UAM:サービスアカウント

Nerdio Product Support

2026年08月14日 19:07

Nerdio Manager

デフォルトの資格情報管理プロセス - ローカルアカウント（

デフォルトでは、 Nerdio Manager

アプリケーション展開タスクが発生すると、サービスアカウントは次のようになります：

有効。
パスワードがローテーションされます。
インストールタスクを実行するためにローカル管理者グループに追加されます。

タスクが完了すると、サービスアカウントは次のようになります：

無効
ローカル管理者グループから削除されます。
パスワードがローテーションされます。

サービスアカウントの資格情報はどの場所にも格納されず、使用前に更新されます。

資格情報マネージャーサービスアカウント（

v6.5以前は、 Nerdio Manager

作成時、資格情報にはランダム生成された30文字のパスワードが割り当てられ、そのうち10個は特殊文字です。パスワードはデスクトップごとにユニークであり、資格情報が環境内の他のデスクトップにアクセスするために使用されることはありません。

これらの資格情報は、インストール、更新、削除といったアクションが割り当てられたとき、資格情報マネージャーからデスクトップ上で直接呼び出されます。これらの資格情報はターゲットデスクトップ上に残り、アプリ管理用のスクリプトには含まれません。

Active Directory サービスアカウント

警告

ほとんどの場合、お客様が作成するActive Directoryサービスアカウントは必要ありません。この件についてさらにご相談がある場合は、Nerdio Supportまでご連絡ください。

稀な状況では、最適な動作のために、統合アプリケーション管理はWingetのインストールおよびアンインストールの操作を行うため、ドメインサービスアカウントを必要とします。このサービスアカウントは、アプリを管理する各デスクトップ上でローカル管理者権限を持っている必要があります。加えて、このサービスアカウントは多要素認証が無効になっている必要があります。

本書では、Active Directory (AD)、Entra Domain Services、およびハイブリッド参加シナリオにおいて、サービスアカウントの作成と権限の割り当てに関するガイダンスを提供します。アクセスを一連の事前定義されたネットワークに制限するAzure条件付きアクセスポリシーも割り当てることをお勧めします。

注記

注意: これらのタスクを実行するには、Active Directoryドメイン管理者の権限が必要です。

組織単位（OU）を構成してください。

Active Directoryユーザーとコンピュータ（ADUC）コンソール内で、Azure Virtual Desktop（AVD）セッションホストが専用のAVD組織単位（OU）内に含まれていることを確認してください。AVDデスクトップが現在広範な環境と混在している場合は、入れ子にするOUを作成し、AVDデスクトップをこの場所に移動する必要があります。これにより、既存のグループポリシーを適用できるだけでなく、新しいポリシーをAVDデスクトップを対象として適用することも可能になります。AVDデスクトップが複数の専用OUに分散している場合は、この文書で説明されているすべてのポリシーをすべてのAVD OUに適用してください。
ADUCコンソール内で、サービスアカウント用の専用OUが存在することを確認してください。これにより、サービスアカウントへのインタラクティブログオンを拒否する新しいポリシーを適用することができます。

注記

注意: この制限は、サービスアカウントのグループにも適用できます。既に環境内に存在する場合は、新しいサービスアカウントをグループに追加し、既存のポリシーをAVDデスクトップのOUに適用してください。

アプリケーション管理のためのサービスアカウントを作成してください。

サービスアカウント専用のOU内に、新しいユーザーアカウントを作成し、社内の命名規則に従ってください。非常に複雑なパスワードを指定し、「パスワードの有効期限が切れない」を唯一の作成オプションとして有効にしてください。アカウントとパスワードのペアを企業のキー管理システムに記録してください。

ローカル管理者ポリシーを作成してください。

最初に作成するポリシーは、AVDデスクトップ上のサービスアカウントにローカル管理権限を付与するものです。

ローカル管理者ポリシーを作成するには：

ドメイングループポリシー管理コンソールを開いてください。
グループポリシーオブジェクトを右クリックし、新規を選択してください。
企業の命名規則に従った適切な名前を入力してください。私たちはCOMP_ManageAVDLocalAdministratorを使用します。
作成後、右クリックして編集を選択してください。
コンピュータの構成 > 設定 > コントロールパネルの設定 > ローカルユーザーとグループに移動してください。
中央のセクション内で、右クリックして新規 > ローカルグループを選択してください。
ポップアップ内に次の情報を入力してください：
- アクション更新に設定します。
- グループ名「...」を選択し、管理者（組み込み）を選択します。
必要な情報をすべて入力したら、追加を選択し、その後OKを選択してください。

最初のポリシーが作成されました。
グループポリシーのメインページに戻ります。
AVDデスクトップオブジェクトがあるAVD OUコンテナに移動します。
このOUを右クリックし、既存のGPOをリンク…を選択します。
上記で作成したポリシーを選択し、OKをクリックします。

最初のポリシーがリンクされました。

「ローカルログオンを拒否する」ポリシーを作成します。

このポリシーは、サービスアカウントがデスクトップに直接ログオンするのを防ぎます。これはオプションですが、お勧めの手順です。

ポリシーを作成する手順は、前の手順と似ています。

ドメイングループポリシー管理コンソールを開いてください。グループポリシーオブジェクトを右クリックし、新規を選択します。企業の命名規則に従った適切な名前を入力してください。COMP_DenyAppServiceAccountInteractiveLogonを使用します。
グループポリシーオブジェクトを右クリックし、新規を選択します。
企業の命名規則に従った適切な名前を入力してください。COMP_DenyAppServiceAccountInteractiveLogonを使用します。
作成後、右クリックして編集を選択してください。
コンピュータの構成 > Windows設定 > セキュリティ設定 > ローカルポリシー > ユーザー権利の割り当てに移動します。
リモートデスクトップサービスを通じてログオンを拒否するおよびローカルでのログオンを拒否するの設定を編集します。両方のインスタンスに新しく作成したサービスアカウントを指定します。
開いているポリシーウィンドウを閉じ、グループポリシー管理コンソールのメインページに戻ります。
グループポリシーのメインページに戻り、AVDデスクトップオブジェクトがあるAVD OUコンテナに移動します。このOUを右クリックし、既存のGPOをリンク…を選択します。上記で作成したポリシーを選択し、OKをクリックします。2番目のポリシーがリンクされました。
AVDデスクトップオブジェクトがあるAVD OUコンテナに移動します。
このOUを右クリックし、既存のGPOをリンク…を選択します。
上記で作成したポリシーを選択し、OKをクリックします。

2番目のポリシーがリンクされました。