Microsoft AZ-140: ネットワーキング、接続、トランスポート — 学習ガイド

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

こちらの一部です： Microsoft Azure Virtual Desktop Specialty AZ-140 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

ネットワーク、接続性、およびトランスポートは、安定してパフォーマンスの高いAzure Virtual Desktop (AVD)デプロイメントを支える基盤となります。コントロールプレーンはインターネットに公開されており、Microsoftによって完全に管理されていますが、セッションホストはユーザーの仮想ネットワーク内に存在し、Azureプラットフォームサービスや、多くの場合オンプレミスのアプリケーションに到達する必要があります。優れた設計では、最小権限やゼロトラストの原則と、ユーザーセッションのための低遅延で損失に強いトランスポートの必要性とのバランスを取ります。このセクションでは、仮想ネットワークのレイアウト、アクセス制御、送信接続、ハイブリッドリンク、プライベートアクセス、およびトラブルシューティングに関するパターンと決定事項をまとめています。

セッションホストのネットワーク設計: VNet、サブネット、NSG、ASG、UDR、DNS

• VNetとサブネットのトポロジ

  • ハブ&スポーク構成を使用します。共有サービス（Azure Firewall、NAT Gateway、VPN/ExpressRoute、Private DNS Resolver）をハブに配置し、AVDセッションホストをリージョンおよびワークロード層ごとに1つ以上のスポークVNetに配置します。
  • 機能ごとにセグメント化します。セッションホスト、管理/メンテナンス用ツール、Azure Bastion、および任意のNVA用に専用のサブネットを作成します。AzureBastionSubnetは分離し、必要なサイズを維持します。
  • アドレッシング。自動スケールのヘッドルームとイメージのライフサイクルのために十分なIPを割り当てます。スケールセットとドレインモードのための拡張容量を確保します。

• NSGとASG

  • 受信: 既定で拒否。インターネットからTCP 3389を公開しないでください。以下のみを許可します:
    • 管理用の緊急アクセス（ブレークグラス）として、Azure BastionからセッションホストへのTCP 3389。AzureBastionSubnetまたは管理用ASGに制限します。
    • マネージドネットワーク向けのRDP Shortpath。信頼できるプライベートソース（ブランチサブネット、企業のVPNアドレスプール、またはExpressRouteプレフィックス）からのみUDP 3390を許可します。
  • 送信: サービスタグとFQDNを使用して最小限のセットを許可します。該当する場合は、AzureVirtualDesktop、Storage、KeyVault、AzureActiveDirectory、AzureMonitor、WindowsUpdate、およびMicrosoftGraphサービスタグを使用します。IPではなくASGを使用してセッションホストのグループをターゲットにすることを推奨します。

• UDRとルーティング

  • デフォルトのインターネットと強制トンネリング。NVAまたはオンプレミス経由で強制トンネリングする場合、AVDコントロールプレーンのトラフィックがインターネットに許可され続けるか、Private Link経由で提供されるように、明示的なルートを確保してください。AVDエージェントやFSLogixが必要とするAzureサービスへの送信を許可せずに0.0.0.0/0をブラックホール化することは避けてください。
  • ゲートウェイトランジットとピアリング。ハブからスポークへのゲートウェイトランジットを有効にし、BGP伝達は慎重に使用します。最終的な結果をNICの有効なルートで検証してください。
  • 送信のスケーリング。多数のホストがインターネットへ送信接続を行う場合、セッションホストのサブネットにNAT Gatewayをアタッチして、SNATポートの枯渇を解消し、送信IPを安定させます。

• DNS

  • Active Directory参加済みまたはAzure AD DS参加済みのホストの場合、VNetが適切なドメインDNSサーバーを使用するように構成します。Azure提供のDNSはADのSRVレコードを解決できません。Azure AD DSの場合、セッションホストをドメインに参加させる前に、VNetのDNSをマネージドドメインのIPに向けます。
  • ハイブリッド名前解決: Azure DNS Private Resolverを使用して、Azure Private DNSゾーンとオンプレミスDNSを橋渡しします。選択したゾーン（例: privatelinkゾーンやAzure PaaS）を転送するための送信ルールと、オンプレミスクライアントに応答するための受信ルールを構成します。
  • プライベートDNS。プライベートエンドポイント（Storage、Key Vault、および使用している場合はAVD Private Link）を解決する必要があるすべてのVNetにプライベートゾーンをリンクします。

サービスの接続性とトランスポート: リバースコネクト、Shortpath、UDP/TCP、および必須エンドポイント

• リバースコネクトトランスポート

  • セッションホストは、AVDコントロールプレーンとゲートウェイへのアウトバウンドTLS接続を開始します。クライアントはTLSを介してゲートウェイに接続します。ブローカーがリバースコネクションを調整するため、セッションホストはパブリックなインバウンドRDPを一切必要としません。この設計により、TCP 3389をインターネットに公開する必要がなくなり、NAT、ファイアウォール、プロキシの背後での運用が可能になります。
  • ホストとクライアントからAVDゲートウェイおよびサービスエンドポイントへのアウトバウンドTCP 443、そして最適なパフォーマンスのためにはUDP 443を確保してください。

• RDP Shortpath

  • マネージドネットワーク: 通常は企業のLAN、サイト間VPN、またはExpressRouteを介して、プライベートIPを使用したホストからクライアントへの直接的なUDPデータパスを可能にします。セッションホストのデフォルトUDPポートは3390です。信頼できるプライベートソースからのUDP 3390に対して、ホストOSのファイアウォールとNSGを開放してください。このパスはレイテンシーとジッターを低減し、対話性とマルチメディアのパフォーマンスを向上させます。
  • パブリックネットワーク: AVDが管理するリレーを使用してポート443経由のUDPデータパスを確立し、直接的なプライベートIPの到達可能性がない場合のパフォーマンスを向上させます。AVDサービスエンドポイントへのアウトバウンドUDP 443を許可してください。これは、企業のVPNを使用しない在宅勤務シナリオに最適です。

• UDPトランスポート、TCPフォールバック、およびユーザーエクスペリエンス

  • RDPはデュアルトランスポートを使用します: 信頼性の高いTCPコントロールチャネルと、最適化されたUDPメディアチャネルです。UDPがブロックされると、RDPはTCPのみにフォールバックします。TCPのみの通信はレイテンシー、ジッター、パケットロスに対してより敏感であり、ユーザーはフレームレートの低下や音声品質の劣化を経験する可能性があります。
  • ホストプールリージョンへのラウンドトリップレイテンシーは100ミリ秒未満を目標とします。50ミリ秒未満であれば、デスクトップに近い応答性が得られます。リージョン選択の参考として、Azure Virtual Desktop Experience Estimatorを使用してください。
  • QoSとDSCP。競合時にセッションの品質を保護するため、エッジデバイスでUDP 3390 (Shortpathマネージド) またはUDP 443 (Shortpathパブリック) とTCP 443コントロールチャネルを優先してください。

• 必須のAzureサービス接続とアウトバウンドエンドポイントのパターン

  • セッションホストが以下に到達できるように許可します:
    • TCP 443およびUDP 443経由のAzureVirtualDesktopサービス タグ。
    • FSLogixコンテナおよび診断用のストレージエンドポイント。
    • IDおよびトークンフローのためのAzureActiveDirectoryおよびMicrosoft Graph。
    • パッチ適用およびMicrosoft 365 AppsのためのWindowsUpdateおよびMicrosoftコンテンツ配信エンドポイント。
    • AVD Insightsを使用している場合は、AzureMonitorおよびLog Analytics。
  • Azure Firewallでは、サービス タグとFQDNベースのルールを優先的に使用してください。NVAの場合は、許可リストを最新の状態に保ち、これらのエンドポイントに対するTLS代行受信を避けてください。

• プロキシに関する考慮事項

  • AVDエージェントは、システムプロキシ経由のアウトバウンドをサポートします。明示的なプロキシが必須の場合は、セッションホストでWinHTTPを構成してください。サービストラフィックに対して対話型認証を要求するプロキシは避けてください。
  • システムプロキシを構成する例:

netsh winhttp set proxy "http=myproxy.contoso.com:8080;https=myproxy.contoso.com:8080" bypass-list="localhost;127.0.0.1"

ハイブリッド接続と境界: VPN、ExpressRoute、Azure Firewall、プロキシ、Private Link、プライベートDNS、およびBastion

• オンプレミスアプリケーションへ

  • VPN Gateway: 展開が迅速で、小規模から中規模の帯域幅やブランチ接続に適しています。回復性のためにBGPを使用したアクティブ/アクティブ構成を使用します。
  • ExpressRoute: 高スループットでレイテンシーに敏感なワークロードや大規模なユーザー集団向けの、プライベートで予測可能な接続性を提供します。データプレーンのホップ数を削減するためにExpressRoute FastPathを有効にします。必要に応じてSaaS用にMicrosoftピアリングへの接続を使用しますが、AVDサービスエンドポイントには依然としてインターネットまたはPrivate Linkが必要であることに留意してください。
  • Virtual WANは、統合されたSD-WANパートナー、集中化されたポリシー、グローバルなトランジットにより、マルチブランチ設計を簡素化できます。

• Azure Firewallと境界制御

  • サポートされている場合はTLSインスペクションのためにAzure Firewall Premiumを使用します。証明書のピン留めやWebSocketの使用が接続を中断させ、パフォーマンスを低下させる可能性があるため、AVDコントロールプレーンのトラフィックに対してはTLSインスペクションを実行しないでください。
  • ルール管理を簡素化するために、AzureVirtualDesktopおよびWindowsUpdateのFQDNタグを使用します。Azure Firewallをハブに配置し、UDRを介してスポークにデフォルトルートを公開します。AVDサービスアクセスに必要なインターネット向けの例外を設けるか、Private Linkを実装します。

• プライベートエンドポイントとPrivate Link

  • ストレージとKey Vault: FSLogixプロファイルコンテナやプロビジョニング中に使用されるシークレットには、プライベートエンドポイントを使用します。対応するprivatelinkプライベートDNSゾーンをVNetにリンクし、必要に応じてオンプレミスクライアントのためのフォワーディングを構成します。
  • Azure Virtual Desktop: 利用可能な場合はAVDにPrivate Linkを構成し、コントロールプレーンとゲートウェイへのアクセスをプライベートネットワークに制限します。専用のサブネットにAVDプライベートエンドポイントを作成し、対応するprivatelink DNSゾーン（例: avdサービスprivatelinkゾーン）を有効にして、ホストとクライアントがAVDのFQDNをプライベートIPに解決できるようにします。これにより、パブリックなegressが削減され、ゼロトラストの体制が強化されます。

• 管理アクセスのためのAzure Bastion

  • インターネットにインバウンドポートを公開することなく、TCP 443経由でセッションホストへのジャストインタイムのブラウザベースRDPを行うために、Azure Bastionを使用します。NSGまたはASGを介して、セッションホストのRDP許可ルールをAzureBastionSubnetに限定します。信頼されていないネットワークからの直接RDPは無効のままにします。

監視とトラブルシューティング: Network Watcherと診断

• Azure MonitorとAVD Insights

  • AVD Insightsを有効にして、接続品質、サインイン時間、セッションパフォーマンスに関するエンドツーエンドの可視性を確保します。ラウンドトリップ時間やUDP損失の急増を、ユーザーからの苦情と関連付けます。

• Network Watcherツール

  • 接続のトラブルシューティング。セッションホストからAzureサービス、ストレージアカウント、オンプレミスのエンドポイントへの到達可能性を検証します。PowerShellの例：

$nw = Get-AzNetworkWatcher -Location "EastUS"
Test-AzNetworkWatcherConnectivity -NetworkWatcher $nw `
  -SourceId "/subscriptions/<subId>/resourceGroups/<rg>/providers/Microsoft.Compute/virtualMachines/<vmName>" `
  -DestinationAddress "store1.file.core.windows.net" -DestinationPort 445

• 有効なセキュリティルールとルート。NICに有効なNSGルールとルートを検査し、UDP 3390、UDP 443、TCP 443が意図したとおりに許可されていることを確認します。

• NSG Flow Logs v2。Log Analyticsワークスペースに送信して、セッションホストのエグレスを検証し、TCPフォールバックを強制する拒否を特定します。

• パケットキャプチャ。テストホストで使用して、UDP Shortpathの確立を確認し、再送信やジッターを分析します。

• クライアントとホストの診断

  • セッション内で、RemoteFX Graphics Frames SkippedとRDPトランスポートのステータスを監視し、サーバー、ネットワーク、またはクライアントのボトルネックを区別します。
  • AVDクライアントの接続情報を使用して、トランスポートモード（UDP/Shortpath vs TCP）とラウンドトリップ時間を確認します。TCPのみのパスが見られる場合は、プロキシとファイアウォールの許可設定を検証し、UDP 3390/443のブロックを確認します。

実践的な問題シナリオ

IKEAは、ヨーロッパ全土の1,200人の店舗プランナーとバイヤーにAzure Virtual Desktopを提供することを計画しています。ユーザーはオンプレミスのSAP GUIとライセンスサーバーにアクセスし、半数のユーザーは企業のVPNなしでリモートで作業しています。新しい送信プロキシが導入された後、ユーザーからピーク時の応答性が一貫しないことや、時折サインインに失敗することが報告されています。

1. エグレススケーリングを備えたハブ&スポークを設計する

   • Azure Firewall PremiumとNAT Gatewayを備えたハブVNetを作成し、セッションホスト用にリージョンごとにスポークVNetを展開します。朝のログオン時に数千のUDP/TCPフローが開く際のSNAT枯渇を避けるため、各セッションホストサブネットにNAT Gatewayをアタッチします。
   • 理由：エグレスIPを安定させ、十分なエフェメラルポートを提供することで、AVDゲートウェイやストレージへの断続的な接続障害を防ぎます。

2. 正確なNSGおよびASGルールを実装する

   • セッションホストのNICをASGに割り当てます。信頼できるプライベートプレフィックスからのみインバウンドUDP 3390を許可し、AzureBastionSubnetからのインバウンドTCP 3389を許可し、AzureVirtualDesktop、Storage、AzureActiveDirectory、AzureMonitorサービス タグへのアウトバウンドTCP/UDP 443を許可します。
   • 理由：ShortpathマネージドネットワークとBastion経由の安全な管理を可能にしながら、最小権限を強制します。

3. ハイブリッド名前解決のためにDNSを構成する

   • VNetのDNSをAzureのドメインコントローラーに向けます。privatelinkゾーンとAzure PaaSゾーンを転送するための送信ルールを持つAzure DNS Private Resolverを展開します。オンプレミスのDNSがAzureプライベートゾーンをリゾルバーの受信エンドポイントに転送するように構成します。
   • 理由：AVDホストが、クラウドとオンプレミスのネットワーク間で一貫してADのSRVレコード、FSLogixのプライベートエンドポイント、および任意のAVD Private LinkのFQDNを解決できるようにします。

4. マネージドネットワークとパブリックネットワークの両方に対してRDP Shortpathを有効にする

   • セッションホストでマネージドネットワーク用のShortpathをオンにし、内部的にUDP 3390を開きます。VPNを使用しないリモートワーカーのためにUDP 443リレーを許可するために、パブリックネットワーク用のShortpathを有効にします。ブランチルーターのQoSを更新して、AVDフローのUDP 3390とUDP/TCP 443を優先させます。
   • 理由：社内ユーザーには直接的なプライベートUDP経由で対話型パフォーマンスを最大化し、在宅ユーザーにはUDP 443経由でエクスペリエンスを向上させ、輻輳時にはQoSがこれらのフローを保護します。

5. Azure Firewallとプロキシポリシーで境界を保護し、簡素化する

   • Azure Firewallで、AzureVirtualDesktopとWindowsUpdateにFQDNタグを使用し、これらをTLSインスペクションから除外します。新しい送信プロキシで、AVD WebSocket over TLSに対する明示的な許可を構成し、AVDエージェントのトラフィックに対する認証を無効にします。セッションホストでWinHTTPプロキシを一貫して設定します。
   • 理由：集中管理を維持しつつ、TLS代行受信やプロキシ認証によるリバースコネクトやShortpathパブリックネットワークの破損を回避します。

6. 重要なPaaSへのプライベートアクセスを提供する

   • FSLogixストレージアカウント用のPrivate Endpointを作成し、必要なprivatelinkプライベートDNSゾーンをすべてのAVD VNetにリンクします。プライベートIP経由でのSMBが成功することを確認します。企業ポリシーで必要な場合は、コントロールプレーンとゲートウェイアクセスをプライベートIPに制限するためにAVD Private Linkを評価します。
   • 理由：ユーザープロファイルや、オプションでAVDサービスに対するパブリックエグレスへの依存を排除し、セキュリティ体制と予測可能性を向上させます。

7. オンプレミスアプリケーションへのハイブリッド接続を確立する

   • 低遅延のSAPおよびライセンスサーバーアクセスのために、ExpressRoute with FastPathをプライマリデータセンターに展開します。ブランチのバックアップとしてVPN Gatewayを保持します。必要なオンプレミスのプレフィックスをBGPでアドバタイズし、セッションホストNICのネクストホップと有効なルートを確認します。
   • 理由：ExpressRouteは大規模環境で予測可能なパフォーマンスを提供し、VPNフェイルオーバーにより回復性を確保します。

8. 監視と検証

   • SAPとストレージへの合成テストのために、AVD InsightsとNetwork Watcher Connection Monitorを有効にします。NSG Flow Logsをオンにして、UDP 3390とUDP 443の使用状況を確認します。ピーク時に接続のトラブルシューティングを使用して、プロキシまたはファイアウォールのボトルネックを特定します。
   • 理由：データに基づいた可視性により、Shortpathパスがアクティブであること、エグレス容量が十分であること、および境界ポリシーが予期せぬ損失や遅延を引き起こしていないことを確認します。

← ID、アクセス、ガバナンス · すべてのドメイン · セッションホストのイメージとプロビジョニング →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Microsoftを閲覧 →