教育用共用PC環境を前提にしたEntra Kerberos / FSLogix / オンプレFSアクセス検証｜すきやねんAzure!! #41

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix 教育用共用PC環境を前提にした Entra Kerberos/FSLogix/ オンプレFSアクセス検証 FSLogixプロファイル、 セルフリセットさせたいんだけど 何か質問ある？ Toruneko(トルねこ) 教育機関の共用PC環境管理 1 2026/08/28

現在の教育用共用PCの環境 すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix ・教育用共用PC 約500台 ・利用者約１万人規模 ・オンプレADを中心としたHybrid AAD Join環境 ・ネットブート＆ディスク配信システム 【前提条件】 利用者は全ての端末を同じ環境で利用できる ・ユーザーデータ：OneDrive4B＋KFMでクラウドに集約 ・ユーザープロファイル：FSLogix Profile Container ・Profile Containerの保存先：オンプレFS ・Profile Containerの運用 オンプレFSの容量圧迫回避のため、 半期に一度、全Profile Containerを削除してリセット 2 2026/05/29

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix 教育用共用PCの認証方式とMFA ⚫ センター長からの質問 「ICカード認証やめたいからMFAできる？」 ⚫ 当時の自分の答え 「条件付きアクセスで出来るんじゃないすかね？Ｗ」 →ここから一連の検証開始 現在の教育用共用PC環境の認証経路 • Windowsサインイン ICカードから利用者IDを読み取り、オンプレADでPW認証 • Microsoft 365などのSSO Windowsに入ったあと、Entra IDで別途MFA WindowsへのサインインとMicrosoft 365などへのMFAは 別の認証経路 3 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix クイズⅠ：はいか Yes で答えよ 次のような認証方式で Windowsへサインインするとします ・サインイン専用カードを使用 ・秘密鍵はカードから取り出せない ・暗号処理はカード内で実行 ・認証時にPINの入力が必要 これはMFAでしょうか？ A：はい B：Yes ※MFAの説明用に設定した架空の認証方式です。 特定の実環境を示すものではありません。 4 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix 解答Ⅰ：はいか Yes で答えよ 次のような認証方式で Windowsへサインインするとします ・サインイン専用カードを使用 ・秘密鍵はカードから取り出せない ・暗号処理はカード内で実行 ・認証時にPINの入力が必要 これはMFAでしょうか？ A：はい B：Yes どちらも正解 カードは所持要素、PINは知識要素でMFA 5 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix これまでの検証：すきあず38・39 すきあず38 Hybrid Join Entra Kerberos FSLogix オンプレFS ↓ 成功 すきあず39 → Entra Join Web Sign-In MFA ↓ 成功 Hybrid Join → Windows サインインで MFAできるか？ Hybrid Join端末からWindowsサインインでMFAを利用するには？ 6 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix Hybrid JoinならCredential Provider？ Credential Provider = Windows サインインの入口 Password PIN Smart card Windows Hello Web sign-in Web sign-in もCredential Provider の一つ / ただしEntra Join向け Hybrid Joinで 独自Credential Provider は作れる？ ↓ MSの公式サンプルを確認 SampleV2CredentialProvider 公式サンプルのビルド・登録 ↓ Windowsサインイン 画面への表示を確認 までは、できた 7 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix 入口までは確認、でもその先が遠い 独自Credential ProviderにMFAを組み込むには 実装までにも • MFAとの安全な連携 • 証明書・秘密鍵の管理 • 障害時の代替サインイン、復旧 • 約500台への展開・更新 実装できたとしても • Windows Updateへの継続的変化への追従 • MFA側の仕様変更への追従 • 長期運用・保守 入口までは確認できた、が 実用化と実装後の維持管理のハードルが高い →今回はHybrid Join端末でのMFAサインインは断念 8 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix ここまでの参考文献 1. 2. 3. 4. Microsoft Learn: How it works: Microsoft Entra multifactor authentication https://learn.microsoft.com/jajp/entra/identity/authentication/concept-mfa-howitworks Microsoft Learn: Web sign-in for Windows https://learn.microsoft.com/jajp/windows/security/identity-protection/web-signin/?tabs=intune Microsoft Learn: Credential providers in Windows https://learn.microsoft.com/jajp/windows/win32/secauthn/credential-providers-inwindows Microsoft / Windows Classic Samples SampleV2CredentialProvider https://learn.microsoft.com/jajp/samples/microsoft/windows-classicsamples/credential-provider/ 2026/08/28 9

• https://learn.microsoft.com/ja-

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix ここからが本編です ⚫ ここまで センター長からのお題 「Windowsサインイン、 MFAしたいけど何か問題ある？」 への回答 ⚫ ここから 今回のお題 「FSLogixプロファイル、 セルフリセットさせたいけど何か質問ある？」 ※ここからは、あくまで個人の検証です。 10 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix クイズ II 認証と認可とあなた あなたは、あるWindowsシステムの利用者です。 オンプレミスFS上にある自分のFSLogix Profile Container だけを操作するために必要なものは？ A.認証 B.認可 C.認証と認可 D.管理者権限 11 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix 解答 II 認証と認可とあなた あなたは、あるWidowsシステムの利用者です。 オンプレミスFS上にある自分のFSLogix Profile Contener だけを操作するために必要なものは？ A.認証 B.認可 C.認証と認可 D.管理者権限 認証：あなたが誰であるかを確認 → Entra ID / Entra Kerberos 認可：あなたが自分のものだけを操作できるようにする → オンプレFSの NTFSアクセス制御リスト（ACL） 12 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix FSLogixプロファイル、 セルフリセットさせたいけど 何か質問ある？ 詳しい方なら、ここまでで違和感があったかもしれません。 Hybrid Joinなら、もともとオンプレADのKerberos認証を使っている。 なのに、なぜEntra Kerberos？ FSLogixプロファイル肥大 → 講義中のトラブル対応 センター長： WindowsサインインでMFA できる？ プロファイル セルフリセットを妄想 → 次期システムはEntra Join？ → Entra Kerberosを発見 Hybrid Joinなら関係ない？ → すきあず36 → 37 → 38 → 39 → MFA Entra Joinなら◎ → Hybrid Joinだと㍉ぽ 今ココ 実は、もともとやりたかったのは、 FSLogixプロファイルのセルフリセット 13 ※あくまで個人の検証です 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix FSLogixプロファイル、 なんでセルフリセットさせたいの？ ① FS容量問題 一番の理由は、オンプレFSの容量のひっ迫 一人当たりの上限：5[GB]×10,000[人]→50[TB] ② 共用PCだから 利用者はどの共用端末でも同じ環境で利用 講義室・自習エリアなどにPCが点在 →学生は「そのPCの利用者」ではなく「環境の利用者」 ③ 個別トラブル ソフトウェアやアドインの個人プロファイルが原因と思われるトラブル ・あるCADソフト →ハングアップ時に「(ソフトの)プロファイルをリセット」と指示 ・Ecxelアドイン →起動時にエラー画面が繰り返し表示され、授業で利用不能 →100人規模の講義で20人以上発生したこと ④ だから 利用者自身で、自分のProfile Containerだけをリセットできれば？ →管理者が個別に対応しなくていいし、利用者もすぐに問題解決できる →「PCに詳しくなくても使える」教育環境を維持したい 14 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix Entra Kerberos とは？ Entra ID ↓ Auth ↓ Entra Kerberos ↓ Kerberosチケット ↓ オンプレADリソースへのアクセス Entra IDで認証された利用者が オンプレADのKerberosを利用して、 オンプレ資源へKerberos SSOする仕組み 今回は、アクセス先として オンプレFSに注目 Auth 15 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix FSLogixもSMB ・すきあず＃38 Entra Kerberosによるオンプレ FSへのアクセスを確認 ・FSLogix Profile Container への接続はSMB →Entra KerberosでオンプレFS へアクセスできるなら、 オンプレFS上のFSLogixも利用で きます。 →ここからもう一歩考えてみる Auth 16 Entra ID認証 → Entra Kerberos → SMB → オンプレFS上のFSLogix 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix FSLogixプロファイル、 セルフリセットさせたいけど 何が問題になる？ 自分のProfile Containerを使ってサインインすると、 使用中なので自分では削除できない • サインイン中はProfile ContainerがAttachされている • 使用中のVHD(X)は削除できない • リセットには別の実行経路が必要 「本人が操作できる」 ≠ 「 Profile Containerを使ってサインインしたまま操作できる」 では、FSLogixプロファイルにアタッチせずに Entra Join端末にサインインし、 オンプレFSにアクセスしたら？ →自分のProfile Containerを操作できるのでは？ 17 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix FSLogixプロファイル、 セルフリセット出来そうだけど 何か問題ある？ 結論から言うと、 検証ではできた ① Profile Containerへ本人権限でアクセス → ◎ ② PowerShellから自分のProfile Containerを削除 → ◎ ③ Hybrid Join端末へ再サインイン → ◎ → 削除から再サインインまで確認 18 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix FSLogixプロファイルコンテナー、 セルフリセットできそうだけど 何かアドバイスある？ まとめ：今回、分かったこと 本人の権限で自分のProfile Containerを削除できた → 再サインインで再生成 どうやって？ 認証：Entra ID → Entra Kerberos 認可：オンプレFSのNTFS ACL 経路：SMB 検証では、できた。でも、実際に使うなら？ ⚫ ⚫ ⚫ ⚫ 使用中かどうか、どう判定する？ Open Handleが残っていたら？ どこから実行する？ 誤操作・連続実行をどう防ぐ？ どう作るのが良いか？（作っていいものなのか？） ……そして、どうやって上司を説得する？ 19 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix とりあえずやってみよう！の積み重ね すきあず38 Hybrid Join Entra Kerberos FSLogix オンプレFS → Entra Join でも出来る？ すきあず39 すきあず41 Entra Join Web Sign-In MFA これまでの結果 を組み合わせて → Hybrid×MFA →断念 Profile Container 未アタッチ ひとつひとつは別の検証 発表 → 質問 → 次の検証 ググって脳内妄想で終わっていた頃から、 「とりあえずやってみよう」でここまで来ました。 アウトプットはいいぞ！どんどんLTしていこ！ プロファイル セルフリセット 20 2026/08/28

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix 参考文献 1. MS Learn Microsoft Entra Kerberos の概要 https://learn.microsoft.com/jajp/entra/identity/authentication/kerberos 2. Azure Academy This Update Makes Azure Virtual Desktop Truly Cloud-Native https://www.youtube.com/watch?v=28KrwCWILGA&t=2s 3. 鶴田 光彬 ( Mitsuaki Tsuruta) NTT西日本 Entra ハイブリッド参加をせずに、オンプレリソースにSSOする方法 （Entra Kerberosの利用形式の一つ） https://mitsurublog.com/post-11477/?utm_source=chatgpt.com 4. @carol0226(Shuji Noguchi) in NTTデータ先端技術 Microsoft Entra Kerberos 認証 を構成し オンプレミスへ SSO する https://qiita.com/carol0226/items/a52a54ff63c19fa957e6 21 2026/08/28

• https://learn.microsoft.com/ja-
• https://www.youtube.com/watch?v=28KrwCWILGA&t=2s
• https://mitsurublog.com/post-11477/?utm_source=chatgpt.com
• https://qiita.com/carol0226/items/a52a54ff63c19fa957e6