MicrosoftはAzure Virtual Desktopに対するDomainless SAML IdPフェデレーションの外部IDサポートを追加しました。Microsoft Entra IDにおけるDomainless SAML IdPフェデレーションの一般提供開始に合わせたこのアップデートは、B2Bコラボレーションシナリオにおける最も厄手な障害の一つを取り除くものです。それは、ゲストユーザーのメールドメインが外部IdPに設定されたドメインと一致しなければならないという要件です。

パートナー、契約業者、買収した企業のメンバーにAVD環境へのアクセスを許可しようとして、メールドメインがSAML IdP設定と合わずに壁にぶつかった経験はありませんか？このアップデートはまさにその問題を解決します。

解決する問題

Microsoft Entra IDにおける従来のダイレクトフェデレーションは、メールドメインに基づいて認証をルーティングする仕組みで動作します。SAMLまたはWS-Fed IdPを構成し、1つ以上の検証済みドメインに関連付けます。ゲストユーザーがサインインすると、Entra IDはUPNサフィックス（メールドメイン）を確認し、一致するIdPにルーティングします。

パートナー組織が単一の予測可能なメールドメインを使用している場合は問題なく動作します。しかし、実際のシナリオではすぐに問題が生じます：

  • マルチブランド組織 — 子会社が異なるドメインを使用しながら中央のIdPを共有している場合
  • 合併と買収 — 買収された企業のドメインがまだ移行されていない場合
  • 契約業者ネットワーク — 個別の契約業者が個人用メールドメインを使用している場合
  • パートナーエコシステム — 複数の組織が異なるIdP経由でアクセスする必要があるが、一部が同じメールプロバイダーを共有している場合

これらのケースでは、ドメイン一致の要件により、フェデレーション自体ができないか、考え得るすべてのドメインを構成して検証する必要がありました。これは管理上の悪夢です。

ドメインレスフェデレーションの仕組み

Domainless SAML IdPフェデレーションは、ルーティングモデルを根本から変更します。メールドメインでのマッチングの代わりに、Entra IDはSAML Issuer URIとオプションのdomain_hintパラメータに基づいて認証リクエストをルーティングします。

内部的な動作は以下の通りです：

  1. Entra IDでSAML IdPをドメインレスとして構成する
  2. 招待されたゲストユーザーが招待を利用すると、Entra IDはユーザーのメールドメインではなくIssuer URIを使用して、構成されたSAML IdPに認証リクエストを送信する
  3. ゲストはホームIdPで認証を行う
  4. Entra IDはIdPとの信頼関係に基づいてSAMLアサーションを受け入れる。ユーザーのメールドメインに関わらず有効
  5. ゲストアカウントがテナントに作成され、AVDホストプールやアプリグループに割り当て可能になる

信頼はSAMLアサーションとIssuerに置かれ、メールサフィックスには置かれません。これは外部ID管理をはるかに柔軟にする根本的な転換です。

重要な制約

Entraテナントごとに構成できるドメインレス（ワイルドカード）IdPは1つのみです。複数の外部IdPでドメインレスルーティングをサポートする必要がある場合は、フェデレーショントポロジを慎重に計画する必要があります。フェデレーションブローカーやアイデンティティハブパターンの使用が考えられます。

AVDにとっての意味

Azure Virtual Desktopの観点から見ると、このアップデートにより次のことが可能になります：

  • 外部IDへのデスクトップおよびRemoteAppsの提供 — SAML IdPに構成されたドメインとは異なるメールドメインを持つユーザーでもアクセス可能
  • メールによるゲストユーザーの招待 — ドメインがフェデレーション設定と一致するかどうかを気にする必要なし
  • 既存のAVD割り当てメカニズムの使用 — ドメインレス外部IDのための特別なプロビジョニングフローは不要
  • Entra SSOの活用 — ドメインレスSAML IdP経由で認証された外部IDは、AVDがサインイン時に受け入れるEntraトークンを受け取る

AVDはドメインレスフェデレーションのために特別な構成を必要としません。Entra認証を消費し、ディレクトリに登録されたゲストIDを他のEntraユーザーと同様に扱います。

設定方法

構成はすべてMicrosoft Entra IDで行われます。AVDはその結果を消費するだけです。

ステップ1：Entra IDでドメインレスSAML IdPを構成する

  1. External Identity Provider Administrator以上の権限でMicrosoft Entra管理センターにサインインする
  2. Identity > External Identities > All identity providersに移動する
  3. Add SAML/WS-Fed identity providerを選択する
  4. 必要な設定を入力する：
    • Display name — パートナーIdPの分かりやすい名前
    • Issuer URI — SAML IdPの一意の発行者識別子（ルーティングの基準となるもの）
    • Metadata URL or file — SAMLエンドポイントと署名証明書のインポート用
  5. Domainlessを有効にする — IdP構成のDomainlessフィールドにチェックを入れる
  6. 構成を保存する

ステップ2：外部ユーザーを招待する

  1. Identity > Users > All usersに移動する
  2. + New user > Invite external userを選択する
  3. ゲストユーザーのメールアドレスを入力する — ドメインの制限は適用されない
  4. 表示名、グループ、ロール、アクセスパッケージなどを必要に応じて構成する
  5. 招待を送信する

ゲストが招待を利用すると、Entra IDはIssuer URIを使用してドメインレスSAML IdPにサインインをルーティングします。ゲストはホームIdPで認証を行い、その後テナントにゲストとして作成されます。

ステップ3：ユーザーをAVDリソースに割り当てる

  1. AzureポータルでAVDホストプールおよびアプリグループの構成に移動する
  2. EntraゲストユーザーまたはグループをDesktop application groupsまたはRemoteApp groupsに割り当てる
  3. 外部ユーザーはWindows AppまたはサポートされているRemote Desktopクライアントを使用してAVDにサインインできるようになる

ステップ4：ガバナンスとConditional Accessを適用する

  • Entra Governance（アクセスパッケージ、ライフサイクルポリシー）を使用してゲストライフサイクルを管理する
  • 外部ユーザーをカバーするConditional Accessポリシーを適用する（MFA、デバイスコンプライアンス、リスクベースアクセス）
  • Entitlement Managementを検討し、ガバナンスされたワークフローを通じて外部ユーザーがアクセスを要求できるようにする

ユースケース

パートナーおよび契約業者アクセス

最も即効性のあるユースケースです。外部パートナー、サプライヤー、契約業者と協業する組織は、ユーザーに特定のメールドメインを要求することなくAVDアクセスを提供できるようになります。パートナーのSAML IdPとのドメインレスフェデレーションを1つ構成し、メールでユーザーを招待するだけです。

合併と買収

M&A移行期間中、買収された企業の従業員はドメイン移行が完了する前に親組織のAVD環境にアクセスする必要があることがよくあります。ドメインレスフェデレーションはこのギャップを埋めます。買収された企業のIdPをドメインレスIdPとして構成すれば、ユーザーは既存の認証情報でAVDにアクセスできます。

マルチブランド組織

異なるメールドメインを使用しながら共有のIDインフラを持つ複数ブランドを運営する組織は、単一のドメインレスIdPを使用して、各ドメインを個別に構成することなくすべてのブランドにAVDアクセスを提供できます。

BYODとクロス組織の労働力

ドメインレスフェデレーションとEntra Conditional Accessおよびデバイスコンプライアンスポリシーを組み合わせることで、外部の管理デバイスや個人デバイスのユーザーに制御されたAVDアクセスを提供できます。サーバー側のポリシー適用により、クライアント側の制御に依存せずにセキュリティを確保できます。

セキュリティ上の考慮事項

ドメインレスフェデレーションはドメイン一致の要件を取り除きますが、セキュリティ責任を取り除くものではありません：

  • IdPを信頼する、ドメインではない — セキュリティの境界はドメイン検証ではなく、SAML IdPの信頼関係になります。フェデレーション先のIdPを確実に信頼してください。
  • テナントあたり1つのドメインレスIdP — これは制約であると同時にガードレールでもあります。どのIdPをドメインレスとして構成するか慎重に決定してください。
  • Conditional Accessが重要 — 外部IDがAVDにアクセスするため、CAポリシーがゲストユーザーをカバーしていることを確認してください。MFAの要求、サインインリスクの評価、適切なデバイスコンプライアンスの適用を行ってください。
  • ガバナンスとライフサイクル — Entra Governanceを使用してゲストライフサイクルを管理してください。外部ユーザーがレビューなしに無期限に存在すべきではありません。
  • 監査と監視 — 外部IDの認証に関するサインインログを監視してください。フェデレーション先IdPからの異常なパターンに注意してください。

より広いAVD IDストーリーにおける位置づけ

MicrosoftはAzure Virtual DesktopのIDサポートを段階的に拡張し続けています：

  • 2025年9月： FSLogixなしの外部IDサポート（プレビュー）
  • 2025年11月： 外部IDサポートがGAに到達、FSLogixプロファイルコンテナがプレビューで提供開始
  • 2026年5月： クラウド専用IDと外部IDのFSLogixサポートがGAに到達
  • 2026年6月： ドメインレスフェデレーションサポートが追加され、最後のドメイン一致の壁が取り除かれた

Entra SSO、Conditional Access、外部ID向けFSLogixプロファイルコンテナなどの既存機能と組み合わせることで、AVDは包括的な外部IDストーリーを備えることになりました。組織はガバナンスとセキュリティ管理を維持しながら、組織外のユーザーに仮想デスクトップやアプリケーションを安全に提供できます。

今すぐやるべきこと

  1. 外部IDシナリオを特定する — 外部ユーザーがAVDアクセスを必要とする箇所を洗い出し、ドメインレスフェデレーションが現在のセットアップを簡素化できるかを評価する
  2. SAML IdPランドスケープを評価する — テナントのドメインレスIdPとしてどの外部IdPを構成すべきかを決定する
  3. ガバナンス戦略を計画する — 機能を有効にする前に、アクセスパッケージ、ライフサイクルポリシー、Conditional Accessルールを外部ユーザー向けに定義する
  4. パートナーとパイロットを実施する — 1つの外部組織に対してドメインレスフェデレーションを構成し、限定的なユーザーセットを招待してエンドツーエンドのAVDアクセスを検証する
  5. ドキュメントを更新する — 外部ユーザーオンボーディングの手順がある場合は、新しいドメインレスオプションを反映して更新する

まとめ

Azure Virtual DesktopにおけるDomainless SAML IdPフェデレーションサポートは、B2Bコラボレーションシナリオを制限していた現実的な障害を取り除きます。認証ルーティングをメールドメインマッチングから切り離すことで、Microsoftはパートナー、契約業者、買収した労働力にAVDアクセスを提供することを大幅に容易にしました。

構成はシンプルです。Entra IDでIdPをセットアップし、メールでユーザーを招待し、AVDリソースに割り当てるだけです。本当に重要な作業はガバナンスにあります。仮想デスクトップ環境にアクセスする外部IDに対して、適切なConditional Accessポリシー、ライフサイクル管理、監視を確実に整えることです。

すでにAVDで外部IDを使用している場合は、できることの範囲が広がります。ドメインマッチングの複雑さのために外部IDシナリオを避けていた場合は、その障害が取り除かれました。

Kevin KaminskiはAIとクラウドテクノロジーに特化したMicrosoftパートナー、Big Hat Group Inc.のオーナーです。Azure Virtual Desktopに関するより多くのインサイトはhttps://x.com/kkaminskでフォローしてください。