はじめに

Azure Virtual Desktop (AVD) のセッションホストへのサインイン時に SSO させるためのノウハウです。

この記事では、セッションホストがオンプレミスドメインコントローラー (AD DS) に参加している構成に対する内容となっています。

前提事項

以下の記事を参照して、No.1 ～ No.7 までを行い、AVD がデプロイされている必要があります。

No.8 以降の実施でより高度な AVD を構成できるような構成になっています。

1. やりたいこと

セッションホストへのサインイン認証 でウィンドウを開かずに、SSO で接続させたい！

Before（毎回、認証ウィンドウが出るので、パスワードを入れる必要アリ）

After（認証ウィンドウが出ない）

2. AVD の認証の流れ

AVD では、以下の３段階で、認証が発生します。
2-1. Azure Virtual Desktop へのサービス認証
2-2. セッションホストへのサインイン認証
2-3. セッション内認証

公開情報：認証方法
https://learn.microsoft.com/ja-jp/azure/virtual-desktop/authentication#authentication-methods

2-1. Azure Virtual Desktop へのサービス認証

AVD のサービスに接続して接続するための情報を取得するための認証です。
Microsoft Entra ID アカウントを使用します。
※オンプレミスドメインのアカウントがテナントに同期されたものである必要があります。

Remote Desktop アプリを初めて起動した際に、以下の画面が表示されます。
ここで、登録を押して AVD への接続情報を取得していきます。

　
以下の画面で認証します（AVD の利用が許可されているユーザー）
Entra ID 側の設定にもよりますが、既定では１回認証すれば、以後 PC を再起動しても２回目の認証は求められません。

　
AVD によって、ユーザーに許可されているデスクトップやアプリが表示されます。

2-2. セッションホストへのサインイン認証

セッションホスト (AVD 用の VM) に RDP 接続を行う際の認証です。

課題
この認証窓は、RDP 接続を行うたびに毎回表示されます。
都度、パスワードを入力する必要があります。

ポイント
このウインドウの表示を抑止させることが、本記事の目的です。

ドメイン認証に成功すると以下のようにサインイン画面になり、デスクトップ画面が表示されます。

2-3. セッション内認証

リモートセッション内で他のリソースに接続する際の認証です。
これは、ドメイン内のリソース（ファイルサーバーなど）にアクセスしたり、
Microsoft 365 のサービス（Teams や Outlook）に接続する際に行われます。

オンプレミスドメイン内のリソースは、元々 SSO でアクセスされます。

後述する 4-1. Microsoft Entra ハイブリッド参加 の構成によって、Microsoft 365 への認証が SSO されるようになります。

ポイント
実は、2-3. セッション内認証 だけであれば、以下の記事のシームレス SSO (sSSO) を構成することでも実現できます。

シームレス SSO の構成
https://qiita.com/carol0226/items/ebb140fe92fca5471212

しかし 2-2. セッションホストへのサインイン認証 と 2-3. セッション内認証 の両方を実現するためには、ハイブリッド参加 の構成が必要になります。

3. 実現手段

目標を達成するためには、以下の公開情報に記載されているいずれかの構成が必要です。

公開情報：セッションホスト認証
https://learn.microsoft.com/ja-jp/azure/virtual-desktop/authentication#session-host-authentication

（上記の公開情報より抜粋）

上記の通り、各クライアントアプリごとに、サポートされている認証の種類が記載されています。
このうち、ユーザー名とパスワード（橙色）は、前章で説明した Before の状態ですので、SSO にはなりません。

それ以外の方法を構成すると、SSO の動作になります。

なお、水色枠の２通りの方法は、利用できるデバイスが限定される事と、証明機関を用意する必要があり、非常に難解な構成を必要とするため、今回は対象から外しました。

そのため、Microsoft Entra 認証（緑色）の方法での実現手段を紹介していきます。

4. セッションホストへの Microsoft Entra 認証 (SSO) の構成

本章が、この記事のメインとなります。
前章の Microsoft Entra 認証（緑色）のリンクは、以下の公開情報へリンクしています。
下記の記事に記載されている手順を元に説明していきます。

公開情報

まず、公開情報を見ると、とても難しそうな内容が書かれていますが、内容としては以下の４つの構成を実施するように書かれています。それぞれを順に説明していきます。

4-1. Microsoft Entra ハイブリッド参加
4-2. Microsoft Entra Kerberos 認証
4-3. シングルサインオンを有効にするようにホストプールを構成する
4-4. ターゲットデバイスグループを構成する（任意）

4-1. Microsoft Entra ハイブリッド参加済み

これは、私が別途記事化している内容そのものを指しています。
以下の記事を参照して、AVD の VM を ハイブリッド参加済み の状態にしてください。

公開情報：前提事項
https://learn.microsoft.com/ja-jp/azure/virtual-desktop/configure-single-sign-on#prerequisites

前提事項には、Microsoft Entra 参加済み (MEJ) または Microsoft Entra ハイブリッド参加済み (MEHJ) のいずれかが必要と書かれています。

テナントに参加したデバイスは、"MEJ" を構成できますが、オンプレミスのドメインに参加したセッションホストの場合は、"MEJ" を行う事ができません。
ドメイン参加マシンは、"MEHJ" のみ構成ができます。

そのため、ここでは Microsoft Entra ハイブリッド参加済み の構成が必須になります。

MEJ = Microsoft Entra Joined の略
MEHJ = Microsoft Entra Hybrid Joined の略

4-2. Microsoft Entra Kerberos 認証

接続元のクライアントが、Microsoft Entra ID 認証を行った際に、Kerberos チケットを取得するようになるため、これを使ってセッションホストへ SSO を実施できるようになります。

これも、私が別途記事化している内容そのものの内容です。
以下の記事を参考に Microsoft Entra Kerberos 認証を構成してください。

上記の記事内から転用した図ですが、⑥ を AVD セッションホストに変更してあります。

公開情報：RDP の Microsoft Entra 認証を有効にします
https://learn.microsoft.com/ja-jp/azure/virtual-desktop/configure-single-sign-on#enable-microsoft-entra-authentication-for-rdp

4-3. シングルサインオンを有効にするようにホストプールを構成する

ホストプールごとに本章の設定が必要です。

Azure Portal でホストプールを開き RDP プロパティ の設定を以下の値に変更します。
"接続は　Microsoft Entra 認証を使用してシングルサインオンを提供します"

なお、設定項目は、以下の選択肢があります。

保存を押して、以下のような通知が表示されれば OK です。

本章の手順を行う前から登録済みの PC では、Remote Desktop アプリで以下のように 最新の情報に更新 を行うと SSO が利用可能になります。

※構成後にアプリから新規登録した場合は、特に気にする必要はありません。

公開情報：シングルサインオンを有効にするようにホストプールを構成する
https://learn.microsoft.com/ja-jp/azure/virtual-desktop/configure-single-sign-on#configure-your-host-pool-to-enable-single-sign-on

4-4. ターゲットデバイスグループを構成する（任意）

この章の内容は、私も実際に検証してみるまでは、何のことを意味しているのか分かりませんでした。
理由は、4-1. ～ 4-3. を実施したあと、AVD に接続してみて判りました。

SSO で接続はできるようになりますが、初回だけ、以下の赤枠のようなウィンドウが出るようになります。
※各デバイスと、セッションホストの組み合わせごとに１回のみ

初回のみなので、頻度は少ないですし、はいを押すだけで、パスワードの入力などは不要なため、特に対処しなくても良いと思います。

このウィンドウさえも抑止させたい場合は、以下の公開情報の手順を実施します。

公開情報：ターゲットデバイスグループを構成する
https://learn.microsoft.com/ja-jp/azure/virtual-desktop/configure-single-sign-on#configure-the-target-device-groups

以上の構成で、AVD へ接続する際に SSO が構成され認証ウィンドウが抑止されたことを確認できると思います。

5. 参考情報

以下の くらう道さん の記事が大変参考になります。
おまけ 欄に上記の 4-4.章の手順の記載がありました。