Microsoft AZ-140: セッションホストのイメージとプロビジョニング — 学習ガイド

    sysprep /oobe /generalize /shutdown /mode:vm
    ```

  - Windowsが更新され、ユーザーごとのシークレットがクリアされ、イベントログがローテーションされていることを確認します。キャプチャするイメージをドメインに参加させないでください。

- Azure Image Builderと反復可能なカスタマイズ
  - Azure Image Builderは、ソフトウェアの追加、ベースラインの適用、言語パックの注入、Windows Updateの実行、およびAzure Compute Galleryへの発行が可能な宣言的なパイプラインを使用して、イメージ作成をオーケストレーションします。
  - 再現性の強制: AIBテンプレートをバージョン管理に保存し、パラメーター化されたビルドを実行し、開発 → 検証 → 本番のギャラリーまたはリージョンを通じてイメージを昇格させます。

- Azure Resource Managerテンプレート、Bicep、およびデプロイの自動化
  - ホストプール、アプリケーション グループ、ワークスペース、VMスケールセット、およびセッションホストVMをコードとして定義します。イメージ参照（ギャラリー/定義/バージョン）、ネットワーク、サイズ、およびIDをパラメーター化します。
  - AD DSドメイン参加が必要な場合は、シークレットにKey Vault参照を使用します。大規模なデプロイの場合は、プロビジョニングの失敗を避けるために、リージョンごとのvCPUクォータを事前に検証します。

- 例: VMプロビジョニング中に登録トークンを使用してAVDエージェントをインストールするBicepスニペット

### 参加オプション、登録、およびネットワーク/DNSに関する考慮事項
IDの参加とエージェントの登録は、名前解決とルーティングと合わせて計画する必要があります。

- セッションホストのデプロイ時におけるドメイン参加とMicrosoft Entra参加
- AD DS参加: Windows 10/11 Enterprise multi-sessionおよびWindows Serverでサポートされています。デプロイワークフローで「JSONADDomainExtension」またはネイティブのdomainJoinプロパティを使用します。OUスコープを限定したサービスアカウントに参加権限を委任します。
- Microsoft Entra ID参加: Windows 11 EnterpriseおよびWindows 11 Enterprise multi-sessionでサポートされています。これにより、ドメインコントローラーへの依存関係がなくなり、クラウド専用IDとConditional Access（条件付きアクセス）を使用してデバイスのライフサイクルを簡素化できます。有効にする前に、AVDクライアントと管理の前提条件が満たされていることを確認してください。
- Azure AD DS参加: マネージドドメインを使用する場合、まずVNetのDNSサーバーをAzure AD DSのIPに設定します。そうしないと、セッションホストがマネージドドメインを解決できないため、デプロイと参加は失敗します。

- DNSと接続性の要件
- VNetのDNSが、ターゲットドメインとAzureサービスのレコードを解決できるリゾルバーを指していることを確認します。ハイブリッドAD DSの場合、ピアリングまたはVPN経由で到達可能なドメインコントローラーのIPを使用し、回復性を維持するために複数のDNSサーバーを構成します。
- VNet間のデプロイの場合、子VNetのDNS設定を更新します。AD DSへの参加には、デフォルトのAzure DNSに依存しないでください。

- セッションホストエージェントのブートストラップと登録トークンの使用
- AVDエージェントペア（Remote Desktop Agent Loaderとside-by-side stack）は、期限付きの登録トークンを使用してVMをホストプールに登録します。ホストプールレベルでトークンを生成し、ビルド時またはVM拡張機能経由でそれを注入します。
- 既存のVMをホストプールにオンボーディングする場合、エージェントをインストールする前に新しい登録キーを生成し、VMがブローカーに登録できるようにします。
### 更新、セキュリティ強化、および検証
セッションホストはイミュータブル（不変）として扱います。新しいイメージで新しいホストをスケールアウトし、古いホストはドレインして廃止します。

- 更新戦略：イメージの更新、ホットパッチ、およびロールバック計画
- イメージの更新：毎月の品質および機能更新のために新しいギャラリーバージョンを作成し、検証してからスケールアウトします。古いホストの割り当て解除と削除の前に、「ドレインモード」を使用してユーザーを退去させます。
- ホットパッチ：Windows Server Azure Edition にのみ適用可能です。パッチ適用中の再起動を削減します。Windows 10/11 Enterprise multi-session はホットパッチをサポートしていません。イメージパイプラインで通常の累積的な更新プログラムを使用し、必要に応じて緊急の定例外パッチを適用してください。
- ロールバック：少なくとも1つ前の本番イメージバージョンをすべてのリージョンにレプリケートして保持します。問題が検出された場合は、以前のバージョンから新しいホストをプロビジョニングし、キャパシティを再割り当てします。問題のあるビルドを保留にするには、ギャラリーの ExcludeFromLatest を使用します。

- イメージのセキュリティ強化
- ベースライン：イメージパイプラインで、Windows 10/11 用の Microsoft セキュリティベースラインまたは同等の CIS ハードニングを適用します。Defender for Cloud と脆弱性評価で検証します。
- ID とアクセス：可能な限りローカル管理者権限を削除し、ローカル管理者アカウントには Windows LAPS を有効にし、AVD サインインには MFA/条件付きアクセスを強制します。
- ディスクとデータの保護：ディスク暗号化セットには、プラットフォームマネージドキーまたはカスタマーマネージドキーを使用します。FSLogix プロファイルは回復性のあるストレージに保存します。非常に多くのユーザー数と低レイテンシー要件には、Azure NetApp Files が最高の IOPS と最低のレイテンシーのプロファイルストレージを提供します。
- アプリケーション制御と攻撃対象領域の縮小：実現可能な場合は Windows Defender Application Control を有効にし、ASR ルールを構成し、Microsoft Defender for Endpoint を展開します。
- ポリシーとドリフト制御：Azure Policy を使用して VM イメージと拡張機能を制限します。逸脱を監査し、プロセス外の変更をブロックします。

- 検証ホストプールでのテスト
- 小規模で独立した検証ホストプールを維持します。これを検証環境として設定し、AVD エージェントのプレリリース更新を受信し、新しいイメージバージョン、FSLogix の変更、GPO を本番環境への昇格前に検証します。
- セッション内のユーザーエクスペリエンスを測定します。例えば、体感的な表示の問題を迅速にトリアージするには、パフォーマンスモニターの RemoteFX Graphics Frames Skipped/Second カウンターをチェックして、クライアント、ネットワーク、またはサーバーのボトルネックを特定します。

#### 実践的な問題シナリオ
Siemens は、Western Europe と South India にまたがって、Windows 11 Enterprise multi-session ホストを使用して Azure Virtual Desktop を標準化する必要があります。同社は、再現性のあるイメージのカスタマイズ、迅速なロールアウト、安全なロールバック、そして Microsoft 365 Apps と基幹業務アドインの両方をサポートする能力を必要としています。ヨーロッパのハブ VNet にはマネージド Azure AD DS ドメインが存在し、Siemens は両方のリージョンにプール型ホストプールを展開する計画です。

1) 名前解決と参加の前提条件を準備する
 - アクション：両方の VNet の DNS サーバーを Azure AD DS の IP に設定し、VNet ピアリングが転送された DNS トラフィックを許可することを確認します。
 - 理由：セッションホストは、AD DS 参加のためにマネージドドメインを解決できなければなりません。最初に VNet の DNS を更新することで、参加時の障害を防ぎ、Kerberos と LDAP の解決を確実にします。

2) Azure Image Builder でゴールデンイメージを構築する
 - アクション：Marketplace の「Windows 11 Enterprise multi-session + Microsoft 365 Apps」イメージから開始します。Azure Image Builder を使用して、FSLogix、Defender for Endpoint、言語パック、セキュリティベースラインを追加します。その後、Windows Update を実行し、sysprep による一般化を行います。
 - 理由：AIB は、ドリフトを最小限に抑え、封印されたイメージを生成する、再現可能で監査可能なパイプラインを保証します。これにより、すべてのホストが同一でコンプライアンスに準拠していることが保証されます。

3) Azure Compute Gallery を介して発行およびレプリケートする
 - アクション：キャプチャしたイメージをバージョン 1.0.0 として Azure Compute Gallery に発行し、West Europe と South India にレプリケートします。1.0.0 を最新としてマークします。1.1.0 を準備する際は、検証が完了するまで 1.1.0 を ExcludeFromLatest に設定します。
 - 理由：ギャラリーレプリケーションは、ホストが作成される場所の近くにイメージを配置してプロビジョニングを高速化し、最新フラグと除外フラグを介して制御された昇格を提供します。

4) Bicep でホストプールと VM のプロビジョニングを自動化する
 - アクション：ホストプール、アプリケーション グループ、スケーリング プランをコードとしてデプロイします。新しく生成された登録トークンで AVD エージェントをインストールし、ドメイン拡張機能経由で AD DS ドメイン参加を実行する、パラメーター化された Bicep テンプレートを使用して、ギャラリーバージョンからセッションホストを作成します。
 - 理由：Infrastructure as Code は、リージョン間の一貫性を確保し、ロールアウトをべき等にし、最小限の手動手順でブローカーへの登録を効率化します。

5) 専用の検証ホストプールで検証する
 - アクション：West Europe に小規模な検証ホストプールを立ち上げ、検証環境を有効にし、パイロットグループをそこに誘導します。ログインパフォーマンス、FSLogix の動作、グラフィックスカウンターを測定し、検出事項を解決してから、1.1.0 の ExcludeFromLatest を削除します。
 - 理由：リグレッションの早期検出は、広範なユーザーへの影響を防ぎ、Siemens が実績のあるイメージのみを昇格させることを可能にします。

6) ロールバックの安全性を確保して本番ロールアウトを実行する
 - アクション：両方のリージョンで 1.1.0 から新しいホストをスケールアウトします。古いホストをドレインモードにし、セッション終了後に割り当てを解除して削除します。1.0.0 は 2 つのリリースサイクル分、利用可能な状態に保ちます。
 - 理由：ブルーグリーンスタイルの置き換えは、インプレースでのドリフトを回避し、問題が発生した場合に以前のイメージからプロビジョニングすることで即時ロールバックを可能にします。

7) 継続的に強化し、ガバナンスを効かせる
 - アクション：Azure Policy を適用して許可されるイメージと必須の拡張機能を制限し、Defender for Cloud の推奨事項を有効にし、予測可能な高パフォーマンスのために FSLogix プロファイルを Azure NetApp Files に保存します。
 - 理由：継続的なガバナンスと高性能なプロファイルストレージは、セキュリティポスチャを維持しながら、大規模環境でのユーザーエクスペリエンスを維持します。

---

← [ネットワーキング、接続、トランスポート](/ja/posts/az-140-networking/)  ·  [すべてのドメイン](/ja/posts/az-140-study-guide/)  ·  [FSLogix、プロファイル、ユーザーデータ](/ja/posts/az-140-fslogix-profiles/) →

**[これらの問題を練習する →](/ja/kb/microsoft/)**  ·  **[ExamRoll.ioで時間制限付き練習 →](https://www.examroll.io/?utm_source=guide&utm_medium=referral&utm_campaign=az-140)**