次の方法で共有

リモート デスクトップ プロトコル経由でスマート カードのリダイレクトを構成する

  • [アーティクル]

ヒント

この記事では、リモート デスクトップ プロトコル (RDP) を使用して Windows デスクトップとアプリへのリモート アクセスを提供するサービスや製品について情報を提供します。

この記事の上部にあるボタンを使用して製品を選択し、関連するコンテンツを表示してください。

リモート デスクトップ プロトコル (RDP) 経由で、ローカル デバイスからリモート セッションへのスマート カード デバイスのリダイレクト動作を構成できます。

Azure Virtual Desktop の場合は、Microsoft Intune またはグループ ポリシーを使用してセッション ホスト上の スマート カード リダイレクトを有効にしてから、ホスト プール RDP プロパティを使用してリダイレクトを制御することをお勧めします。

Windows 365 の場合、Microsoft Intune またはグループ ポリシーを使用してクラウド PC を構成できます。

Microsoft Dev Box の場合、Microsoft Intune またはグループ ポリシーを使用して開発ボックスを構成できます。

この記事では、サポートされているリダイレクト方法と、スマート カード デバイスのリダイレクト動作を構成する方法に関する情報を提供します。 リダイレクトのしくみの詳細については、「リモート デスクトップ プロトコル経由のリダイレクト」を参照してください。

前提条件

スマート カード リダイレクトを構成するにあたっては、以下のものが必要になります。

  • セッション ホストを使用した既存のホスト プール。

  • ホスト プール上の Desktop Virtualization Host Pool Contributor の組み込みロール ベースのアクセス制御 (RBAC) ロールが最小限割り当てられている Microsoft Entra ID アカウント。

  • 既存のクラウド PC。
  • 既存の開発ボックス。

スマート カードのリダイレクト

Microsoft Intune またはグループ ポリシーを使用するセッション ホストの構成やホスト プール上での RDP プロパティの設定は、スマート カード デバイスをローカル デバイスからリモート セッションにリダイレクトする機能を管理し、これは優先順位の影響を受けます。

既定の構成は次のとおりです。

  • Windows オペレーティング システム:スマート カード リダイレクトはブロックされていません。
  • Azure Virtual Desktop ホスト プール RDP プロパティ: スマート カード デバイスは、ローカル デバイスからリモート セッションにリダイレクトされます。
  • 結果のデフォルト動作: スマート カード デバイスは、ローカル デバイスからリモート セッションにリダイレクトされます。

重要

最も制限の厳しい設定が結果的な動作になるため、リダイレクト設定の構成時には注意してください。 たとえば、Microsoft Intune またはグループ ポリシーを使用してセッション ホスト上の スマート カード リダイレクトを無効にすると、ホスト プール RDP プロパティを使用してそれを有効にしても、リダイレクトは無効になります。

クラウド PC の構成では、スマート カード デバイスをローカル デバイスからリモート セッションにリダイレクトする機能が管理され、Microsoft Intune またはグループ ポリシーを使用して設定されます。

既定の構成は次のとおりです。

  • Windows オペレーティング システム:スマート カード リダイレクトはブロックされていません。
  • Windows 365: スマート カードのリダイレクトが有効になっています。
  • 結果のデフォルト動作: スマート カード デバイスは、ローカル デバイスからリモート セッションにリダイレクトされます。

開発ボックスの構成では、スマート カード デバイスをローカル デバイスからリモート セッションにリダイレクトする機能が管理され、Microsoft Intune またはグループ ポリシーを使用して設定されます。

既定の構成は次のとおりです。

  • Windows オペレーティング システム:スマート カード リダイレクトはブロックされていません。
  • Microsoft Dev Box: スマート カードのリダイレクトが有効になっています。
  • 結果のデフォルト動作: スマート カード デバイスは、ローカル デバイスからリモート セッションにリダイレクトされます。

ホスト プール RDP プロパティを使用して スマート カード デバイスを構成する

Azure Virtual Desktop ホスト プール設定のスマート カード リダイレクトは、スマートカードをローカル デバイスからリモート セッションにリダイレクトするかどうかを制御します。 対応する RDP プロパティは redirectsmartcards:i:<value> です。 詳細については、「サポートされている RDP プロパティ」を参照してください。

ホスト プール RDP プロパティを使用して スマート カード リダイレクトを構成するには:

  1. Azure portal にサインインします。

  2. 検索バーに「Azure Virtual Desktop」と入力し、一致するサービス エントリを選択します。

  3. [ホスト プール] を選んでから、構成するホスト プールを選びます。

  4. [RDP プロパティ] を選択した後、[デバイス リダイレクト] を選択します。

    Azure portal のホスト プールのデバイス リダイレクト タブを示すスクリーンショット。

  5. [スマート カード リダイレクト] では、ドロップダウン リストを選択した後、以下のいずれかのオプションを選択します。

    • ローカル コンピューター上のスマート カード デバイスをリモート セッションで使用可能にしない
    • ローカル コンピューター上のスマート カード デバイスをリモート セッションで使用可能にします（デフォルト）
    • 未構成

  6. [保存] を選択します。

  7. 構成をテストするには、リモート セッションに接続し、スマート カードを必要とするアプリケーションまたは Web サイトを使用します。 スマート カードが使用可能であり、期待どおりに動作することを確認します。

Microsoft Intune またはグループ ポリシーを使用してスマート カード デバイスのリダイレクトを構成する

Microsoft Intune またはグループ ポリシーを使用してスマート カード デバイスのリダイレクトを構成する

お使いのシナリオに関連するタブを選択します。

Microsoft Intune を使用してスマート カード デバイスのリダイレクトを許可または無効にするには:

  1. Microsoft Intune 管理センターにサインインします。

  2. 設定カタログ プロファイル型で、Windows 10 以降のデバイスの構成プロファイルを作成または編集します。

  3. 設定ピッカーで、[管理用テンプレート]>[Windows コンポーネント]>[リモート デスクトップ サービス]>[リモート デスクトップ セッション ホスト]>[デバイスとリソースのリダイレクト] に移動します。

    Microsoft Intune ポータル内のデバイスとリソースのリダイレクト オプションを示すスクリーンショット。

  4. [スマート カード デバイスのリダイレクトを許可しない] チェック ボックスをオンにして、設定ピッカーを閉じます。

  5. [管理用テンプレート] カテゴリを展開し、要件に応じて、[スマート カード デバイスのリダイレクトを許可しない] を切り替えます。

    • スマート カード デバイスのリダイレクトを許可するには、スイッチを [無効化] に切り替え、[OK] を選択します。

    • スマート カード デバイスのリダイレクトを無効にするには、スイッチを [有効化] に切り替え、[OK] を選択します。

  6. [次へ] を選択します。

  7. 省略可能: [スコープ タグ] タブで、プロファイルをフィルター処理するスコープのタグを選択します。 スコープのタグの詳細については、分散 IT のためのロールベースのアクセス制御(RBAC) とスコープのタグの使用に関するページをご覧ください。

  8. [割り当て] タブで、構成するリモート セッションを提供するコンピューターを含むグループを選択し、[次へ] を選択します。

  9. [確認 + 作成] タブで設定を確認し、[作成] を選択します。

  10. リモート セッションを提供するコンピューターにポリシーが適用されたら、再起動して設定を有効にします。

スマート カードのリダイレクトをテストする

スマート カードのリダイレクトをテストするには:

  1. スマート カードのリダイレクトをサポートするプラットフォーム上の Windows アプリまたはリモート デスクトップ アプリを使用してリモート セッションに接続します。 詳細については、「異なるプラットフォームとデバイス上の Windows アプリ機能の比較」と「異なるプラットフォームとデバイス上のリモート デスクトップ アプリ機能の比較」を参照してください。

  2. リモート セッションでスマート カードが使用可能であることを確認します。 コマンド プロンプトまたは PowerShell プロンプトを開き、リモート セッションで次のコマンドを実行します。

    certutil -scinfo

    スマート カードリダイレクトが機能している場合、次のような出力が開始されます。

    The Microsoft Smart Card Resource Manager is running.
Current reader/card status:
Readers: 2
  0: Windows Hello for Business 1
  1: Yubico YubiKey OTP+FIDO+CCID 0
--- Reader: Windows Hello for Business 1
--- Status: SCARD_STATE_PRESENT | SCARD_STATE_INUSE
--- Status: The card is being shared by a process.
---   Card: Identity Device (Microsoft Generic Profile)
---    ATR:
        aa bb cc dd ee ff 00 11  22 33 44 55 66 77 88 99   ;.........AB12..
        ab                                                 .

--- Reader: Yubico YubiKey OTP+FIDO+CCID 0
--- Status: SCARD_STATE_PRESENT | SCARD_STATE_UNPOWERED
--- Status: The card is available for use.
---   Card: Identity Device (NIST SP 800-73 [PIV])
---    ATR:
        aa bb cc dd ee ff 00 11  22 33 44 55 66 77 88 99   ;.........34yz..
        ab                                                 .

[continued...]

  3. スマート カードが必要なアプリケーションまたは Web サイトを開いて使用します。 スマート カードが使用可能であり、期待どおりに動作することを確認します。

関連するコンテンツ