Azure Virtual Desktop (AVD)

解決する課題

PC を物理的に配らずに、Windows のデスクトップやアプリをクラウドから安全に届けたい場面で使います。リモートワーク・派遣社員・BYOD（私物端末）・在外拠点などで、データを端末に残さずに業務環境を提供できます。

• 端末を選ばず、どこからでも同じ Windows 環境にアクセスしたい
• 業務データやアプリを端末ではなくクラウド側に集約し、情報漏えいを防ぎたい
• 一時的に人数が増減するプロジェクトや繁忙期に、デスクトップを素早く増減したい
• レガシーな業務アプリを個別配布せず、必要なユーザーにだけ公開したい
• オンプレの VDI（仮想デスクトップ基盤）の運用・更新負荷を減らしたい

主要概念と用語

• セッションホスト: 実際に Windows が動く VM。ユーザーはここにリモート接続する。複数台をまとめてホストプールに登録する
• ホストプール: 同一構成のセッションホストの集合。後述の個人割り当てとプール（共有）割り当てを選ぶ
• 個人（パーソナル）ホストプール: 1ユーザーに1 VM を専有で割り当てる方式。状態を保持したい開発者などに向く
• プール（プールド）ホストプール: 複数ユーザーが VM 群を共有する方式。マルチセッションでコスト効率が高い
• Windows マルチセッション: Windows 11 / 10 のエディションで、1台の VM に複数ユーザーが同時サインインできる AVD 専用の機能
• アプリケーショングループ: ユーザーに公開する単位。デスクトップ（フルデスクトップ）と RemoteApp（アプリ単体配信）の2種類
• ワークスペース: 複数のアプリケーショングループをまとめ、ユーザー側のクライアントに見せる入れ物
• FSLogix プロファイルコンテナ: ユーザープロファイルを VHD/VHDX として外部ストレージに保持し、どのセッションホストにログインしても同じ環境を再現する仕組み
• コントロールプレーン（管理プレーン）: 接続のブローカー・ゲートウェイ・診断などを Microsoft がマネージドで提供する部分

仕様・制限・クォータ

• セッションホストは通常の Azure VM として動くため、VM サイズ・vCPU クォータ・リージョンの上限がそのまま効く
• ユーザーの ID は Microsoft Entra ID を基盤とし、用途に応じて Entra ID 参加、Active Directory Domain Services、Microsoft Entra Domain Services と組み合わせる
• 1ホストプールに登録できるセッションホスト数や、1 VM あたりの同時セッション数には実用上の上限があり、VM のサイズと割り当てモードで変わる
• マルチセッションは Windows の特定のエディション / イメージでのみ利用でき、個人割り当てでは通常のクライアント OS も使える
• 管理プレーンは Microsoft 提供のため、ブローカーやゲートウェイのインフラ管理は不要

内部の仕組み

AVD は「Microsoft が管理するコントロールプレーン」と「利用者が管理するセッションホスト」に役割が分かれています。ユーザーはクライアントから接続要求を出し、Microsoft 側のブローカーが空いているセッションホストへ振り分け、ゲートウェイ経由で RDP 接続が確立されます。VM 本体・ディスク・プロファイル用ストレージは利用者のサブスクリプション内に置かれます。

• ユーザーはまず Entra ID で認証し、ワークスペースに公開されたデスクトップ / RemoteApp の一覧を受け取る
• ブローカーがロードバランシング（幅優先または深さ優先）でセッションホストを選び、接続を仲介する
• リバース接続を使うため、セッションホスト側で受信用のパブリックポートを開ける必要がない
• ログイン時に FSLogix がプロファイルコンテナをマウントし、どのホストでも同じデスクトップ状態を再現する

設計パターン / ベストプラクティス

• コスト重視はプール + マルチセッション: タスクワーカーなど共有可能な利用者は、Windows マルチセッションで1 VM に複数人を収容する
• 状態保持が必要なら個人割り当て: 開発者やローカルにツールを入れる利用者には、1人1 VM の個人ホストプールを使う
• プロファイルは FSLogix で外出し: プロファイルを Azure Files / Azure NetApp Files に置き、ログイン先 VM が変わっても環境を維持する
• イメージは Azure Compute Gallery で標準化: アプリ導入済みのゴールデンイメージを版管理し、セッションホストを再構築しやすくする
• 自動スケールで夜間は縮小: スケーリングプランで業務時間帯だけホストを起動し、閑散時間は割り当て解除して費用を抑える
• アクセスは条件付きアクセスで制御: 端末の状態や場所に応じて多要素認証を強制する

運用・監視

• Azure Monitor / Log Analytics（AVD インサイト）で、接続時間・ログイン失敗・セッションホストの負荷・利用パターンを可視化する
• セッションホストは通常の VM と同様、更新プログラム適用・イメージ更新・スケーリングを運用対象とする。ドレインモードで新規接続を止めてから更新する
• ログインが遅い・プロファイルが壊れるときは、FSLogix のストレージ性能（IOPS / レイテンシ）とコンテナの破損、ストレージ容量を確認する
• 接続できないときは、ID 認証（Entra ID / AD）、ネットワーク経路、必要な FQDN への送信通信、セッションホストの空き容量を切り分ける
• スケーリングプランのタグや除外設定を使い、自動で割り当て解除されると困るホストを保護する

コスト

AVD のライセンスは、対象の Microsoft 365 / Windows Enterprise などのライセンスを持つユーザーには追加料金がかからない形が基本で、実際の費用の中心はセッションホストの VM とストレージです。

• VM 課金は通常の Azure VM と同じ。停止（割り当て解除）すればコンピューティング課金が止まる
• マルチセッションで1 VM に複数人を収容すると、ユーザー1人あたりの VM 費用を大きく下げられる
• スケーリングプランで稼働時間を絞ることが最大の節約ポイント。夜間・週末に縮小する
• プロファイル用ストレージ（Azure Files / NetApp Files）の容量・性能ティアもコストに効く
• 予測可能なベース負荷の VM には予約インスタンスや Savings Plan を併用する

セキュリティ

• データを端末に残さない: 画面情報だけを転送するため、私物端末や社外からのアクセスでもローカルに業務データが残りにくい
• Entra ID + 条件付きアクセスで、多要素認証・端末準拠・場所ベースのアクセス制御を強制する
• リバース接続によりセッションホストの受信ポートを開けずに済み、攻撃面を縮小できる
• セッションホストは VM なので、Microsoft Defender for Cloud / Endpoint による保護やパッチ適用、ディスクの暗号化を行う
• RBAC で、ホストプール作成・ユーザー割り当て・運用などの権限を分離する
• 画面キャプチャ保護やクリップボード・ドライブリダイレクトの制御で、持ち出し経路を制限する

Well-Architected の観点

• セキュリティ: データを端末に残さない構成、Entra ID + 条件付きアクセス、リバース接続による攻撃面の縮小、セッションホストへの Defender 適用が中核
• オペレーショナルエクセレンス: 管理プレーンは Microsoft 任せにし、利用者はイメージ標準化・自動スケール・AVD インサイトによる監視に集中する
• コスト最適化: マルチセッションでの集約と、スケーリングプランによる稼働時間の最小化が効く
• 信頼性: セッションホストを可用性ゾーンに分散し、プロファイルストレージの冗長性を確保する

試験で問われるポイント

関連サービス・比較

クラウド上で Windows 環境を配信するサービスとして、AWS の WorkSpaces / AppStream と対応します。フルデスクトップを配るか、アプリ単体を配るかで近いサービスが変わります。

ハンズオン / CLI例

# リソースグループを作成
az group create --name avd-rg --location japaneast

# プールド（共有）ホストプールを作成（幅優先ロードバランシング）
az desktopvirtualization hostpool create \
  --resource-group avd-rg \
  --name avd-pool \
  --location japaneast \
  --host-pool-type Pooled \
  --load-balancer-type BreadthFirst \
  --max-session-limit 10 \
  --preferred-app-group-type Desktop

# デスクトップ用アプリケーショングループを作成
az desktopvirtualization applicationgroup create \
  --resource-group avd-rg \
  --name avd-desktop-ag \
  --location japaneast \
  --host-pool-arm-path "/subscriptions/<sub-id>/resourceGroups/avd-rg/providers/Microsoft.DesktopVirtualization/hostPools/avd-pool" \
  --application-group-type Desktop

# ワークスペースを作成し、アプリケーショングループを関連付け
az desktopvirtualization workspace create \
  --resource-group avd-rg \
  --name avd-workspace \
  --location japaneast \
  --application-group-references "/subscriptions/<sub-id>/resourceGroups/avd-rg/providers/Microsoft.DesktopVirtualization/applicationGroups/avd-desktop-ag"