理想的なテレワークを実現する技術のひとつに、DaaS（Desktop as a Service）があります。Azure上で利用可能なAzure Virtual Desktop（旧Windows Virtual Desktop）（以下、AVD）は、Microsoftの純正DaaSとして注目を集めています。
ところが、AVDは簡単に使い始められるというわけではありません。安全性を確保して快適な環境を整えるためには、いくつかのポイントをクリアすることが必要です。
株式会社インターネットイニシアチブ（以下、IIJ）のナレッジをもとに、AVDを業務に最適化して最大限に活用するための3つのポイントを解説します。
AVDのメリットと意外な盲点
AVDの最大のメリットは「Windows 10マルチセッション接続」対応といえるでしょう。次にWindows 7を延命可能なことです。Windows 7の延長サポートは2020年1月14日に終了しましたが、ESU（Extended Security Updates：拡張セキュリティ更新プログラム）によって、3年間無料でセキュリティ更新プログラムの提供を受けることができます。
コスト面では、仮想環境用のライセンスを別途購入する必要がないこと、クラウドシフトが容易というメリットがあります。AVDのライセンス（Microsoft 365 E3/E5、Windows 10 Enterprise E3/E5）には、Azure上で利用可能なVDA（Virtual Desktop Access）ライセンスを含んでいるため、高額な費用が不要です。
このようにAVDは魅力のあるDaaSですが、意外な盲点があります。それは「導入すればすぐに利用できるわけではない」ということです。
理由はAVDの構成を理解すると明確です。AVDは大きく分けて「管理コントロールプレーン」と「仮想デスクトップ実行環境」の２つで構成されています。
管理コントロールプレーンは、Microsoftのフルマネージドサービスであり、導入企業による作業は不要です。しかし、仮想デスクトップ実行環境は、導入企業で構築を担う必要があります。導入企業が行う基本的な作業には、仮想デスクトップ環境の構築、Active Directoryの設定、ユーザプロファイルの保管、ネットワーク整備があります。
AVD活用の3つのポイント
仮想デスクトップ実行環境の構築だけでも対応すべきことは多岐に渡りますが、AVDを業務に最適化するためには、強固なセキュリティの確保、遅延のない快適な環境の実現が求められます。重要なポイントは3つあります。
ネットワーク接続
クラウドと利用者の拠点を結ぶのは、ネットワーク接続です。このときレスポンスの低下は、業務に大きな影響を与えます。つながっている状態だけでは不十分で、快適であること、セキュリティで安全に守られていることがポイントです。
注意すべき点は、AVDの画面転送通信に関してはインターネットを経由して行われ、仮想デスクトップ環境と業務システム間のネットワークは別のトラフィックということです。
社内端末から利用する場合、仮想マシンの利用数が増えるにしたがってトラフィックが増加し、企業のインターネットゲートウェイに負荷がかかります。画面転送通信のネットワークに関しても帯域確保とセキュリティを考えることが必要です。
認証管理
AVDの構築には、管理コントロールプレーン接続における認証、仮想デスクトップ利用のための認証という２つの認証が必要です。
管理コントロールプレーンはAzure Active Directoryで認証し、仮想デスクトップの利用はActive Directoryサーバで認証します。このふたつを同一アカウントで運用することから、Azure AD Connectサーバが必要です。
認証基盤はOffice 365と同じであるため、Office 365を利用していれば認証基盤を適用して利用が可能になります。ただし、Office 365とAVDはAzureを基盤としています。日常業務で利用するデスクトップやアプリケーションがクラウドにシフトしつつある現在、Azure AD ConnectサーバやActive Directoryサーバをオンプレミスで運用すると管理が非常に複雑です。
認証管理をクラウドに移行することによって、運用管理を効率化できます。AVD移行をきっかけに、オンプレミスの認証基盤を見直すことを考えるとよいでしょう。
VPN環境
Office 365などのクラウドサービスを利用する企業では、SaaSはもちろん社内リソースへのアクセスを想定し、さらに社外からのリモートアクセスを前提として一般的にVPN環境を構築します。
しかし、従業員の自宅のネットワーク環境によっては、満足のいかない通信速度になる場合があります。テレワーク導入企業が増加すると、VPNに関わらずインターネット回線のトラフィックが増加し、パフォーマンスの低下やセッションの切断が起こりやすくなります。個人のインターネット環境に対して、影響を受けない通信の仕組みを整備することが必要です。
ネットワーク接続、認証管理、VPN環境の3つを踏まえて、社内で迅速に最適な運用の対策を行うことは技術的にもコスト的にも困難ではないでしょうか。
IIJでは、このような要望と問題を解決するサービスを提供しています。AVDを最適活用する３つのポイントにしたがって、概要と特長を紹介します。
ポイント１： AVD環境をダイレクトに接続する
ネットワーク接続に関しては、「IIJ Omnibusサービス」によるVPN接続、「IIJクラウドエクスチェンジサービス」による閉域接続を提供しています。
IIJ Omnibusサービスでは、企業の拠点からIIJまでIPoE方式によるインターネットVPNで接続し、IIJ Omnibusサービスが中継してAzureへのVPN接続を提供します。インターネットVPNでは一般的にフレッツ網が使われますが、問題として多いのは遅延やアクセスの集中です。IIJ Omnibusサービスは、混雑しやすい網終端装置を経由せずに接続するとともに、IPv6網を使って遅延や集中の問題を回避します。
IIJクラウドエクスチェンジサービスは、Microsoftの閉域接続サービス「ExpressRoute」を利用した専用線接続です。サービスレベルを厳守する帯域確保、可用性の高い異キャリアや異経路による冗長構成に対応し、安定した信頼性の高い通信が可能です。エッジルータの管理を含めたマネージドサービスにより、運用管理の煩雑さも軽減できます。
さらにAVDの画面転送通信を最適化する「IIJ クラウドエクスチェンジサービス for Microsoft Azure Peering Service」では、IIJ閉域ネットワークを使って拠点とAzure環境をつなぎ、低遅延ネットワークとして利用することが可能です。
ポイント2：ID管理基盤をフルクラウド化する
認証管理に関しては、Active Directoryによる認証管理を総合的にサポートする「IIJディレクトリサービス for Microsoft」を提供しています。
Active Directory やAzure AD Connectを利用していない場合、IIJディレクトリサービス for Microsoftを利用すると、ID管理基盤のフルクラウド化が可能です。ユーザは単一のIDとパスワードで、社内システムとクラウドの両方にアクセスできるようになります。サーバ購入や認証基盤の構築が不要で、Active Directoryの監視やアップデートもIIJが行うため、運用管理を省力化できます。
Office 365やAVDのサービス利用の拡大に応じて、ID管理基盤をフルクラウド化するニーズが増えてきました。運用管理の負荷を大幅に軽減すると同時に、BCP対策の強化にもつながるからです。ID管理基盤のフルクラウド化に対しても「IIJディレクトリサービス for Microsoft」は有効です。
ポイント３：遅延しない、切れないVPN接続を実現する
VPN接続の「遅い」「切れやすい」といったイメージを払拭する画期的なVPNサービスが「IIJフレックスモビリティサービス」です。
データ送受信には、リアルタイム性に優れたUDPプロトコルを採用し、独自の通信安定化とエラー補正技術により、遅延やパケットロスがあっても快適にAVDを利用可能です。切断オペレーションをしない限りVPNセッションを継続するため、通信状況の悪い場所でも再接続をする必要がありません。セッション断や再ログインを防ぐ効果が期待できます。
多様なセキュリティポリシー、Active Directoryによるユーザ認証、デバイス認証に対応し、指定の端末にVDIの画面転送通信のみ許可するポリシーや、アプリケーションごとのVPN接続ポリシーを設定して適用可能です。
「IIJフレックスモビリティサービス」と「IIJクラウドエクスチェンジサービス for Microsoft Azure Peering Service」を組み合わせることで、企業のインターネット接続環境やWANなどに負荷を与えずに各種のMicrosoftクラウドサービスに快適なVPN接続を実現します。
Microsoft Azureとは何か？入門から応用まで徹底解説
まとめ
AVDによるDaaSの最適活用を図るためには、ネットワーク接続、認証管理、VPN接続の3つのポイントへの対応が必須です。IIJはこれらの重要な要件を満たすサービスを提供し、AVDによる企業の働き方改革と生産性向上のために努力しています。
