ARM版Windows Virtual Desktop事始め

ARM版Windows Virtual
Desktop事始め
第28回 Tokyo Jazug Night (Online)
2020/07/30
Tsukasa Kato

Copyright© 2019, Kumaazu All Rights Reserved.
2
Profile
Tsukasa Kato / 加藤司
日本ビジネスシステムズ株式会社
シニアエキスパート
Microsoft MVP for Microsoft Azure
https://tsukatoh.hatenablog.com/
https://www.slideshare.net/tsukasakatou9

3
今日お話しすること
Windows Virtual Desktop 概要
セキュリティの考慮点
構成例

Windows Virtual Desktop
概要
4

5
祝！GA！！

Windows Virtual Desktop(WVD)とは
Microsoft Azureで提供される仮想デスクトップサービス
マネージドサービスでSBCとVDIが提供される
Windows 10 マルチセッションが利用できる
2019年9月30日にv1(Non-ARM版)がGA
2020年7月27日にv2(ARM版)がGA
v1からv2への移行ツールの提供も予定されている
6

Windows Virtual Desktop(WVD)の特徴
Microsoft Azureがコントロールプレーンを提供
Windows 10 Multi-sessionに対応した唯一のサービス
Office365 ProPlusの最適化
旧OSのセキュリティ更新プログラム延長サポート
7

コントロールプレーン
8
Microsoft によるコントロールプレーンの提供
仮想化インフラストラクチャをマネージドサービスとして提供
監視 / 診断アラートなどの基本機能を提供
コントロールプレーンの利用料は不要
Web access ManagementDiagnostics
BrokerLoad
balancing
Gateway
SQL
Database
Monitoring

マルチセッション機能を備えた Windows 10 Enterprise
Semi-Annual Chanel (SAC)での動作
優れたアプリケーションの互換性
Office 365 ProPlus に最適化
Windows 10 マルチセッション
9
従来のVDI Multi-session

Office 365 ProPlusの最適化
10
Office 365 コンテナ
各種キャッシュデータのローミングをサポートし、マルチセッ
ション環境でのOfficeパフォーマンスを向上
Outlook OST ファイル
OneDrive キャッシュ
Windows 検索 DB など
プロファイルコンテナ
移動プロファイル関連のさまざまな課題・制約を解消し、ログオ
ンとアプリケーションの起動時間を劇的に改善

セキュリティ更新プログラム延長サポート
11
セキュリティ更新プログラムの無料提供
Azureを利用することで以下の延長サポートを受けることが出
来る
対象延長サポート期限期限延長
Windows 7 2020/1/14 3年
Windows Server
2008/2008 R2
2020/1/14 3年
SQL Server 2008/2008 R2 2019/7/9 3年

提供可能OS
12
Service OS License
VDI Windows 10 Enterprise Multi-
Session
Windows 10 Enterprise
Windows 7 Enterprise
Microsoft 365 E3, E5, A3,
A5, F1
Business Windows E3, E5,
A3, A5
SBC
(RDSH)
Windows Server 2019
Windows Server 2016
Windows Server 2012 R2
ソフトウェアアシュアラン
ス付きの RDS クライアント
アクセスライセンス
(RDS-SA CAL)

サポートクライアント
13
Client Platform/Version
WVD専用クライアント Windows 7 / 10
macOS 10.12以降
iOS 13.0 以降（iPhone、iPad、iPod
touch）
Android 4.1 以降
ブラウザ Microsoft Edge Windows
Internet
Explorer
Windows
Apple Safari macOS
Mozilla Firefox Windows, macOS, Linux (Ver 55 以上)
Google Chrome Windows, macOS, Linux

必要条件
Azure Active Directory
Azure Active Directory と同期している Windows Server
Active Directory
Azure AD Connect
Azure AD Domain Services
Windows Server Active Directoryを含むか、またはこのディ
レクトリに接続されている仮想ネットワークが含まれるAzure
サブスクリプション
WVD用の仮想マシンはStandard domain-join か Hybrid
AD-join していること
14

Windows Virtual Desktop概要
15
https://azure.microsoft.com/ja-jp/services/virtual-desktop/#featured

接続トラフィックフロー
16
①DeviceからWeb access/Gatewayへアクセス
②Azure ADへ認証情報の確認
③BrokerがHost Poolをアサイン
④BrokerがDeviceに対してHost Poolを通知
⑤Host Poolへ接続するためADへ認証
Azure AD
Azure AD
Domain Services
Hostpool
Web access /
Gateway
Broker
Active DirectoryAzure AD
Connect
Federated
Cloud

配信方式
17
Pooled Personal
個人用固定VM 共有VM

配信方式の比較
18
項目 Pooled Personal
配信方法ランダム（共有）個人固定
ローカル権限不可可
VM内の構成構成は共有個別構成可能
コスト低高
データ保持可可
ホスト割当負荷分散
・Depth First
・Breadth First
・自動（Automatic）
・直接（Direct）

負荷分散方式 (Pooled)
19
Breadth First Depth First
Connection Broker
割当方法：最小セッション数
Connection Broker
割当方法：最大セッション数
①
②
①
②

ユーザープロファイル
プロファイルコンテナーの提供方法として以下がある
FSLogix
• VMベースのファイル共有
• Azure NetApp Files
• Azure Files
ユーザープロファイルディスク (UPD) ※非推奨
20

FSLogix
21
Cloud Cache
Profile Container
Office 365 Container
App Masking
Java Redirection
非永続デスクトップ環境をより有効的に利用す
るためのプロファイルローミングソリューショ
ン
2018年にMicrosoft社がFSLogix社を買収
以下の5つの機能がある
ユーザープロファイルコンテナ
Office 365コンテナ
クラウドキャッシュ
アプリケーションマスキング
Javaバージョン管理

FSLogix - Profile Container -
22
Cloud Cache
Profile Container
App Masking
Java Redirection
ユーザープロファイルをVHD/VHDXの形式で保
管される単一のコンテナとして格納
プロファイルをマウントして使用することで、
サインイン/アウト時の遅延を軽減
ユーザー
プロファイル
ユーザー
プロファイル
プロファイル
サーバー
VHDマウント
VHDマウント

FSLogix - Office 365 Container -
23
Cloud Cache
Profile Container
App Masking
Java Redirection
非永続的な環境でOffice 365利用を実現するた
めの機能で、Office 365のローカルユーザープ
ロファイルのみリダイレクトする
ユーザープロファイルコンテナと併用可能で個
別バックアップが取得可能
ユーザー
プロファイル
プロファイル
サーバー
VHDマウント
ユーザー
プロファイル
ユーザー
プロファイル
VHDマウント

FSLogix - Cloud Cache -
24
Cloud Cache
Profile Container
App Masking
Java Redirection
ユーザープロファイルコンテナやOffice 365 コ
ンテナを Azure Blob Storage や Azure
NetApp Files といったストレージに保管できる
機能
最大4ヶ所に保管できる

FSLogix - App Masking -
25
Cloud Cache
Profile Container
App Masking
Java Redirection
インストールされているアプリケーションを、
管理者が指定したユーザーにのみ利用を許可す
る機能
リアルタイム反映が可能

FSLogix - Java Redirection -
26
Cloud Cache
Profile Container
App Masking
Java Redirection
特定のアプリケーションやWebアプリで使用す
るJavaのバージョンを指定可能

仮想マシンイメージの作成方法
セッションホストとして設定できる仮想マシンイメージと、そ
の作成方法として以下がある
マネージドディスクイメージ
アンマネージドディスクイメージ
Azure Gallery イメージ
• Windows 10 Enterprise multi-session with Office 365 ProPlus
• Windows 10 Enterprise multi-session
• Windows 10 Enterprise
• Windows Server 2016 Datacenter
カスタムイメージは Azure Gallery イメージとして利用可能
27

仮想ネットワーク
WVDで構築する上での制約は特にないがサブネット設計は
しっかりすること
Azure AD Domain Servicesへ接続するために同一仮想ネット
ワーク内のサブネットに配置するか、Peeringで別仮想ネット
ワークと接続して利用するか判断が必要
Network Security Groupを設定しておくことが望ましい
28

サードパーティ製品との連携
29
閉域網接続対応
より高度な管理機能の提供
イメージ管理
詳細な管理ポリシー
Teams対応
Multi-Session対応
閉域網接続対応
より高度な管理機能の提供
イメージ管理
詳細な管理ポリシー
Multi-Session対応
自動アプライアンス管理
Citrix Cloud ライセンス + WVD Horizon Cloud ライセンス + WVD

30

WVDのInbound/Outbound通信制御
ユーザー認証
脅威保護
モニタリング
エンドポイント保護
31

外部からWVDへのアクセス (Inbound制御)
WVDで配信されるVMは基本的にパブリックIPアドレスを構成
しない形で作成される。
外部からのアクセスはGatewayを通じて認証し、接続・配信
される仕組みとなっている。
セキュアなネットワークからのアクセスは以下の通信を許可す
る必要がある。
Azure ADへの認証
WVDへの通信
32

WVD内部からの通信 (Outbound制御)
WVD内部からの通信はAzure VNetからインターネットアクセ
スされるように構成されている。
インターネットアクセスを制限したい場合は必要に応じてフィ
ルタリングを追加する必要がある。
Azureのサービスで実現する場合はAzure Firewallでネット
ワークルールやアプリケーションルールを構成して制御する。
処理順はネットワークルール→アプリケーションルールの順で
処理される。
サードパーティー製のセキュリティアプライアンスの導入も検
討。
33

通信制御の検討
Network
Security Group
Azure Firewall
3rd party
appliance
34

WVD内部からの通信 (Outbound制御)
35
Azure Firewall
AzureFirewallSubnet
Session Hosts
Internet
Web Access Diagnostics
BrokerGateway
Spoke VNET Hub VNET
WVD Services
NSG + Azure Firewall

WVD内部からの通信制御（例）
Office365への通信を許可（Teams含む）
設定値は公式のO365IPアドレス一覧より取得
36
Application rule collection
Network rule collection
Office365URL及びIPアドレス範囲
https://docs.microsoft.com/ja-jp/office365/enterprise/urls-and-ip-address-ranges

ユーザー認証
多要素認証（Multi-Factor Authentication）を有効にする
条件付きアクセスを有効にする
37

脅威保護
Azure Security Centerを有効化する
Endpoint Protection(Windows Defender等)を有効にする
修正プログラムの適用
38

クライアントポリシー
非アクティブユーザーの自動サインアウト
アイドルセッションの画面ロック
ドライブ、プリンター、USBデバイス等のローカルデバイスリ
ダイレクトの制御
RDPセッションの禁止
（Just-In-TimeアクセスやBastionの使用）
App Lockerによる不要ソフトウェア実行制限
39

利用ログ
40
診断設定を有効にすることでLogAnalyticsにてログの収集・確認ができる。
収集できるログはホストプール、アプリケーショングループ、ワークス
ペースそれぞれで異なるが、以下のものを対象とできる。
ホストプールアプリケーショングループワークスペース
Checkpoint
Error
Management
Connection
HostRegistration
Checkpoint
Error
Management
Checkpoint
Error
Management
Feed
以下はConnectionログのサンプル

Azure Monitorで使用状況を監視する
LogAnalyticsで収集したログをAzure Monitorで確認する
41

Azure Sentinel
クラウドネイティブなSIEM(Security Information and
Event Management)
組み込みの AI を使用しているため、企業全体の大量のデータ
の迅速な分析が可能
セッションホストのログだけではなく、管理プレーンやAzure
AD、Log Analyticsのアドオンとして有効化することでWVD
の様々なログが収集できる
価格設定がお高め
42

構成例
43

構成例
44
Azure AD Domain Servicesを構成し、Azure ADと連携
仮想ネットワークを新規構築し、既存仮想ネットワークとピアリングして接続
プロファイルはAzure FilesへPrivate Linkにて接続
Office365への通信のみ許可
既存システム
Azure Firewall
Session Hosts
ExpressRoute
Azure AD
Azure AD DS
AD
AADC
VM Image
WVD Services
Profiles
Security
Center
Log

まとめ
45

まとめ
ARM版を利用するとAzure Portalですべて管理出来るため、
今後検討するにはARM版がお勧め
イメージ更新や高度な管理を要求される場合はサードパーティ
製品で拡張
既存環境に構築する場合はActive Directory周辺を要調査
セッションホスト内から外部への通信を制限したい場合は、ま
ずはNSG or Azure Firewallを検討
現在まで対応してきた所感では管理・拡張を考慮すると、シン
プルに構成すると良い
46

参考
ARM版ドキュメント
https://docs.microsoft.com/ja-jp/azure/virtual-desktop/
NON-ARM版ドキュメント
https://docs.microsoft.com/ja-jp/azure/virtual-
desktop/virtual-desktop-fall-2019/tenant-setup-azure-
active-directory
47

48
ご清聴ありがとうございました

ARM版Windows Virtual Desktop事始め

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to ARM版Windows Virtual Desktop事始め

Similar to ARM版Windows Virtual Desktop事始め (20)

More from Tsukasa Kato

More from Tsukasa Kato (20)

Recently uploaded

Recently uploaded (10)

ARM版Windows Virtual Desktop事始め