAD DSを必要とするSMBターゲットを使用する必要がある場合に必須です。VNETのDNSが、ドメインを解決しサービスを提供できるドメインコントローラーを指していることを確認してください。Azure AD DS（マネージド ドメイン）を使用する場合、セッションホストをドメイン参加させる前に、VNETのDNSサーバーをマネージドドメインのIPに設定します。

• ハイブリッドID、Microsoft Entra Connect、パスワードハッシュ同期、シームレスSSO

  • Microsoft Entra Connectを使用して、AD DSからユーザーIDを同期します。パスワードハッシュ同期は、最もシンプルで回復力のあるサインイン方法であり、クラウド側の条件付きアクセスをサポートします。
  • シームレスSSOを有効にすると、内部ネットワーク上の企業デバイスが、資格情報の入力を求められることなく、Entra IDへのKerberosベースのシングルサインオンを取得できます。これにより、管理されたネットワークからAVDを起動する際のユーザーエクスペリエンスが向上し、同時に条件付きアクセスの強制も可能になります。

アクセス制御と最小権限

• AVD用の組み込みAzure RBACロール

  • Desktop Virtualization Administrator: AVDリソースに対する完全な管理制御。
  • Desktop Virtualization Contributor: エンドユーザーにアクセス権を付与することなく、AVDリソースを管理。
  • Desktop Virtualization Reader: AVDリソースの表示。
  • Desktop Virtualization Host Pool Contributor: ホストプールの設定と登録キーを管理。他のAVDリソースに対する完全な制御権はない。
  • Desktop Virtualization Workspace Contributor: ワークスペースからアプリケーショングループを公開または削除。
  • Desktop Virtualization Application Group Contributor: アプリケーショングループのプロパティと公開済みアプリを管理。ユーザーアクセスは許可しない。
  • Desktop Virtualization Session Host Operator: ヘルプデスク向け。セッションホスト、ユーザーセッションの表示、メッセージの送信、セッションの切断またはログオフが可能。
  • Desktop Virtualization User: 起動を認可するために、アプリケーショングループのスコープでユーザー/グループに割り当てられる。

• ロール割り当てのスコープとパターン

  • アクセス許可のスコープは可能な限り狭く設定します:
    • Desktop Virtualization Userは、アプリケーショングループのスコープでのみユーザー/グループに割り当てます。
    • Application Group Contributorはアプリケーショングループに、Workspace Contributorはワークスペースに、Host Pool Contributorはホストプールに割り当てます。
    • 運用スタッフがゲストの電源、サイズ、またはネットワークインターフェースを管理する必要がある場合は、セッションホストVMを含むリソースグループでVirtual Machine Contributorおよび関連するコンピューティング/ストレージ/ネットワークのロールを割り当てます。
  • コントロールプレーンオブジェクト（ワークスペース、ホストプール、アプリケーショングループ）とセッションホストVMでリソースグループを分けると、スコープ設定と監査性が向上します。

• マネージドID、サービスプリンシパル、委任された自動化

  • AVDの自動スケールや運用Runbookには、システム割り当てまたはユーザー割り当てのマネージドIDを優先して使用します。ターゲットリソースを操作するために必要なロールのみを、最小限のスコープで付与します（例：セッションホストのリソースグループに対するVirtual Machine Contributor、ホストプールに対するDesktop Virtualization Contributor）。
  • アプリケーショングループを公開したりRDPプロパティを更新したりするDevOpsパイプラインには、証明書資格情報を持つサービスプリンシパルを使用します。そのアクセス許可は、管理対象の特定のAVDリソースに限定します。

• Privileged Identity Managementと緊急アクセス

  • Azure RBACとMicrosoft Entraの両方のロールに対して、Microsoft Entra Privileged Identity Managementを使用します。Desktop Virtualization AdministratorやSubscription Ownerなどのリスクの高いロールは、資格をアクティブ化する方式（eligible）にし、MFA、承認、および正当な理由を要求します。
  • 少なくとも2つの緊急アクセス（ブレークグラス）用のGlobal Administratorアカウントを維持します。これらは条件付きアクセスとPIMから除外し、オフラインで保管し、定期的にテストし、復旧目的でのみ使用します。

ロールスコープの簡単な例：

# End-user entitlement to one application group
az role assignment create \
  --assignee <groupObjectId> \
  --role "Desktop Virtualization User" \
  --scope /subscriptions/<subId>/resourceGroups/rg-avd-control/providers/Microsoft.DesktopVirtualization/applicationGroups/ag-fin-remoteapps

# Help-desk session operations on a host pool
az role assignment create \
  --assignee <helpdeskGroupId> \
  --role "Desktop Virtualization Session Host Operator" \
  --scope /subscriptions/<subId>/resourceGroups/rg-avd-control/providers/Microsoft.DesktopVirtualization/hostPools/hp-fin

ホストの運用上のIDに関する考慮事項

• DNSとドメイン参加

  • AD DSまたはAzure AD DSに参加しているホストの場合、プロビジョニングの前に、VNETのDNSサーバーをドメインコントローラーのIPまたはマネージドドメインのIPに設定します。正しいDNSがないと、ドメイン参加は失敗し、FSLogix、GPO、およびKerberosは動作しなくなります。
  • Microsoft Entraに参加しているホストの場合、AD DSのDNSは必要ありません。ただし、プロファイルのSMBターゲットには、依然として先進認証機能（Azure FilesでのMicrosoft Entra Kerberos）が必要です。

• 登録キーとスケールアウト

  • 既存または新規のセッションホストをホストプールに追加するには、有効な登録キーが必要です。キーの有効期間を制限し、VM拡張機能のデプロイのスコープをホストプールリソースのみに限定します。

• 接続時にVMを起動 (Start VM on Connect) と自動スケール

  • VMの割り当て解除/割り当てを行う自動スケール機能の場合、スケーリングプランのマネージドIDに、ホストVMのリソースグループに対するVirtual Machine Contributorと、ホストプールに対するDesktop Virtualization Contributorを割り当てます。サブスクリプション全体の権限を付与することは避けてください。

• アクセスレビューとエンタイトルメントのライフサイクル

  • アプリケーション グループに割り当てられているEntraグループに対して、定期的なアクセスレビューを実装します。アプリケーションアクセスが複数のアプリグループやリソースにまたがる場合は、Entitlement Managementと統合します。

• 監査

  • AVDアプリへのアクセスについてはMicrosoft Entraのサインインログと監査ログを、AVDリソースの変更についてはAzureアクティビティログを監視します。Log AnalyticsまたはSIEMにストリーミングし、異常なアクティビティ（例：大量のセッションログオフや予期しないロールの割り当て）に対してアラートを設定します。

実践的な問題シナリオ

Tailwind Traders社は、3,000人のユーザー向けに、Azure Virtual Desktopを介して基幹業務アプリへの安全なリモートアクセスを有効にしようとしています。同社には、パスワードハッシュ同期とシームレスSSOを使用してMicrosoft Entra IDに同期されたオンプレミスのADフォレストがあります。GPOを必要とする1つのレガシーなハイブリッドプールを維持しつつ、新規プールにはMicrosoft Entraに参加したセッションホストを使用して最新化します。フィッシング耐性のあるMFAを強制し、社外からは準拠しているデバイスからのみアクセスを許可し、ヘルプデスクのセッション操作を委任し、最小権限で自動スケールを実行する必要があります。

1. ホストの参加モデルとDNSを決定する

   • アクション：ほとんどのユーザー向けに、Microsoft Entraに参加したWindows 11 Enterprise multi-sessionの新しいプール型ホストプールを展開します。GPOを必要とするアプリ用に、より小規模なハイブリッド参加のプールを維持します。
   • 理由：Entra参加は、ドメインコントローラーへの依存を減らし、条件付きアクセスを簡素化します。レガシープールは必要なGPOを維持します。ハイブリッドプールでは、ドメイン参加とKerberosを確実にするために、VNETのDNSをVPN経由で到達可能なオンプレミスのDCのIPに設定します。

2. モダン認証によるプロファイルストレージ

   • アクション：Entra参加プールでは、FSLogix用にMicrosoft Entra Kerberosを使用したAzure Filesを使用します。ユーザーとセッションホストのマネージドIDに対して、共有レベルとファイルレベルのアクセス許可を構成します。
   • 理由：Entra IDを使用してドメインレスのSMBアクセスを可能にし、クラウドファーストのプールにおけるプロファイルのAD DSへの依存を排除します。

3. グループベースのエンタイトルメント

   • アクション：ペルソナごとにEntraセキュリティグループを作成します（例：grp-tt-hr-remoteapps、grp-tt-sales-desktop）。これらのグループを適切なアプリケーション グループに割り当て、ネストされたグループは避けます。
   • 理由：アクセス制御を一元化し、アクセスレビューを可能にします。直接的なグループ割り当ては、AVDのAzure RBACによって確実に評価されます。

4. 認証強度を使用した条件付きアクセス

   • アクション：Azure Virtual DesktopとAzure Virtual Desktop Azure Resource Managerを対象とするポリシーを作成します。
     • 認証強度「フィッシング耐性のあるMFA」を要求します。
     • 信頼できるオフィス以外の場所では、デバイスが準拠済みとしてマークされていることも要求します。
     • エンドユーザーのサインイン頻度を12時間に設定します。
     • 2つの緊急アクセス用アカウントと自動スケールのマネージドIDを除外します。
   • 理由：過度なプロンプトなしで強力な認証要素と管理対象デバイスからのアクセスを強制し、緊急用IDやワークロードIDのブロックを回避します。

5. 最小権限の操作を委任する

   • アクション：最小限のスコープでロールを割り当てます。
     • エンタイトルメントグループに、そのアプリケーション グループのスコープでDesktop Virtualization Userを割り当てます。
     • ヘルプデスクグループに、各ホストプールのスコープでDesktop Virtualization Session Host Operatorを割り当てます。
     • アプリ公開チームに、ワークスペースのスコープでDesktop Virtualization Workspace Contributorを割り当てます。
     • 運用チームに、セッションホストのリソースグループのみのスコープでVirtual Machine Contributorを割り当てます。
   • 理由：職務を管理対象のスコープに合わせることで、サブスクリプションレベルでの過剰な権限付与を防ぎます。

6. マネージドIDを使用して自動スケールを構成する

   • アクション：ユーザー割り当てマネージドIDを使用してホストプールで自動スケールを有効にします。そのIDに、セッションホストのリソースグループに対するVirtual Machine Contributorと、ホストプールに対するDesktop Virtualization Contributorを付与します。例：

az role assignment create --assignee <miObjectId> --role "Virtual Machine Contributor" --scope /subscriptions/<sub>/resourceGroups/rg-tt-avd-hosts
az role assignment create --assignee <miObjectId> --role "Desktop Virtualization Contributor" --scope /subscriptions/<sub>/resourceGroups/rg-tt-avd-control/providers/Microsoft.DesktopVirtualization/hostPools/hp-tt-prod

• 理由：自動スケールは、広範な権限なしにVMの起動と停止、およびホストプールのメトリックの更新ができます。

7. PIMと緊急アクセス用アカウントで管理を保護する

   • アクション：管理用のRBACロールを、承認ワークフローとMFAを使用してMicrosoft Entra PIMにオンボードします。CAとPIMから除外された2つの緊急アクセス用のGlobal Administratorアカウントを維持します。
   • 理由：常時有効な権限を削減し、条件付きアクセスやIDサービスの設定が誤っている場合の回復性を確保します。

8. アクセスを定期的に監視およびレビューする

   • アクション：EntraのサインインログとAzureアクティビティログをLog Analyticsにストリーミングします。アプリケーション グループに割り当てられたグループとヘルプデスクのオペレーターロールに対して、四半期ごとにアクセスレビューを実行します。
   • 理由：長期にわたって最小権限を維持し、拒否されたAVDサインインの予期せぬ増加や大量のセッション終了などの異常を検出します。

このアプローチは、クラウドファーストのIDと、正確なスコープ設定および強力なアクセスポリシーを組み合わせ、ユーザーエクスペリエンスとセキュリティのバランスを取り、運用と自動化に必要な権限のみが委任されることを保証します。

← Azure Virtual Desktop のアーキテクチャとサービス設計 · すべてのドメイン · ネットワーキング、接続、トランスポート →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Microsoftを閲覧 →