Azure Virtual Desktop をとりあえず動かすまでにハマったエラー内容共有
424 Views
August 28, 26
スライド概要
所属 : NTTドコモビジネス(株) ビジネスソリューション本部 ソリューションサービス部 得意分野 : Azure、Network、Kubernetes
関連スライド
各ページのテキスト
Azure Virtual Desktop をとりあえず動かすまでに ハマったエラー内容共有 2026/8/27 NTTドコモビジネス株式会社 増田 和己
本日お伝えしたいこと • 検討前段としてのリモートアクセス方法の簡単比較 1. VPN 2. Azure Virtual Desktop 3. ZTNA(Zero Trust Network Access) • Azure Virtual Desktopを構築(初回)した際にハマった内容共有 2
本発表留意事項 ・本内容は 2026/8 時点の情報であること ・本内容は個人の見解であり、弊社の方向性を示したものではないこと 3
目次 1. VPNの課題 2. VPN/Azure Virtual Desktop/ZTNA 簡単比較 3. Azure Virtual Desktop ハマった内容 4. まとめ 4
1. VPNの課題 2. VPN/Azure Virtual Desktop/ZTNA 簡単比較 3. Azure Virtual Desktop ハマった内容 4. まとめ 5
1. VPNの課題 現在も VPN によるリモートサービスが沢山利用される一方、以下セキュリティ課題 から他リモートサービスへの転換が進んでいる。 理由① Public IPアドレスを持たないといけない → 攻撃者からのAttack Surfaceとなる HQ Public IP VPN 6
1. VPNの課題 現在も VPN によるリモートサービスが沢山利用される一方、以下セキュリティ課題 から他リモートサービスへの転換が進んでいる。 理由② VPN機器から脆弱性が発生しやすい → ベンダ毎に独自機能提供、SSL-VPN の場合 OpenSSL(OSS) に依存 HQ ベンダOriginal Fortinet Cisco Paloalto 等 VPN 7
1. VPNの課題 現在も VPN によるリモートサービスが沢山利用される一方、以下セキュリティ課題 から他リモートサービスへの転換が進んでいる。 理由③ クライアント側は管理できない → MDE 等導入による別管理が必要 HQ MDE等で別管理 VPN 8
1. VPNの課題 2. VPN/Azure Virtual Desktop/ZTNA 簡単比較 3. Azure Virtual Desktop ハマった内容 4. まとめ 9
2. VPN/Azure Virtual Desktop/ZTNA 簡単比較 発表者主観のリモートアクセス方式の評価 (★が多いほど評価高) 1 2 3 VPN Azure Virtual Desktop ZTNA(*) 概要 場所問わずインターネット 経由で接続 画面や仮想PCを NW越しに提供し接続 すべて信用せず都度 通信確認し接続 コスト ★★★ ★ ★ セキュリティ ★ ★★★ ★★★ 設計構築難度 ★★★ 知りたい 別途 項目 *Zero Trust Network Access : PaloAlto Prisma Access, Cisco Secure Access 等 10
コスト/セキュリティの構成イメージを比較 VPN AVD ZTNA コネクタ ZTNA インターネット 11
コスト(VPN) ※例 ・ライセンス : VPN製品(同時接続単位 or ユーザ単位) ・基盤 : VPNサーバ数台 社員10,000人 同時接続3,000セッション → 3,000ライセンス インターネット 12
コスト(Azure Virtual Desktop) ※例 ・ライセンス : Microsoft 365ライセンス(ユーザ単位) ・基盤 : Windows Server 数十台以上 社員10,000人 →10,000 ID用ライセンス インターネット 13
コスト(ZTNA) ※例 ・ライセンス : ZTNA製品(ユーザ単位) ・基盤 : ZTNA基盤(マネージド) コネクタ 社員10,000人 →10,000 ID用ライセンス ZTNA インターネット 14
セキュリティ観点(VPN) ・外部からの侵入経路有 → 有 (Public IP保持) ・脆弱性発生によるゼロディ攻撃リスク → 有 (Public IP保持) ・クライアント管理 → 不可 Public IP アクセス経路有 インターネット 15
セキュリティ観点(Azure Virtual Desktop) ・外部からの侵入経路 → 無 (エンドポイントアクセス) ・脆弱性発生によるゼロディ攻撃リスク → 無 (マネージドサービス) ・クライアント管理 → 可 (サーバ側でユーザ情報保持) アクセス先 隠ぺい インターネット 16
セキュリティ観点(ZTNA) ・外部からの侵入経路 → 無 (エンドポイントアクセス) ・脆弱性発生によるゼロディ攻撃リスク → 無 (マネージドサービス) ・クライアント管理 → 可* (*クライアントからの柔軟なアクセス制御) コネクタ アクセス先 隠ぺい ZTNA インターネット 17
1. VPNの課題 2. VPN/Azure Virtual Desktop/ZTNA 簡単比較 3. Azure Virtual Desktop ハマった内容 4. まとめ 18
3. Azure Virtual Desktop ハマった内容 AVDの設計構築難度を知りたいと思い、構築にLet’s Try!! 1 2 3 VPN Azure Virtual Desktop ZTNA 概要 場所問わずインターネット 経由で接続 画面や仮想PCを NW越しに提供し接続 すべて信用せず都度 通信確認し接続 コスト ★★★ ★ ★ セキュリティ ★ ★★★ ★★★ 設計構築難度 ★★★ 知りたい 別途 項目 19
3. Azure Virtual Desktop ハマった内容 検証環境全体構成 VNET NAT GW Inte rnet AVD Host Pool Private File Share Endpoint Sub NSG net (Full Open) Win11 VM （Domain Controller） Sub NSG net (Full Open) Entra ID 20
Azure Virtual Desktop を最低限動かすためのフロー(一例) Step0 Step1 Step2 Step3 Step4 Step5 カスタムドメイン設定(お名前.com を利用) Azure環境用意 Domain Controller構築 Entra ID Connect インストールと Entra ID との連携 Azure Virtual Desktop のセットアップ Azure File作成、FSLogix構築、イメージ作成等 同document範囲 以降は別途 21
Step0 カスタムドメイン設定(お名前.com を利用) テスト用に km202608 をドメイン名として発行するための対応 ※ Active Directory/Entra ID でドメイン名を合わせる必要はあるが、 XXX.onmicrosoft.com でも対応可能なため、必須作業ではない Active Diretory Entra ID km202608.com ドメイン km202608.com ドメイン 22
Step0 カスタムドメイン設定(お名前.com を利用) a. Entra の “カスタムドメイン名” 画面から [カスタムドメインの追加] を押下し、 ドメイン名を追加 23
Step0 カスタムドメイン設定(お名前.com を利用) b. 発行されるTXTレコードを “お名前.com” に登録 (アドレスはサンプル値) 24
Step0 カスタムドメイン設定(お名前.com を利用) c. 1時間ほど経過後、Entra の “カスタムドメイン名” 画面から [確認] を押下 25
Step0 カスタムドメイン設定(お名前.com を利用) d. 成功すると以下のように表示 26
Step0 カスタムドメイン設定(お名前.com を利用) d. 成功すると以下のように表示、なのですが。。。 ハマったポイント1 : 正常登録したにもかかわらず、カスタムドメイン追加できないケース有 対策 : 数日待っても登録できない場合、再設定を繰り替えす 27
Step1 Azure環境用意 Azure上にNetwork環境を構築 28
Step2 Domain Controller構築 Azure上にVM(Domain Controller)を構築 29
Step2 Domain Controller構築 Active Directory構成(AVD OUがEntra IDとの同期対象) 30
Step3 Entra ID Connect インストールと Entra ID との連携 Entra ID Connect を VM(Domain Controller) にインストール 31
Step3 Entra ID Connect インストールと Entra ID との連携 a. パスワードハッシュ方式でDomain ControllerとEntra ID間のアカウント同期 ※別方式可 32
Step3 Entra ID Connect インストールと Entra ID との連携 b. Entra ID同期用アカウント入力後、Domain Controller同期用アカウント指定 ハマったポイント2 : Use existing AD account を選択すると Entra ID Connect 処理に失敗 エラー 33
Step3 Entra ID Connect インストールと Entra ID との連携 b. Entra ID同期用アカウント入力後、Domain Controller同期用アカウント指定 ハマったポイント2 : Use existing AD account を選択すると Entra ID Connect 処理に失敗 対策 : Create new AD account を選択 34
Step3 Entra ID Connect インストールと Entra ID との連携 c. デフォルト設定でいくつか処理を進め、完了 35
Step3 Entra ID Connect インストールと Entra ID との連携 d. Domain Controllerに存在したメンバがEntra IDに同期 36
Step4 Azure Virtual Desktop のセットアップ AVD(ホストプール、ワークスペース、アプリケーショングループ)のセットアップ AVD Host Pool Win11 37
Step4 Azure Virtual Desktop のセットアップ a. AVD(ホストプール、ワークスペース)セットアップ 38
Step4 Azure Virtual Desktop のセットアップ a. AVD(ホストプール、ワークスペース)セットアップ → wvdportalstorageblob.blob.core.windows.net が開放されていないことを示すエラーが表示 エラー 39
Step4 Azure Virtual Desktop のセットアップ a. AVD(ホストプール、ワークスペース)セットアップ ハマったポイント3 : インターネット向け通信が開放されていなかった(※) ※ Azure Virtual Desktop に必要な FQDN とエンドポイント - Azure Virtual Desktop | Microsoft Learn 40
Step4 Azure Virtual Desktop のセットアップ a. AVD(ホストプール、ワークスペース)セットアップ ハマったポイント3 : インターネット向け通信が開放されていなかった(※) 対策 : NAT Gateway を用いてインターネット向け通信開放 41
Step4 Azure Virtual Desktop のセットアップ b. アプリケーショングループにAVDを利用させたいユーザ(グループ)を割り当て 42
Step4 Azure Virtual Desktop のセットアップ c. 割り当てられたユーザにて client.wvd.microsoft.com から以下の通りログオン → 無事ログオン完了 43
1. VPNの課題 2. VPN/Azure Virtual Desktop/ZTNA 簡単比較 3. Azure Virtual Desktop ハマった内容 4. まとめ 44
4. まとめ Azure Virtual Desktop の構築は複雑であることを実感 1 2 3 VPN Azure Virtual Desktop ZTNA 概要 場所問わずインターネット 経由で接続 画面や仮想PCを NW越しに提供し接続 すべて信用せず都度 通信確認し接続 コスト ★★★ ★ ★ セキュリティ ★ ★★★ ★★★ 設計構築難度 ★★★ ★～★★ 別途 項目 初学者からみると中々作業が 多いことに気づけた 45
4. まとめ • リモートアクセス方法の簡単比較 1. VPN 2. Azure Virtual Desktop 3. ZTNA(Zero Trust Network Access) • Azure Virtual Desktop を構築した際にハマった内容共有 1. お名前.comにドメイン登録後、カスタムドメイン追加失敗ケース有 2. Entra ID Connect 設定にて、AD 同期時に Use existing AD account 選択 した場合に設定失敗 3. AVD(ホストプール)構築時にインターネット向け通信開放が必要 46
ご清聴ありがとうございました 47