Nerdio Managerは、Azure Files 共有テクノロジーを使用して、App Attach パッケージとその関連メタデータを格納します。既存のAzure Files ファイル共有を利用するか、Nerdio Managerで新しいファイル共有を作成することができます。
注記
設定する項目は、セッションホストの参加方法によって異なります。Entra ID 参加ホストと AD DS 参加ホストでは、要件が異なり、重複しません。お使いのホストに該当するセクションを確認してください。
App Attachは、以下のアイデンティティプロバイダーをサポートしています：
-
Microsoft Entra ID
-
Active Directory Domain Services（AD DS）
App Attach 自体の背景情報については、Microsoft の記事「Azure Virtual Desktop における App attach および MSIX app attach」を参照してください。
Entra ID 参加ホストは、App Attach アプリケーションを使用できます。唯一の要件は、App Attach イメージを保持するストレージアカウントに関するものです。
-
セッションホストと同じサブスクリプション内にある必要があります。
-
Reader and Data Access ロールの割り当てが必要で、そのメンバーには Azure Virtual Desktop および Windows Virtual Desktop ARM プロバイダー が含まれている必要があります。
ストレージアカウントで Entra ID ホストサポート を有効にすると、Nerdio Manager がその役割の割り当てを自動的に作成します。これは、新しい共有または既存の共有で実行できます。
注記
ストレージアカウントは、Active Directory 参加済み、Entra ID 参加済み、または未参加のいずれでも構いません。Entra ID 参加ホストの場合、共有レベルまたは NTFS のアクセス許可を構成する必要はありません。
既存の Azure Files ファイル共有で Entra ID ホストサポートを有効にするには、次の手順を実行します。
-
Cloud Desktops > Storage > Azure Files に移動します。
-
App Attach イメージを格納している Azure Files ファイル共有を探します。
-
共有のアクションメニューから、管理を選択します。
-
開いたウィザードで、ストレージアカウントタブに移動し、Entra ID ホストサポートを選択します。
-
保存を選択して保存します。
注記
このオプションを有効にすると、Azure Virtual Desktop および Windows Virtual Desktop ARM Provider をメンバーとする Reader and Data Access 役割の割り当てがストレージアカウントに追加されます。ご自身で割り当てる場合は、Azure ポータルの アクセス制御 (IAM) で、同じ 2 つのメンバーを使用してそのロールをストレージアカウントに追加してください。
次の 3 つの条件すべてが必須です:
-
App Attach イメージを格納するストレージアカウントは、AD DS に参加しています。
-
App Attach NTFS 権限はファイル共有に設定されています。
-
共有レベルの権限が設定されています。
既定のファイル共有 NTFS 権限：
-
BUILTIN\Administrators:(OI)(CI)(F)
-
BUILTIN\Users:(RX)
-
BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
-
NT AUTHORITY\Authenticated Users:(OI)(CI)(M)
-
NT AUTHORITY\SYSTEM:(OI)(CI)(F)
-
NT AUTHORITY\SYSTEM:(F)
-
CREATOR OWNER:(OI)(CI)(IO)(F)
App Attach のファイル共有 NTFS 権限：
-
BUILTIN\Users:(RX)
-
BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
-
NT AUTHORITY\Authenticated Users:(OI)(CI)(M)
-
CREATOR OWNER:(OI)(CI)(IO)(F)
ヒント
これらは手動で設定するのではなく、Nerdio Manager がアサインするようにします。Azure Files ウィザードで Assign NTFS file-level permissions を選択し、次に App Attach を選択します。これにより、認証済みユーザーに共有内のサブディレクトリへの読み取りアクセス許可が付与されます。これは、App Attach アプリを含む共有に推奨されるオプションです。
注記
NTFS ファイルレベルのアクセス許可をアサインすると、アクセス許可アサインタスクを実行するために一時的な VM が自動的に作成されます。
以下の設定のいずれかを選択します。
オプションすべての認証済みユーザーに対する読み取り専用アクセス
ストレージアカウントの既定の共有レベルの権限を、すべての認証済みユーザーに対して少なくとも Storage File Data SMB Share Reader に設定します。
Nerdio Manager では、Azure Files ウィザードの Share-level permissions オプションを使用してこれを設定します。SMB Share Reader は、すべての認証済みユーザーに共有への読み取り専用アクセスを付与します。これは App Attach に必要なものです。
オプションドメインコンピュータに対する読み取り専用アクセス：
-
Active Directory で、ADConnect を使用して Entra ID に同期されている組織単位 (OU) に新しいグローバルセキュリティグループを作成します。
-
Domain Computers を新しいグループに追加します。
-
Azure ポータルで、ファイル共有の アクセス制御 を開き、少なくとも Storage File Data SMB Share Reader ロールを持つ新しいセキュリティグループを追加します。
注記
新しいグループが Entra ID で利用可能になるまで、次の同期サイクルまで待つ必要がある場合があります。
オプションカスタム設定
セッションホストのコンピュータオブジェクトに、共有への少なくとも読み取りアクセスを付与する設定であれば、どのような設定でもサポートされます。組織のセキュリティポリシーに合わせて、上記のオプションを調整してください。
-
構成された Azure Files 共有を作成および管理する
-
App Attach
コメント (0件のコメント)