AVD最新情報：Azure Virtual Desktop の表示保護

Microsoft はクラウド配信 Windows のセキュリティ水準を引き上げ続けており、2026年9月の Azure Virtual Desktop 更新で新たな重要なレイヤーが加わりました。Azure Virtual Desktop の表示保護がパブリックプレビューに登場したのです。画面キャプチャ保護がスクリーンショットを止めるのに対し、表示保護は表示パスそのものを暗号化します——これはスクリーンスクレイパーやレコーダーといったエンドポイント常駐型の脅威に真正面から対抗する、多層防御の一歩です。

新機能：表示保護（パブリックプレビュー）

Microsoft が2026年9月に Azure Virtual Desktop の「新機能」ページで発表した内容は簡潔です。

Azure Virtual Desktop の表示保護がパブリックプレビューになりました。表示保護は、セッションホストとサポート対象エンドポイントデバイス間の表示パスを保護することで、リモートセッション中に表示される機密コンテンツの保護に役立ちます。管理者は Azure ポータルでホストプールごとに必要な表示保護レベルを構成できます。

表示保護は、Microsoft が Windows 365 と AVD で展開している**入出力保護（Input and Output Protection）**ファミリーの一部です。出力側は2026年9月に Windows 365 クラウド PC 向けに一般提供（GA）に達しており、今回の発表は同じ表示パス保護を Azure Virtual Desktop セッションホストにプレビューとして導入するものです。入力側——キーロガーからキーボード入力を守る Windows Cloud 入力保護——は、引き続き独立して構成される別コンポーネントです。

表示保護の仕組み

中核となる考え方はシンプルかつ強力です。クライアントにキャプチャ阻止を「お願いする」のではなく、表示ストリームをエンドツーエンドで暗号化し、キャプチャしても役に立つものが何も出てこないようにします。

• 保護された表示レンダリング——表示ストリームはセッションホストから出る前に暗号化され、エンドポイントデバイス上の信頼された保護パス内でのみ復号・描画されます。
• ハードウェア優先の復号——互換性のある GPU（独立型・内蔵型とも）がある場合、復号は GPU 内部で行われます。それ以外の場合は、保護されたソフトウェアベースのレンダリングにフォールバックします。
• 信頼されたエンドポイント要件——必要な保護レベルを満たすサポート対象の Windows App クライアントだけが保護セッションを開けます。
• 構成可能な保護レベル——組織はソフトウェアまたはハードウェアベースの保護を要求でき、接続ディスプレイへの HDCP 適用も選択できます。
• セッション固有——保護は表示中のリモートセッションにのみ適用され、セッションホスト自体の動作は変わりません。

暗号化されたコンテンツは信頼されたパスでのみ描画されるため、エンドポイント上で動作する悪意あるソフトウェア——スクリーンスクレイパー、録画ツール、マルウェア——はリモートセッションの利用可能なフレームをキャプチャできません。

表示保護と画面キャプチャ保護の違い

これまで AVD セキュリティを追いかけてきた方なら、画面キャプチャ保護（SCP）をすでに導入しているかもしれません。両者は関連しつつ異なる問題を解決するため、正確に区別しておきましょう。

要するに、SCP はクライアントが守るポリシーであり、表示保護はエンドポイント側に能力が求められる保護チャネルです。両者はうまく補完します。表示パスは表示保護、より広いクライアント網は SCP、画面の撮影抑止はウォーターマークが担います。

保護レベル

表示保護には3つの状態があり、ホストプールに設定する RDP プロパティ値に対応します。

AVD で表示保護を有効にする

Azure Virtual Desktop では、ホストプールレベルの RDP プロパティで構成します。

1. Azure ポータルで対象のホストプールを開きます。
2. RDP プロパティ → 詳細タブに移動します。
3. 次の RDP プロパティを追加します。enableWindowsCloudIODisplayProtection:i:<値>
   • 0 — 未構成
   • 1 — ハードウェアまたはソフトウェアによる強制
   • 2 — ハードウェア強制必須

このプロパティにより、エンドポイントで表示保護が強制されていることをサーバー側で検証できます。

参考までに、Windows 365 管理者は Microsoft Intune（デバイス → Windows 365 クラウド PC の管理 → クラウド PC 設定 → IO 保護 → 表示保護）で同等の設定を行います。

知っておくと便利な運用上の詳細：この設定は接続（RDP）プロパティを通じてエンドポイントに配信され、デバイスにキャッシュされます。構成を変更した場合、ユーザーが Windows App で最新の情報に更新を選択すると即座に反映されますが、それ以外では最大 8 時間かかることがあります。有効化直後に接続が予期せずブロックされた場合は、サポート案件を起こす前に更新を試してください。

前提条件とサポートされるエンドポイント

表示保護は、保護セッションに接続できるエンドポイントを意図的に厳しく制限しています。次の要件を計画に織り込みましょう。

• セッションホスト：サポート対象の Windows クライアント OS または Windows Server を実行する AVD セッションホスト。
• クライアント：Windows 版 Windows App バージョン 2.0.1236.0 以降（Microsoft Store から更新）。
• エンドポイントデバイス：物理 Windows 11 デバイス。仮想マシンをエンドポイントとして使用することはできません。
• ディスプレイ：保護セッションは、エンドポイントの内蔵 GPU が駆動するディスプレイ（HDMI、DisplayPort、USB-C DisplayPort Alt モード）に接続します。DisplayLink や USB グラフィックスアダプターは非サポートです。保護された表示パスがなく、通常 HDCP にも対応していないためです。
• 解像度：保護セッションは最大 4K（3840 × 2160） に対応します。それ以上の解像度はサポートされません。
• 非対応クライアント：VM、macOS、iOS、Android、Web ブラウザー、Windows 365 Link デバイス。

非対応クライアントは保護セッションを開けないため、表示保護は実際にプレビュー検証に含めたいホストプールでのみ有効にしてください。テナント全体に一律で有効化すると、ユーザーがセッションにログインできなくなる恐れがあります。

エラーコードとトラブルシューティング

表示保護を確立できない場合、接続はブロックされ、ユーザーにエラーが表示されます。覚えておくべき3つのコードです。

ここにないコードが発生した場合は、アクティビティ ID とタイムスタンプを記録して Microsoft サポートに連絡してください。

保護の検証と監視

パイロット環境で機能を検証する手順です。

1. 物理 Windows 11 エンドポイントから Windows App（2.0.1236.0 以降）を開きます。
2. 表示保護が有効なセッションホストに接続します——エラーなく接続が成功するはずです。
3. セッション中にスクリーンショットツールで画面をキャプチャしてみます——リモートコンテンツはブロックされるか空白になるはずです。

テナント全体の可視性を得るには、クラウド PC モニタリング（プレビュー）の接続の正常性ページで DisplayProtectionState 接続イベントを確認します。保護セッションが意図したレベルで実際に確立されているかを確認できます。

これは AVD セキュリティ戦略にとって何を意味するか

表示保護は、Microsoft のクラウドデスクトップセキュリティの方向性を示しています。クライアント側ポリシーでキャプチャを思いとどまらせる段階から、暗号化された信頼済みレンダリングパスで防止する段階への移行です。金融、医療、法務、政府系請負業者など規制産業の組織にとっては、特に在宅勤務や管理された社用デバイスを使い、データ流出リスクが最も高い従業員にとって、これは実質的なアップグレードです。

実践的な推奨事項をいくつか挙げます。

1. まず単一のホストプールでパイロットを実施し、少人数のユーザーグループで検証してから本格展開します。
2. エンドポイントの準備状況を先に監査します——フリートが物理 Windows 11 ハードウェアで、HDCP 対応ディスプレイと最新の Windows App を備えているか確認しましょう。古いドッキングステーションや USB ディスプレイアダプターは HDCP 要件を満たせません。
3. 置き換えではなくレイヤリング——macOS、Web、モバイルなど広範なクライアント網には画面キャプチャ保護とウォーターマークを残しつつ、主要な Windows エンドポイントパスは表示保護で強化します。
4. 解像度の上限に注意——ウルトラワイドやマルチ 4K 構成を使うユーザーの場合、保護セッションは 4K 上限となり、DisplayLink 接続モニターでは描画されません。
5. エラーコードを文書化——0x110、0x204/0x11f5、0x204/0x11f6 はそれぞれ対処法が異なります。短いトラブルシューティングメモでヘルプデスクの時間を大幅に節約できます。

今後の見通し

AVD の表示保護はパブリックプレビューであり、Microsoft が実環境の展開で機能を検証してから一般提供に進むことを意味します。Windows 365 の出力保護側が今月 GA に達したことを踏まえると、AVD も年内に GA となる可能性は十分あります。ただし、プレビュー機能を本番環境の保証として扱うべきではありません。パイロットホストプールでテストし、障害モードを試し、Windows 365/Azure Virtual Desktop のフィードバックチャネルを通じて Microsoft に意見を届けましょう。

明確になったことが一つあります。エンドポイントを「信頼できる」とみなしてリモートセッションを扱う時代は終わりつつあります。表示保護は、モダンな EUC セキュリティスタックが、ID、デバイスの健全性、そして画面に映るピクセルの完全性のすべてに関わるものであることを、改めて思い出させてくれます。

Azure Virtual Desktop の最新情報を継続的にカバーしています。AVD 最新情報シリーズ をフォローし、X（https://x.com/kkaminsk）でもご連絡ください。