はじめに

現在は、Azure Virtual Desktop (AVD) で、ホストプールと仮想マシンを作成する際に、どれだけシンプルな画面からデプロイさせられるか？を研究しています。
その際には、いくつかのハードルがあったのですが、そこで得られたノウハウを記事にしていこうと思っています。以下のリンク先でシリーズ化していますので併せて参照ください。

テナント制限v2 は、2023年5月からパブリックプレビューで新しく提供された機能です。

この記事では、テナント制限v2 を AVD環境で動作させる方法や課題とその解決方法まで紹介したいと思います。
※私は、AVD で使用するためにこの記事を書きましたがそれ以外の Windowsデバイス（PCやVM）でも同じようにテナント制限を利用出来ると思います。

テナント制限とは何か？

テナント制限とはどういうものか？
それと、機密情報の流出を防ぐうえで、テナント制限と組み合わせて考える必要があるアクセス制御はどういうものがあるのかを、以下の記事にまとめました。ぜひこちらも参照ください。

テナント制限 v1 と v2 の違い

テナント制限には v1 と v2 があります。
単純に v2 の方が良い・・・という訳では無く v1 と v2 でメリット・デメリットがあります。
私は、比較検討した結果、AVD で使う場合には v2 の方が良いと判断しました。

違いについては、以下の記事にまとめてあります。
ぜひ、ご参照ください。

テナント制限v2 の前提条件

Microsoft Entra ID P1 以上のライセンス（旧名称：Azure AD Premium P1）
グローバル管理者またはセキュリティ管理者のロールを持つアカウント
Windows 10 / 11 に、最新の更新プログラムの適用

（参考：前提条件）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#prerequisites

テナント制限v2 でサポートされていないシナリオ

認識しておかなければならない点がいくつかあるようです。

Chrome、Firefox、および PowerShell などの .NET アプリケーション
　他社製アプリでは、制限されずにアクセス出来てしまいます。
　テナント制限v2 を使う上で一番注意すべき点です。
　この穴を防ぐ方法は、本記事で後述していますので、参考にしてください。
コンシューマー OneDrive アカウントの匿名アクセスがブロックできません。
https://onedrive.live.com/ をブロックすることで、プロキシレベルで回避できます。
　個人用OneDriveと OneDrive For Business は、URLが違うので個人用だけ URLフィルタでブロックする方法で対処する必要があります。
ユーザーが、匿名リンクまたは Azure AD 以外のアカウントを使って、Slack などのサードパーティアプリにアクセスする場合。
　これの対策として、不用なサードパーティのサービスには、URLフィルタでブロックしておくしか無いですね。
ユーザーが、ホームコンピューターから職場のコンピューターに Azure AD で発行されたトークンをコピーし、それを使って Slack などのサードパーティアプリにアクセスする場合。
　こんな方法で回避できちゃうんだ～。ハッカーの手口みたいな・・・
　私のテーマでは AVD での利用なので、他のPCからトークンをコピーしてこられないように対策することでカバーできそうです。

URLフィルタとの組み合わせについては、「テナント制限とは何か？」でも紹介しましたが、こちらの記事（リンク）で説明しています。
併せて参照ください。

（参考：サポートされていないシナリオ）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#unsupported-scenarios

テナント制限v2 の構成手順

既定のテナント制限v2 を構成（必須）
特定のパートナー用にテナント制限 V2 を構成する（任意）
テナント制御v2 の有効化を PC へ配布する（必須）

1. 既定のテナント制限v2 を構成

この章の手順を行う事で、該当のテナントにおいてテナント制限が有効化されます。
以下の公開情報の通りに手順を進めれば問題ありません。
しかし、公開情報と Azure Portal の設定項目名に相違があって判りづらかったです。私が検証した際の画面キャプチャを貼っておきますので、比較しながら該当の設定項目を見つけてください。

（参考：ステップ 1: 既定のテナント制限 V2 を構成する）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#step-1-configure-default-tenant-restrictions-v2

Azure Active Directory の設定ページで「External Identities」を選ぶ
「テナント間アクセス設定」を選び「既定の設定」を選ぶ
下へスクロールさせ、「テナント制限の既定値を編集する」をクリック
「外部のユーザーとグループ」を選択して、「アクセスのブロック」と「外部のすべてのユーザーとグループ」を選択します。
「外部アプリケーション」を選択して、「アクセスのブロック」と「すべての外部アプリケーション」を選択して、「保存」ボタンを押します。

以上の設定で、テナント側の設定は完了です。

2. 特定のパートナー用にテナント制限 V2 を構成する

この設定は、特定の提携している企業のテナントだけはアクセスを許可させたい場合に行う設定です。テナント制限v2 を構成する上で「必須」ではありません。
外部テナントへのアクセスを一部だけ許可したい場合のみ、設定してください。

（参考：ステップ 2: 特定のパートナー用にテナント制限 V2 を構成する）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#step-2-configure-tenant-restrictions-v2-for-specific-partners

3. テナント制御v2 の有効化を PC へ配布する

Intune または、GPO を使って、テナント制御v2 の機能を有効化する必要があります。
3-1. Intune による配布
3-2. GPO による配布

3-1. Intune による配布

以下に、別途記事化してあるため、参照ください。

3-2. GPO による配布

テナント制限v2 の GPO設定は、Windows 10/11 に存在します。
ドメインコントローラーには、既定で Windows 10/11 のポリシーテンプレートが無いため、テナント制限v2 の構成ができません。

そのための手順として、以下の 2 STEP を行います。
3-2-1. ポリシーテンプレートのダウンロードと保存
3-2-2. テナント制限v2 のポリシー設定

（参考：ステップ 3: Windows マネージドデバイスでテナント制限を有効にする）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#step-3-enable-tenant-restrictions-on-windows-managed-devices

3-2-1. ポリシーテンプレートのダウンロードと保存

クライアントデバイスに該当するバージョンのポリシーテンプレートをダウンロードし、ドメインコントローラーの SYSVOL フォルダ配下の PolicyDefinitions に保存する必要があります。

（参考：Windows でグループポリシー管理用テンプレート用のセントラルストアを作成および管理する方法）
【ダウンロードリンク】
https://learn.microsoft.com/ja-jp/troubleshoot/windows-client/group-policy/create-and-manage-central-store#links-to-download-the-administrative-templates-files-based-on-the-operating-system-version

私の場合は、下図のようにドメインコントローラーのローカルストア（Cドライブ配下の SYSVOL ～ PolicyDefinitions 配下に Win10_22H2 のフォルダを作ってテンプレートを配置しました。

なお、上記の方法（ローカルストア）では、１台のドメインコントローラーに対してだけの配置になります。
各ドメインコントローラーに、テンプレートを同期させるには、セントラルストアを作成します。
（参考：Windows でグループポリシー管理用テンプレート用のセントラルストアを作成および管理する方法）
【セントラルストア】
https://learn.microsoft.com/ja-jp/troubleshoot/windows-client/group-policy/create-and-manage-central-store#the-central-store

3-2-2. テナント制限v2 のポリシー設定

以下の手順でポリシー設定を行ってください。

「グループポリシーの管理」ツールを開き、デバイスのコンピューターオブジェクトが含まれる OU（この場合は AVD）の配下に、ポリシー（テナント制限v2）を作ります。
※テナント制限v2 以外のポリシーは無視してください（私が AVD の管理用に作ったポリシー）
作成したポリシー（テナント制限v2）を右クリックして、「編集」で開きます。
左ペインでは、「コンピューターの構成」「ポリシー」「管理用テンプレート」「Windowsコンポーネント」「テナントの制限」の順に辿って開きます。
「クラウドポリシーの詳細」をダブルクリックで開きます。
以下のように Azure Portal のテナント間アクセス設定ーテナント制限の設定ページからテナントID とポリシーID を同じ色の箇所にコピー＆ペーストしてから、ポリシーを保存します。

以上で、テナント制限v2 の構成が完了しました。
対象のクライアント端末で、再起動するか、gpupdate /force のコマンドを実行すると、その端末でテナント制限が機能します。
※ドメインに参加して、ポリシーを構成した OU に配置されたクライアント端末である必要があります。

動作確認

テストのために、https://office.com へアクセスし、外部テナントのアカウントでサインインを試みます。
テナント制限が機能していれば、以下のような画面が表示されます。

Error Code : 80045C4D
Message : Signin restricted by cross tenant access policy for consumer accounts.

そのあと、自社ドメインのアカウントでサインインを試みて、問題なくサインインすることができれば、テナント制御は無事に構成されています。

テナント制限v2 の課題と対策

課題

ここまで構成した状態で外部テナントへのアクセスを実施した場合、以下の動作になります。

（自社テナントのみサインインが可能）

Edge
Officeアプリケーション

（外部のテナントにもサインインが可能）

Google Chrome や Firefox などの他社ブラウザ
PowerShell
.NETアプリケーションで開発されたアプリケーション

せっかくテナント制限を構成しても Microsoft製のアプリケーションでは機能しますが、それ以外では制限されません。この点が、セキュリティーホールになってしまいます。

左側の Edge ではテナント制限が機能しているが、Chrome だと外部テナントに入れる

考察

以下の公開情報を見ると「Microsoft エンドポイントのファイアウォール保護を有効にする」にチェックを入れれば、良さそうに思います。しかしやってみて判りましたがそうではありませんでした。

（Chrome、Firefox、および PowerShell などの .NET アプリケーションをブロックする）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#block-chrome-firefox-and-net-applications-like-powershell

以下の画面の「緑枠」に注意事項が書かれています。これが重要です。

対応する WDACポリシーなしでこのチェックボックスを ON にすると、すべてのアプリケーションが Microsoftエンドポイントに到達できなくなります

私の方で、試しにチェックボックスを ON にして試してみましたが、なんと Microsoft Entra アカウント（旧：Azure AD アカウント）でサインインするサービスには Edge でもアクセスができなくなりました。
左は、Edge、右は Chrome

なお、https://office.com や、https://portal.azure.com などのサイトはアクセスできませんが、Microsoft Entra アカウントの認証とは関係無いサイト（例：http://www.yahoo.co.jp など）にはアクセスできます。ある意味スゴい制御です。

WDACポリシーで Edge や Officeアプリのブロックを解除する方法

WDACポリシーで、 Edge や Office はブロックされずに Chrome はブロックする方法は、別途検証して以下の記事にまとめました。

上記の手順を構成した結果が以下の状態です。
左側は Edge で自社テナントにサインイン。右側の Chrome だと Office365のサインインさえできない。ここまで制御ができていれば、テナント制限v2 は使えそうですね。

WDAC を使わない場合の対策

WDAC の構成は、複雑で難しいと感じる場合は、回避策として利用して欲しくないアプリケーションを AppLocker などでブロックする方法も考えられそうです。

他社製アプリの制御について、希望するような動作結果が得られない場合は、テナント制限v1 と組みあわせて利用することでも回避が可能です。
テナント制限v1 は、どのようなデバイスやアプリであっても、テナント制限を構成する事ができるため、Chrome で外部テナントへアクセスしようとするとテナント制限が掛かります。

テナント制限v1 と組み合わせる際には、以下の記事も参考にしてみてください。