これは、Microsoft が Kerberos による Entra ID を完全にサポートするまでの回避策です。Azure Blob Storage の代わりに Azure Files Premium を使用すると、より高速なパフォーマンスが得られ、 Nerdio Manager
詳細については、Microsoft Entra ID を使用して Azure Files に FSLogix プロファイルコンテナーを保存する方法を参照してください。
注記
注: Microsoft は、Azure Files のネイティブなクラウド専用認証をサポートするパブリックプレビューを 2025 年 11 月頃にリリースしました。詳細については、Microsoft Entra ID を使用して Azure Files に FSLogix プロファイルコンテナーを保存する方法を参照してください。Nerdio では、今後のリリースでこの新しい方法をネイティブに実装する作業を進めています。
警告
警告: Azure Virtual Desktop では、セッションホストで Windows 11 22H2 以降を実行している場合、セッションホストが停止 (割り当て解除) されるたびに、Windows Defender Credential Guard によって Windows Credential Manager から StorageAccountKey が自動的に削除されます。これを防ぐには、Credential Guard を無効にする必要があります。詳細については、「Credential Guard を無効にする」を参照してください。
この方法では、次の手順を実行します。
-
ステップ 3:必要な Azure リソースを作成するには:
-
ステップ 3:ストレージアカウントキーをコピーするには:
-
ステップ 3:ステップ 3: セキュア変数を使用してスクリプト化されたアクションを作成する
-
ステップ 3:ステップ 4: ホストプールプロファイルに対して FSLogix プロファイルを構成する
-
ステップ 3:Scripted Actions を構成する
-
ステップ 3:ホストプールを再イメージ化する
最初のステップは、必要な Azure リソースを作成することです。これには、ストレージアカウントとストレージアカウント内のファイル共有が含まれます。
必要な Azure リソースを作成するには:
-
Nerdio Manager で、Cloud Desktops > Storage > Azure Files にナビゲートします。
-
Azure Files の追加を選択します。
-
新しいダイアログボックスで、次の情報を入力します:
-
ストレージアカウントストレージアカウント: 新しいストレージアカウントの名前を入力し、フィールドの下で [[アカウント名] を新しいストレージアカウントとして作成する] を選択します。
注記
-
ストレージアカウント名は Azure リージョン全体でグローバルに一意である必要があります。
-
24 文字以内で、数字と小文字のみを使用できます。特殊文字やスペースは使用できません。
-
-
ストレージアカウントの説明ストレージアカウントの意味のある説明を入力します。
-
リソースグループ: リソースグループ: ドロップダウンリストから、新しく作成されたストレージアカウントとファイル共有のリソースグループを選択します。
-
場所リージョン: このストレージアカウントとファイル共有を作成する Azure リージョンを選択します。
注記
注: AVD ホストプールの場合、リージョンは AVD セッションホスト VM と同じでなければなりません。
-
パフォーマンスパフォーマンス: ドロップダウンリストから Azure Files 共有のパフォーマンス階層を選択します。
ヒント
ヒント: 最適なユーザーエクスペリエンスを得るには、Premium を選択することをお勧めします。この設定は、ストレージアカウントの作成後には変更できないことに注意してください。
-
レプリケーションドロップダウンリストからストレージレプリケーションのタイプを選択します。LRS は事前に定義されています。
注記
-
LRS (ローカル冗長ストレージ):プライマリリージョン内の単一の物理的な場所にデータを同期的に 3 回コピーします。LRS は最も安価なレプリケーションオプションですが、高可用性や耐久性が必要な環境には推奨されません。サーバーラックやドライブの障害に対する基本的な保護を最も低いコストで提供し、重要度の低いシナリオに推奨されます。
-
ZRS (ゾーン冗長ストレージ):プライマリリージョン内の 3 つの Azure 可用性ゾーンにデータを同期的にコピーします。データセンターレベルの障害に対する保護を提供し、高可用性シナリオに推奨されます。
-
-
ファイル共有名ストレージアカウントに作成するファイル共有の名前を入力します。
注記
-
同じストレージアカウント内に複数のファイル共有を作成できます。
-
ファイル共有名には、小文字、数字、ハイフンのみを使用できます。また、文字または数字で始まり、文字または数字で終わる必要があります。名前に連続する 2 つのハイフンを含めることはできません。
-
-
ファイル共有の説明ファイル共有の名前を定義します。
-
プロビジョニング容量 (GiB)プロビジョニングされた容量のサイズを入力します。100 GB を超えている必要があります。
注記
注: プロビジョニングされた容量は、Azure Files Premium 共有のコストとパフォーマンスを定義します。
-
ストレージアカウントの構成:
-
共有レベルアクセス許可ストレージアカウントの既定の共有レベルの権限を設定するには、このオプションを選択します。
-
SMB Share Contributor:認証されたすべてのユーザーに共有への読み取り/書き込みアクセスを許可するには、このオプションを選択します。
-
SMB Share Reader:SMB Share Reader: 認証されたすべてのユーザーに共有への読み取り専用アクセスを許可するには、このオプションを選択します (例: App Attach)。
-
-
AD または Entra ID に参加ファイル共有が AD または Entra ID に参加しないようにするには、このオプションの選択を解除します。
-
SMB Multichannel を有効にする:このオプションを選択すると、Azure Files Premium のパフォーマンスが向上します。
注記
注: Azure Files SMB Multichannel を使用すると、複数のネットワーク接続を利用してパフォーマンスを向上できます。複数の NIC にまたがる帯域幅の集約と、NIC の Receive Side Scaling (RSS) サポートによる I/O 負荷の複数 CPU への分散により、パフォーマンスが向上します。
-
-
ファイル共有の構成:
-
アクセス許可 (SMB Share Contributor)共有する上で、Storage File Data SMB Share Contributor 役割 をアサインするユーザー、グループ、セキュリティグループを指定します。
注記
-
これは、共有への読み取り/書き込みアクセスに必要です。
-
まだグループがプロビジョニングされていない場合、フィールドは未定義のままにできます。
-
-
ホストプールからユーザー/グループを追加するドロップダウンリストから 1 つ以上のホストプールと、これらのホストプールに現在アサインされているユーザー／グループを選択し、共有するために Storage File Data SMB Share Contributor 役割 をアサインします。
-
NTFS ファイルレベルの権限をアサインする:新しく作成したファイル共有に NTFS ファイルレベルの権限をアサインするには、このオプションを選択します。
注記
-
このオプションでは、アクセス許可の割り当てタスクを実行するための一時 VM が自動的に作成されます。
-
高度な設定で一時 VM の構成を変更できます。
新しい Azure Files 共有で使用されるデフォルトのファイル権限の詳細については、「Azure ファイル共有のディレクトリおよびファイルレベルのアクセス許可を構成する」を参照してください。
-
App Attachこのオプションを有効にして、共有内のサブディレクトリに認証済みユーザーの読み取りアクセス許可を付与します。App Attach アプリケーションを含む共有に推奨されます。
-
FSLogixこのオプションを有効にして、共有内のルートディレクトリに認証ユーザー変更アクセス許可を付与し、FSLogix プロファイルフォルダの作成を可能にします。FSLogix プロファイルを含む共有に推奨されます。
-
-
詳細設定を表示このセクションを展開して、以下の一時 VM 設定を定義します。
-
名前 名前: 一時 VM に使用する名前を入力します。
-
ネットワークネットワーク: ドロップダウンリストから、一時 VM を作成するネットワークを選択します。このネットワークと VM は、上記で選択したストレージ場所にアクセスできる必要があります。
-
デスクトップイメージ:ドロップダウンリストからディスクを選択してください。
-
VM サイズ:ドロップダウンリストから VM サイズを選択してください。
ヒント
ヒント: タスクをより早く完了させるために、より大きな VM を選択します。
-
OS ディスク一時 VM の OS ディスクを選択します。
ヒント
ヒント: より早いコンテナー作成プロセスのために、プレミアム SSD ディスクを選択します。
-
リソースグループ: ドロップダウンリストから、一時 VM のリソースグループを選択します。
-
-
タグを適用する : タグを適用: このセクションを展開し、新しいストレージアカウントと共有に適用するタグを指定してください。
-
タググループ必要に応じて、タググループをアサインしてください。
-
-
-
-
[OK] を選択します。
-
ストレージアカウント名 (ファイル共有名ではない) をコピーして、メモ帳に貼り付けてください。後でそれを Nerdio Manager
-
Azure Files 共有の UNC パスをコピーします。これは ステップ 4 で指定する必要があります。ステップ 4: ホストプールプロファイルに対して FSLogix プロファイルを構成する
-
Azure Files 共有名の横にあるコピー
-
コピーした UNC パスをメモ帳に貼り付けてください。
-
新しいストレージアカウントとそのストレージアカウント内の新しいファイル共有を作成したら、スクリプトに含める必要がある StorageAccountKey 値をコピーできます。
ストレージアカウントキーをコピーするには:
-
Azure ポータルで、[ストレージアカウント] に移動し、作成したストレージアカウントの名前を選択します。
-
左側のブレードの [セキュリティ + ネットワーキング] セクションで、[アクセスキー] を選択します。
-
[Key1] フィールドの下で、キーをコピーしてメモ帳に貼り付けます。
次のステップでは、Entra ID 参加済み Windows Credential Manager 用のスクリプト化されたアクションと、必要なセキュア変数を作成します。
Scripted Actionを作成するには:
-
Nerdio Manager で、Endpoints > Automation > Scripted Actions > Windows スクリプト に移動します。
-
新しいScripted Actionを選択します。
-
新しいダイアログボックスで、次の情報を入力します:
-
名前 名前: EntraIDWindowsCredentialManagerを入力します。
-
説明スクリプトの説明を入力します。
-
タグタグ: ドロップダウンリストからスクリプトのオプションタグを選択します。これらのタグは、検索と整理に使用されます。
-
スクリプト実行モードドロップダウンリストから、[個別 (再起動する)] を選択します。
-
スクリプトスクリプト: 次のスクリプトをフィールドに貼り付けます。
ヒント
#Variables
$storageAccount=$SecureVars.FSlgxStorageAccount
$user="localhost\$($storageAccount)"
$fileserver="$storageAccount.file.core.windows.net"
$secret=$SecureVars.FSLgxSecret
#Create the local credentials for the storage account
cmdkey.exe /add:$($fileServer) /user:$($user) /pass:$($secret)
# Check if the key exists
if (-not(Test-Path "HKLM:\Software\Policies\Microsoft\AzureADAccount")) {
# Create the key if it doesn't exist
New-Item -Path "HKLM:\Software\Policies\Microsoft\AzureADAccount" -Force
}
# Add or modify the property
New-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\AzureADAccount" -Name "LoadCredKeyFromProfile" -Value 1 -Type DWord -Force
#Disable Credential Guard
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LsaCfgFlags" -Value 0 -force
-
-
必要な情報をすべて入力したら、[保存して閉じる] を選択します。
必要なセキュア変数を追加するには:
-
System > Settings に移動します。
-
Nerdio エリアで、ストレージアカウント変数を作成します。
-
[セキュア変数]セクションを展開し、[セキュア変数を追加] を選択します。
-
新しいダイアログボックスで、次の情報を入力します:
-
名前 FSlgxStorageAccount を入力します。
-
値 (%)値: 以前にメモ帳に保存したストレージアカウント名を貼り付けます。
-
指定された Scripted Actions にのみ変数を渡すこの変数を指定した Scripted Actions にのみ渡すには、このオプションを選択します。
-
Scripted Actionsドロップダウンリストから、以前に作成した EntraIDWindowsCredentialManager スクリプトを選択します。
-
-
[OK] を選択します。
-
-
Nerdio エリアで、FSLogix シークレット変数を作成します。
-
[変数] セクションで、[セキュア変数を追加] を選択します。
-
新しいダイアログボックスで、次の情報を入力します:
-
名前 FSLgxSecret を入力します。
-
値 (%)値: 以前にメモ帳に保存したストレージアカウントキーを貼り付けます。
-
指定された Scripted Actions にのみ変数を渡すこの変数を指定した Scripted Actions にのみ渡すには、このオプションを選択します。
Scripted Actionsドロップダウンリストから、以前に作成した EntraIDWindowsCredentialManager スクリプトを選択します。
-
-
[OK] を選択します。
-
次のステップでは、ホストプールプロファイルの FSLogix 設定を構成します。
ホストプールプロファイルの FSLogix 設定を構成するには:
-
[設定] > [プロファイル管理] に移動します。
-
作業したいホストプールプロファイルの横にある鉛筆
-
[FSLogix プロファイル ストレージ構成] ダイアログボックスに、次の情報を入力します:
-
FSLogix プロファイルパス (VHDLocation)。以前に記録したファイル共有の UNC パス \\[[STORAGEACCOUNTFQDN]\[FILESHARE] を入力します。
注記
メモe: 例：\\aadjfsl (\\aadjstorage01.file.core.windows.net\aadjfsl
-
FSLogix レジストリオプション:
-
[名前で設定を検索] フィールドで AccessNetworkAsComputerObject を検索します。
-
[プロファイル設定] タブの [設定 ]列で、設定値を 1 に設定します。
-
-
-
[保存] を選択します。
注記
注: 構成したホストプールプロファイルが関連するホストプールに割り当てられていることを確認してください。詳細については、「ホストプールプロファイルの管理」を参照してください。
ホストプールプロファイルの FSLogix 設定を構成した後、個々のホストプールで実行するスクリプト化されたアクションを構成する必要があります。
ホストプールの スクリプト化されたアクション を設定するには:
-
作業したいホストプールを見つけます。
-
その他のオプション
-
Desktop Settings ダイアログボックスで、Endpoints > Automation > Scripted Actions エリアに移動します。
-
次の情報を入力してください：
-
ホスト VM が作成されたときに Scripted Actions を実行する および ホスト VM が開始されたときに Scripted Actions を実行する:これらのオプションを有効にします。
-
スクリプトのドロップダウンリストから [EntraIDWindowsCredentialManager] を選択します。
-
-
[保存] または [保存して閉じる] を選択します。
すべてのセッションホストに新しい設定を適用するには、ホストプールを再イメージ化する必要があります。再イメージ化により、すべての VM が更新後の構成で再構築されます。詳細については、「ホストプールのサイズ変更 / 再イメージ化」を参照してください。
コメント (0件のコメント)