Microsoft が 2026 年 7 月にリリースした Azure Virtual Desktop のアップデートでは、Android クライアント体験に 2 つの重要な拡張が加えられました。いずれもモバイル／BYOD シナリオを対象としており、AVD がこれまでデスクトップクライアントに比べて最もギャップが大きかった領域です。
Android 向け外部 ID サポートが一般提供（GA）に達し、さらに新しいプレビュー機能として、プラットフォーム初となるセッション内パスワードレス認証が導入されました。これらのアップデートは、モバイルユーザーに仮想デスクトップを提供する組織にとって、重要な ID およびセキュリティ上のギャップを埋めるものとなります。
Android 外部 ID サポート — 一般提供開始
Android 版 Windows App において、外部 ID サポートが一般提供となりました。これにより、外部ユーザー（B2B ゲストアカウント、契約社員、パートナーなど）は、自身の Entra ID ゲスト ID を使用して Android デバイスから AVD デスクトップおよび RemoteApp にアクセスできるようになります。
なぜ重要か
Microsoft は AVD クライアントプラットフォーム全体で、外部 ID サポートを計画的に拡大してきました。
- 2025 年 11 月: Windows 版 Windows App 向け AVD サービスにおける外部 ID サポートが GA に
- 2026 年 4 月: macOS および Android でプレビュー開始
- 2026 年 5 月: Azure Government 向け Windows 版 Windows App で GA、外部 ID 向け FSLogix プロファイルサポートが GA に
- 2026 年 7 月: Android 版 Windows App で GA
今回のアップデートにより、外部 ID 対応は主要モバイルプラットフォーム（Android は GA、macOS はプレビュー中）と Windows の両方で本番環境に対応できる状態になりました。5 月の FSLogix GA と組み合わせることで、外部ユーザーはプールされたホストプール上で永続的なプロファイルを持つことが可能になり、Android スマートフォンから接続する契約社員も、Windows ノートパソコンを使用する社内従業員と同等のデスクトップ体験を得られるようになります。
動作の仕組み
管理フローは変更されていません。内部ユーザーと同様に、外部ユーザーをアプリグループに割り当てます。違いは、外部ユーザーの ID（Entra テナント内の B2B ゲストアカウント）が、Android 版 Windows App から接続する際に完全にサポートされるという点です。
重要なポイント：
- 標準の AVD ライセンス以外に追加ライセンスは不要
- 外部ユーザーはサインイン前に組織からの招待を承諾する必要あり
- FSLogix プロファイルコンテナはプールされたホストプール上の外部 ID で動作（2026 年 5 月より GA）
- Android 版 Windows App は従来の Remote Desktop クライアントを置き換え
導入前に確認すべきこと
Android デバイスからの外部 ID アクセスを有効化する予定がある場合は、以下を確認してください。
- Conditional Access ポリシーを確認 — 外部 ID と Android プラットフォームが考慮されていることを確認
- FSLogix 構成を確認 — 外部ユーザーにプロファイルの永続性が必要な場合、Azure Files が Entra Kerberos で構成され、ストレージアカウントアプリが MFA を要求する CA ポリシーから除外されていることを確認（最も一般的な設定ミス）
- アプリグループの割り当てを見直し — 外部ユーザーには内部ユーザーと同じアプリグループの割り当てが必要
- クライアントバージョン — ユーザーが最新の Android 版 Windows App（バージョン 11.0.0.94 以降）を使用していることを確認
Android セッション内パスワードレス認証 — プレビュー
外部 ID の GA と同時に、Microsoft は Android 版 Windows App 向けにセッション内パスワードレス認証のプレビューをリリースしました。この機能により、ユーザーは Android デバイスに保存されたパスキーを使用して、リモートセッション内で WebAuthn チャレンジを完了できるようになります。
解決される課題
ユーザーが AVD セッションに接続中に、そのセッション内で認証チャレンジに直面した場合 — たとえば、MFA を必要とする Microsoft Entra 保護リソースにアクセスする場合 — モバイルでは従来の選択肢が限られていました。Windows では 2022 年から WebAuthn リダイレクトが利用可能で、リモートセッション内のチャレンジがローカル PC にリダイレクトされ、Windows Hello for Business や FIDO キーが認証を完了します。
この機能が Android にも登場しました。リモートセッション内で WebAuthn チャレンジが発生すると、それが Android デバイスにリダイレクトされ、ユーザーはソフトウェアベースのパスキー（通常は Microsoft Authenticator に保存）を使用して認証を完了できます。
動作の仕組み
Windows と同じメカニズム、すなわち WebAuthn リダイレクトです。redirectwebauthn RDP プロパティ（デフォルトで有効）により、リモートセッション内の WebAuthn 要求をローカルデバイスにリダイレクトするかどうかが制御されます。チャレンジがリダイレクトされると、ローカルデバイスのパスキープロバイダーがそれを処理します。
現在の制限事項
これはプレビュー機能であり、いくつかの重要な制約があります。
- ローカル Android デバイス上のソフトウェアベースのパスキーのみサポート — Microsoft Authenticator または類似のソフトウェアパスキープロバイダーに保存されたパスキーが使用可能
- 物理セキュリティキー非対応 — FIDO USB キーなどのハードウェアトークンはサポートされていません
- クロスデバイス認証非対応 — QR コードをスキャンして別のデバイスのパスキーを使用することはできません
- プレビュー段階 — 十分なテストなしに本番環境の重要なワークフローで使用することは推奨されません
構成方法
WebAuthn リダイレクトはホストプールレベルで制御します。
Azure ポータル経由：
- ホストプール → RDP プロパティ → デバイスリダイレクション に移動
- 「WebAuthn リダイレクション」を「リモートセッション内の WebAuthn 要求をローカルコンピューターにリダイレクトする」（デフォルト）に設定
Intune 経由：
- Windows 10 以降のデバイス用構成プロファイルを作成
- 管理用テンプレート → Windows コンポーネント → リモートデスクトップサービス → リモートデスクトップセッションホスト → デバイスとリソースのリダイレクション に移動
- 「WebAuthn リダイレクションを許可しない」を「無効」に設定
グループポリシー経由：
- コンピューターの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → リモートデスクトップサービス → リモートデスクトップセッションホスト → デバイスとリソースのリダイレクション に移動
- 「WebAuthn リダイレクションを許可しない」を「無効」または「未構成」に設定
大局的な視点：モバイル AVD の成熟
これらの 2 つのアップデートは、7 月上旬に GA となった RDP Multipath TCP と合わせて、Android AVD 体験の大幅な成熟を意味しています。現在実現可能なことを考えてみましょう。
- 外部ユーザーは Android デバイスから完全な ID サポート付きで接続可能（GA）
- パスワードレス認証が Android 上のパスキーによりセッション内で動作（プレビュー）
- セッションの復元力が RDP Multipath TCP フェイルオーバーにより向上（GA）
BYOD ポリシーを導入している組織や契約社員の多い職場では、Android クライアントはノートパソコンが使えないときの単なる代替手段ではなく、実用的なプライマリアクセス手段となりました。
推奨事項
- まずは Android 上の外部 ID から始める — GA 済みで本番環境に対応しており、管理フローは Windows クライアントで既に行っている内容と同一
- パスワードレス認証をパイロット導入する — WebAuthn リダイレクトを有効にしたテスト用ホストプールを設定し、Android ユーザーが Microsoft Authenticator のパスキーでテスト
- Conditional Access ポリシーを更新する — CA ポリシーが内部 ID と外部 ID の両方について Android をプラットフォームとして考慮していることを確認
- Windows App への移行を周知する — Android 上の従来の Remote Desktop クライアントは Windows App に置き換えられています。ユーザーに更新を促しましょう
引き続き不足している点
- macOS の外部 ID サポートはまだプレビュー段階（GA 未達成）
- Android のセッション内パスワードレス認証はハードウェアセキュリティキーをサポートしていない
- iOS/iPadOS での同様のセッション内パスワードレスサポートに関する発表はまだない
まとめ
Microsoft は引き続き、デスクトップとモバイルの AVD 体験の差を縮めています。Android 外部 ID の GA により、契約社員やパートナーに対し、本番環境対応のモバイルデバイス向け仮想デスクトップアクセスを提供することが可能になりました。パスワードレスのプレビューはソフトウェアパスキーに限定されているものの、モバイル AVD ユーザーがセッション接続時およびセッション内の認証チャレンジの両方でパスワード不要で認証できる未来を示しています。
BYOD 中心の環境では、これらのアップデートは今すぐ行動に移す価値があります。外部 ID の GA は本番環境で使用可能であり、パスワードレスプレビューは時代の先を行くためにパイロット導入を検討する価値があります。
AVD および Azure の最新情報については、X（Twitter）で Kevin Kaminski をフォローしてください：https://x.com/kkaminsk