ID がセキュリティの境界に：Zero Trust でクラウドデスクトップを守る

By Mirko Peters · 2026-08-13

ポッドキャストのコンパニオンブログへようこそ！ リモートワーク、ハイブリッドモデル、クラウドファースト戦略の導入が進むにつれ、従来の社内ネットワークは事実上なくなりました。長年、IT部門はエンタープライズデータを守るためにネットワーク境界、ファイアウォール、VPN（Virtual Private Network）に頼ってきました。しかし、従業員がコーヒーショップ、自宅、空港などから、個人用と会社支給の多様なデバイスを使って接続する今、その従来の境界防御では不十分です。今日では、ID が新しいセキュリティの境界になっています。

Automatically translated with AI from the original post. Read the English original

ポッドキャストのコンパニオンブログへようこそ！ リモートワーク、ハイブリッドモデル、クラウドファースト戦略の導入が進むにつれ、従来の社内ネットワークは事実上なくなりました。長年、IT部門はエンタープライズデータを守るためにネットワーク境界、ファイアウォール、VPN（Virtual Private Network）に頼ってきました。しかし、従業員がコーヒーショップ、自宅、空港などから、個人用と会社支給の多様なデバイスを使って接続する今、その従来の境界防御では不十分です。今日では、ID が新しいセキュリティの境界になっています。

Azure Virtual Desktop または Windows 365 のどちらを展開する場合でも、クラウドデスクトップを守るには、根本的な考え方の転換が必要です。もはや、社内オフィスから発信された接続である、またはゲートウェイを通過したという理由だけで、その接続を信頼することはできません。代わりに、ID、デバイスの正常性、場所、振る舞いに基づいて、すべてのアクセス要求を検証する必要があります。この記事では、Microsoft Entra ID、条件付きアクセス、リスクベースの保護を使って、仮想デスクトップ環境に堅牢なセキュリティを実装する方法を解説します。同時に、エンタープライズセキュリティと、ユーザーの生産性をスムーズに保つことのバランスも取っていきます。

現代のセキュリティ境界としての ID の概要

セキュリティ境界の概念は、過去10年で大きく変わりました。従来、組織のセキュリティ確保とは、頑丈な城壁を築くことでした。ネットワークの内側にいれば基本的に信頼され、外側にいれば信頼されない、という考え方です。このアプローチは、すべてのアプリケーションがオンプレミスのデータセンターにあり、従業員がイーサネットケーブルにつながれた物理的なデスクに座っていた時代には、うまく機能していました。

今日では、アプリケーションはクラウドにあり、データはグローバルに分散し、ユーザーはどこからでも働けることを期待しています。この分散化により、従来のネットワーク境界は時代遅れになりました。攻撃者はもはや物理的なファイアウォールを突破する必要はありません。ユーザーの資格情報を侵害し、環境内に足がかりを得るだけでよいのです。いったん内部に入り込むと、フラットでセグメント化が不十分なネットワーク内での横方向の移動（ラテラルムーブメント）は、深刻な被害をもたらす可能性があります。

ここで、ID がネットワークの代わりを担います。ID が境界になると、認証と認可のすべての判断では、そのユーザーが誰か、どのデバイスを使っているか、どのアプリケーションにアクセスしようとしているか、そしてその要求を取り巻くコンテキストは何かが評価されます。セキュリティの基盤を物理的なネットワークの場所ではなくユーザー ID に置くことで、組織は従業員が働く場所や方法を制限することなく、強固なセキュリティ態勢を維持できます。

仮想デスクトップ環境における Zero Trust の原則の理解

ID を境界として運用するには、組織は Zero Trust セキュリティモデルを採用する必要があります。Zero Trust は、3つの中核原則に基づいています。明示的に検証すること、最小特権アクセスを使用すること、そして侵害を前提とすることです。Azure Virtual Desktop や Windows 365 のような仮想デスクトップ環境に適用すると、これらの原則によって、アクセス制御の設計方法が根本から変わります。

明示的に検証するとは、すべてのアクセス要求について、ユーザー ID、場所、デバイスのコンプライアンス、サービスやワークロードの分類、異常の検出などを含む利用可能なすべてのデータポイントに基づいて認証と認可を行うことを意味します。社内ネットワークの内側から発信されたか外側からかにかかわらず、暗黙的に信頼される要求はありません。

最小特権アクセスは、Just-In-Time と Just-Enough-Access（JIT/JEA）モデル、リスクベースの適応型ポリシー、データ保護の安全対策によって、ユーザーのアクセスを制限します。これにより、アカウントが侵害されても被害範囲を最小限に抑え、役割上明示的に必要ではない機密リソースへの攻撃者のアクセスを防ぐことができます。

侵害を前提とするとは、ネットワーク、ユーザー、デバイス、アプリケーションの認識に基づいてアクセスをセグメント化し、横方向の移動を最小限に抑えることです。すべてのセッションを暗号化し、エンドツーエンドのテレメトリを活用し、分析を使って脅威検出の可視性を高めることで、IT 管理者はセキュリティ態勢の継続的な改善を推進できます。

Microsoft Entra ID による一元化されたアクセス制御の活用

クラウドデスクトップ向けの最新のゼロトラスト アーキテクチャの中核を担うのが、Microsoft Entra ID（旧 Azure Active Directory）です。Entra ID は ID プロバイダーとして、仮想デスクトップ基盤を含む Microsoft 365 エコシステム全体で認証と承認を統括します。

レガシーな Active Directory ドメインから、クラウドネイティブな ID 管理や、Microsoft Entra Connect を使ったハイブリッド ID 構成へ移行することは、セキュリティ面で非常に大きなメリットがあります。アクセス制御を Entra ID に集約すると、ユーザーが物理的な PC でサインインする場合でも、Web アプリケーションを利用する場合でも、クラウドホストのデスクトップセッションに接続する場合でも、組織は一貫したセキュリティポリシーを適用できます。

さらに Microsoft Entra ID は、アクセスレビュー、エンタイトルメント管理、特権 ID 管理といった高度な ID ガバナンス機能も提供します。ユーザーが必要な期間だけ必要な仮想デスクトップのリソースにアクセスできるようにすることで、組織は攻撃対象領域を大幅に縮小できます。また、集中的なログ記録と監査によって、セキュリティ運用チームは誰が何にアクセスしているかを明確に把握できます。その結果、不審なアクティビティの調査が容易になり、コンプライアンス要件への対応もしやすくなります。

条件付きアクセス ポリシーでセキュリティを強化する

ID を Microsoft Entra ID で一元管理できたら、クラウドデスクトップを保護する次のステップは Microsoft Entra 条件付きアクセスの実装です。条件付きアクセスは、ログインの試行ごとにシグナルを評価し、自動的にアクセス可否を判断する、いわばインテリジェントなゲートキーパーの役割を果たします。

条件付きアクセスは「if-then」文の集合と考えるとわかりやすいでしょう。つまり、「ユーザーが Windows 365 Cloud PC または Azure Virtual Desktop のホストプールにアクセスしようとしたら、どのような条件を満たす必要があるか」を定義するということです。条件付きアクセスが評価する代表的なシグナルは次のとおりです。

• ユーザーまたはグループのメンバーシップ: 部門、委託先スタッフ、経営層などの役割ごとにポリシーを調整します。
• 位置情報: 見慣れない国や、リスクの高い国からのアクセス要求に対して、アクセスを制限したり、追加の認証（ステップアップ認証）を求めたりします。
• デバイスの状態: 仮想デスクトップへの接続に使用するデバイスが、企業ポリシーに準拠しているか、Microsoft Entra ID に参加しているか、または Microsoft Intune で管理されているかを確認します。
• クライアント アプリケーション: ネイティブのリモート デスクトップ クライアント、Web ブラウザー、モバイルデバイスのいずれから接続しているかに応じてアクセスを制御します。

これらのポリシーを正しく構成すれば、管理されていない個人所有デバイスから仮想セッション経由で企業データを直接ダウンロードできないようにしたり、信頼されていない場所からサインインする場合に多要素認証（MFA）を確実に適用したりできます。

クラウドデスクトップのリスクベースの保護を実装する

MFA の要求や海外からのサインインのブロックといった静的なルールは欠かせませんが、現代の脅威に対抗するには動的でインテリジェントな防御が必要です。ここで登場するのが Microsoft Entra ID Protection とリスクベース ポリシーです。Entra ID Protection は、ユーザー アカウントに関連する侵害の兆候を検出するため、毎日数十億件のシグナルを継続的に分析しています。

リスクは主に「ユーザーリスク」と「サインイン リスク」の 2 つのカテゴリで評価されます。ユーザーリスクは、その ID 自体が侵害されている可能性を検出します。たとえば、資格情報がダークウェブに漏えいしている場合や、通常と異なる行動パターンが検出された場合が該当します。サインイン リスクは、特定の認証要求が ID の所有者によって承認されたものではない可能性を評価します。たとえば、短時間で物理的に移動不可能な場所からのサインインや、匿名 IP アドレスからのサインインが該当します。

リスクベースの保護をクラウドデスクトップ環境に統合すると、リスクに応じた対応を自動的に実行できます。たとえば、ユーザーが Azure Virtual Desktop 環境にアクセスしようとした際に高いサインイン リスクが検出された場合、システムはアクセスを自動的にブロックするか、パスワードの再設定と MFA の質問に確実に応答するまで接続を許可しないよう求めることができます。この自動化された対応により、IT ヘルプデスクが常時手作業で対応しなくても、攻撃者の侵入を即座に食い止められます。

企業のセキュリティとユーザーの生産性を両立させる

IT リーダーが直面する最も一般的な課題の一つは、セキュリティとユーザー エクスペリエンスの間の緊張関係です。セキュリティ統制が厳しすぎると、従業員はシャドー IT による回避策を見つけ、不満を感じ、生産性が低下します。逆に、セキュリティが緩すぎると、組織はサイバー犯罪者にとって格好の標的になります。

最新のゼロトラスト戦略の目標は、インテリジェントなセキュリティによって、摩擦のないユーザー エクスペリエンスを実現することです。ユーザーに毎回多要素認証を求めると、MFA 疲れや"とりあえず承認する"という危険な習慣につながります。そのため組織は、コンテキスト シグナルを頼りにすべきです。ユーザーが既知の企業管理デバイスから、信頼できるオフィスの場所から、リスク スコアに問題のない状態で接続している場合は、シームレスにアクセスを許可しましょう。

ステップアップ認証やアクセス ブロックといった強力なセキュリティ介入は、異常やリスクの高い状況のためにとっておきましょう。さらに、ユーザー満足度を左右する大きな要因が、適切な仮想デスクトップ プラットフォームの選択です。Azure Virtual Desktop による複数セッションのプール環境を選ぶ場合も、Windows 365 による専用のパフォーマンスを選ぶ場合も、基盤となるアーキテクチャを最適化しておけば、パフォーマンスを低下させることなく、セキュリティ ポリシーをバックグラウンドで静かに動作させられます。

セキュアなクラウド デスクトップのまとめとベスト プラクティス

最新のクラウド デスクトップを保護するうえで重要なのは、もはや強固なネットワークの壁を築くことではなく、堅牢でインテリジェントな ID の境界を確立することです。ゼロトラストの原則を取り入れ、Microsoft Entra ID で ID 管理を一元化し、条件付きアクセスを活用して、リスクベースの保護を導入することで、組織はエンタープライズ級のセキュリティを維持しながら、クラウド デスクトップの柔軟性を享受できます。

セキュリティは一度きりのプロジェクトではなく、継続的な評価と改善を続けていく取り組みであることを忘れないでください。条件付きアクセス ポリシーを定期的に見直し、ID リスク レポートを監視し、コストとパフォーマンスの両面で仮想デスクトップ アーキテクチャを最適な状態に保ちましょう。これらの環境の設計、展開、保護について詳しく知りたい場合は、関連するポッドキャスト エピソード AVD vs Windows 365: Which Virtual Desktop Strategy Wins: with Shabaz Darr [MVP] もぜひご覧ください。このエピソードでは専門家の知見が得られ、組織のエンドユーザー コンピューティング戦略について最良の判断を下す助けになります。