Azure Virtual Desktop を Azure AD Join 環境で使い、Intuneで管理する
概要
Azure Virtual Desktop (AVD) のVMが Azure AD Join に対応したり Windows 11 MultiSession が公開されたりと昨年色々アップデートがあったのでまとめました。
従来のAVDでは Hybrid AD Join もしくは Azure AD Domain Services へ Join されたVMのみサポートされていましたが、2021/9/22の発表でAzure AD Join がGAされました。
ただ、現状（2021/1/5 現在）は利用用途として以下の制限があります。
- ローカル ユーザー プロファイルを使用する個人用デスクトップ
- ジャンプ ボックスとして使用されるプールされたデスクトップ ※ユーザーは VM にデータを保存することはできません
- ユーザーが VM にデータを保存する必要がない、プールされたデスクトップまたはアプリ
FSLogix が Azure AD Join VM をサポートしていないのが原因で、マルチセッション環境では移動プロファイルを持てない（現状ローカルプロファイルのみ利用可能）なためですね。
ただ、2021/12/2 にプレビューで発表されていますが、対応中でそのうちGAすると思いますのでこの制限も外れると思います。
それほど難しくなく構成できるので、Intune 管理まで含めてやってみたいと思います。
AVD ホストプール構築
前提として Azure AD にすでにアカウント・グループがあること、Azure テナントに仮想ネットワークを作成済みであることとします。
Azure Portal から Azure Virtual Desktop を開き、ホストプールを作成します。
※ここではプール型にしています
次に仮想マシンを紐づけます。
「参加するドメイン」の部分を以下のようにします。
参加するディレクトリを選択する：Azure Active Directory
Intune に VM を登録する：はい
この後の手順は従来と同様です。
ホストプールのデプロイが完了したら割り当てするのを忘れずに。
Intune 側の表示
VMのデプロイが完了すると自動的に Azure AD のデバイスへ登録され、Intuneでも確認ができるようになります。
※画面はWindows 11 Enterprise Multi-session
Multi-session だとプライマリユーザーはなしになります。
コンプライアンスポリシーにしてもデバイス構成プロファイルにしても AVD 用で物理デバイスと分けておかないと非準拠になったりポリシーが当たらなかったりするので注意が必要です。
AVD への接続
Windows Client から接続する場合はAzure ADアカウントで登録されているデバイスからは特にそのままでも問題ありません。
それ以外のデバイスから接続する場合（macやLinuxなど）、ホストプールのRDPプロパティへ以下を追加する必要があります。
targetisaadjoined:i:1
これでmacからの接続も確認できました。
FSLogixのAAD Join対応がGAされればプロダクション環境でも使えますね。
