ラボ - Azure Virtual Desktop のデプロイを準備する (AD DS)

受講生用ラボマニュアル

ラボの依存関係

このラボで使用する Azure サブスクリプション。
このラボで使用する Azure サブスクリプションの所有者または共同作成者ロールを持つ Microsoft アカウントまたは Microsoft Entra アカウントと、Azure サブスクリプションに関連付けられた Microsoft Entra テナントのグローバル管理者ロールを持つ Microsoft アカウントまたは Microsoft Entra アカウント。

推定所要時間

60 分

ラボのシナリオ

Active Directory Domain Services (AD DS) 環境の展開を準備する必要があります

目標

このラボを完了すると、次のことができるようになります。

Azure VM を使用して Active Directory Domain Services (AD DS) 単一ドメインフォレストをデプロイする
AD DS フォレストを Microsoft Entra テナントに統合する

ラボファイル

\\AZ-140\AllFiles\Labs\01\az140-11_azuredeploydc11.parameters.json
\\AZ-140\AllFiles\Labs\01\az140-11_azuredeploycl11.json
\\AZ-140\AllFiles\Labs\01\az140-11_azuredeploycl11.parameters.json

手順

演習 0: vCPU クォータの数を増やす

この演習の主なタスクは次のとおりです。

現在の vCPU 使用率を特定する
vCPU クォータの増加を要求する

タスク 1: 現在の vCPU 使用率を特定する

ラボコンピューターから Web ブラウザーを起動して Azure portal に移動し、このラボで使用するサブスクリプションの所有者ロールを持つユーザーアカウントの資格情報を指定してサインインします。
Azure portal で、検索テキストボックスのすぐ右にあるツールバーアイコンを選択して [Cloud Shell] ウィンドウを開きます。
Bash または PowerShell の選択を求めるメッセージが表示されたら、 [PowerShell] を選択します。

注: Cloud Shell を初めて起動し、[ストレージがマウントされていません] というメッセージが表示された場合は、このラボで使用しているサブスクリプションを選択し、[ストレージの作成] を選択します。
Microsoft.Compute および Microsoft.Network リソースプロバイダーが登録されていない場合は、Azure portal の Cloud Shell の PowerShell セッションで次を実行して、それらを登録します。
```
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Compute'
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Network'
```
Azure portal の Cloud Shell の PowerShell セッションで、以下を実行して、Microsoft.Compute リソースプロバイダーの登録ステータスを確認します。
```
Get-AzResourceProvider -ListAvailable | Where-Object {$_.ProviderNamespace -eq 'Microsoft.Compute'}
```
注: 状態が “登録済み” と表示されていることを確認します。そうでない場合は、数分待ってからこの手順を繰り返します。
Azure portal の [Cloud Shell] の [PowerShell] セッションで、次のコマンドの場所を設定するために以下を実行します（たとえば eastus のように、<Azure_region> のプレースホルダーをこのラボで使用する Azure リージョンの名前に置き換えます）。
```
$location = '<Azure_region>'
```
Azure portal 内の [Cloud Shell] の [PowerShell] セッションで、次を実行して、StandardDSv3Family と StandardBSFamily のAzure VM での vCPU の現在の使用量と対応する制限を確認します。
```
Get-AzVMUsage -Location $location | Where-Object {$_.Name.Value -eq 'StandardDSv3Family'}
```
注: Azure リージョンの名前を識別するには、Cloud Shell の PowerShell プロンプトで (Get-AzLocation).Location を実行します。
前の手順で実行したコマンドの出力を確認し、ターゲット Azure リージョン内の Azure VM の Standard DSv3 Family vCPUs に、少なくとも 30 個の使用可能な vCPU があることを確認します。既にそうである場合は、次の演習に直接進みます。それ以外の場合は、この演習の次のタスクに進みます。

タスク 2: vCPU クォータの引き上げを要求する

Azure portal で、「サブスクリプション」を検索して選択し、[サブスクリプション] ウィンドウから、このラボで使用する予定の Azure サブスクリプションを表すエントリを選択します。
Azure portal のサブスクリプションブレードの左側の垂直メニューの [設定] セクションで、[使用量 + クォータ] を選択します。

注: クォータを増やすためにサポートチケットを作成する必要はない場合があります。

注: クォータの引き上げを要求するには、多要素認証 (MFA) を使用したサインインが必要です。 MFA を使用してアカウントを構成する必要がある場合は、「Azure Active Directory の多要素認証のデプロイを計画する」を参照してください。

**[Azure Pass - スポンサープラン

使用量 + クォータ]** ブレードで [リージョン] を選択し、ドロップダウンリストで、このラボで使用する Azure リージョンの名前の横にあるチェックボックスをオンにし、[適用] を選択して、[コンピューティング] エントリが [リージョン] エントリの左側にあるドロップダウンリストに表示されていることを確認し、検索ボックスに 「Standard DSv3」 と入力します。

結果の一覧で、[Standard DSv3 Family vCPUs] 項目の横にあるチェックボックスをオンにし、ツールバーの [クォータの引き上げの要求] エントリを選択し、ドロップダウンリストで [新しい制限を入力してください] を選択します。
[クォータの増加を要求] ペインの [新しい制限] 列のテキストボックスに「30」と入力し、[送信] を選択します。
メッセージが表示されたら、[クォータの増加を要求する] ペインで [多要素認証による認証] を選択し、メッセージに従って認証します。
クォータの要求が完了するまで待ちます。しばらくすると、[クォータの詳細] ブレードに、要求が承認され、クォータが増加したことが示されます。 [クォータの詳細] ブレードを閉じます。

注: Azure リージョンの選択と現在の需要によっては、サポート要求の提出が必要になる場合があります。サポート要求の作成プロセスに関する手順については、「Azure サポート要求を作成する」を参照してください。

演習 1: Active Directory Domain Services (AD DS) ドメインをデプロイする

この演習の主なタスクは次のとおりです。

Azure VM のデプロイを準備します
Azure Resource Manager クイックスタートテンプレートを使用してAD DS ドメインコントローラーを実行する Azure VM をデプロイする
Azure Resource Manager クイックスタートテンプレートを使用して Windows 10 を実行する Azure VM をデプロイする
Azure Bastion をデプロイする

タスク 1: Azure VM のデプロイを準備する

ラボのコンピューターから Web ブラウザーを起動し、Azure portal に移動して、このラボで使用するサブスクリプションの所有者ロールを持つユーザーアカウントの資格情報を指定してサインインします。
Azure portal で、Azure ポータルページの上部にある [リソース、サービス、ドキュメントを検索する] テキストボックスを使用し、[Microsoft Entra ID] ブレードを検索してそこに移動します。
Microsoft Entra テナントの [概要] ブレードの左側にある縦型メニューの [管理] セクションで、[プロパティ] をクリックします。
Microsoft Entra テナントの [プロパティ] ブレードの一番下で、[セキュリティの既定値群の管理] リンクを選択します。
[セキュリティの既定値の有効化] ブレードで、必要に応じて、[無効 (推奨されません)] を選択し、[組織で条件付きアクセスの使用を計画している] オプションボタンを選択して、[保存] を選択したら、[無効] を選択します。
Azure portal で、検索テキストボックスのすぐ右にあるツールバーアイコンを選択して [Cloud Shell] ペインを開きます。
Bash または PowerShell の選択を求めるメッセージが表示されたら、 [PowerShell] を選択します。

注: Cloud Shell を初めて起動し、[ストレージがマウントされていません] というメッセージが表示された場合は、このラボで使用しているサブスクリプションを選択し、[ストレージの作成] を選択します。

タスク 2: Azure Resource Manager クイックスタートテンプレートを使用して AD DS ドメインコントローラーを実行する Azure VM をデプロイする

ラボコンピューターの Azure portal を表示している Web ブラウザーで、Cloud Shell ペインの PowerShell セッションから、以下を実行してリソースグループを作成します (<Azure_region> プレースホルダーは、このラボで使うつもりの Azure リージョンの名前に置き換えます。例: eastus)。
```
$location = '<Azure_region>'
$resourceGroupName = 'az140-11-RG'
New-AzResourceGroup -Location $location -Name $resourceGroupName
```
Azure portal で、[Cloud Shell]] ペインを閉じます。
ラボコンピューターから、同じ Web ブラウザーウィンドウで、別の Web ブラウザータブを開き、「新しい Windows VM を作成し、新しい AD フォレスト、ドメイン、DC を作成する」という名前のクイックスタートテンプレートのカスタマイズされたバージョンに移動します。
[新しい Windows VM を作成し、新しい AD フォレスト、ドメイン、DC を作成する] ページで、ページを下方向にスクロールして、[Azure にデプロイ] を選択します。これにより、ブラウザーが Azure portal の [新しい AD フォレストで Azure VM を作成する] ブレードに自動的にリダイレクトされます。
[新しい AD フォレストを使用して Azure VM を作成する] ブレードで、[パラメーターの編集] を選択します。
[パラメーターの編集] ブレードで、[ファイルの読み込み] を選択し、[開く] ダイアログボックスで、\\AZ-140\AllFiles\Labs\01\az140-11_azuredeploydc11.parameters.json を選択して、[開く] を選択してから、[保存] を選択します。

[新しい AD フォレストで Azure VM を作成する] ブレードで、次の設定を指定します (他の設定は既存の値のままにします)。

設定	値
サブスクリプション	このラボで使用している Azure サブスクリプションの名前
リソースグループ	az140-11-RG
ドメイン名	adatum.com

[新しい AD フォレストを使用して Azure VM を作成する] ブレードで、[確認と作成] を選択し、[作成] を選択します。

注: このデプロイが完了するまで待ってから、次の演習に進んでください。デプロイには 20 から 25 分かかる場合があります。

タスク 1: Azure Resource Manager クイックスタートテンプレートを使用して Windows 10 を実行する Azure VM をデプロイする

ラボコンピューターの Azure portal を表示する Web ブラウザーで、Cloud Shell ペインで PowerShell セッションを開き、以下を実行して、前のタスクで作成した az140-adds-vnet11 という名前の仮想ネットワークに cl-Subnet という名前のサブネットを追加します。
```
$resourceGroupName = 'az140-11-RG'
$vnet = Get-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name 'az140-adds-vnet11'
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
  -Name 'cl-Subnet' `
  -AddressPrefix 10.0.255.0/24 `
  -VirtualNetwork $vnet
$vnet | Set-AzVirtualNetwork
```
Azure portal の Cloud Shell ペインのツールバーで、[ファイルのアップロード/ダウンロード] アイコンを選択し、ドロップダウンメニューで [アップロード] を選択して、ファイル \\AZ-140\AllFiles\Labs\01\az140-11_azuredeploycl11.json と \\AZ-140\AllFiles\Labs\01\az140-11_azuredeploycl11.parameters.json を Cloud Shell のホームディレクトリにアップロードします。
[Cloud Shell] ペインの [PowerShell] セッションから、次を実行して、新しく作成されたサブネットにクライアントとして機能する Windows 10 を実行する Azure VM をデプロイします。
```
$location = (Get-AzResourceGroup -ResourceGroupName $resourceGroupName).Location
New-AzResourceGroupDeployment `
  -ResourceGroupName $resourceGroupName `
  -Location $location `
  -Name az140lab0101vmDeployment `
  -TemplateFile $HOME/az140-11_azuredeploycl11.json `
  -TemplateParameterFile $HOME/az140-11_azuredeploycl11.parameters.json
```
注: デプロイが完了するのを待たずに、次のタスクに進んでください。デプロイには約 10 分かかります。

タスク 2: Azure Bastion をデプロイする

注: Azure Bastion を使用すると、この演習の前のタスクでデプロイしたパブリックエンドポイントを使用せずに Azure VM に接続できると同時に、オペレーティングシステムレベルの資格情報を対象とするブルートフォース攻撃から保護することができます。

注: ブラウザーでポップアップ機能が有効になっていることを確認します。

Azure portal が表示されているブラウザーウィンドウで、別のタブを開き、そのブラウザータブで Azure portal に移動します。
Azure portal で、検索テキストボックスのすぐ右にあるツールバーアイコンを選択して [Cloud Shell] ペインを開きます。

Cloud Shell ペインの PowerShell セッションから以下を実行して、この演習で先ほど作成した az140-adds-vnet11 という名前の仮想ネットワークに AzureBastionSubnet という名前のサブネットを追加します。

$resourceGroupName = 'az140-11-RG'
$vnet = Get-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name 'az140-adds-vnet11'
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
  -Name 'AzureBastionSubnet' `
  -AddressPrefix 10.0.254.0/24 `
  -VirtualNetwork $vnet
$vnet | Set-AzVirtualNetwork

[Cloud Shell] ペインを閉じます。
Azure portal で [複数の要塞] を検索して選択し、[複数の要塞] ブレードから [+ 追加] を選択します。

[Bastion の作成] ウィンドウの [基本] タブで、次の設定を指定して、[確認および作成] を選びます。

設定	値
サブスクリプション	このラボで使用している Azure サブスクリプションの名前
リソースグループ	az140-11-RG
名前	az140-11-bastion
リージョン	この演習の前のタスクでリソースをデプロイしたのと同じ Azure リージョン
レベル	Basic
仮想ネットワーク	az140-adds-vnet11
Subnet	AzureBastionSubnet (10.0.254.0/24)
パブリック IP アドレス	新規作成
パブリック IP の名前	az140-adds-vnet11-ip

[Bastion の作成] ウィンドウの [確認と作成] タブで、[作成] を選択します。

注: このデプロイが完了するまで待ってから、次の演習に進んでください。デプロイには約 10 分かかります。

演習 2: 単一の AD DS フォレストを単一の Microsoft Entra テナントに統合する

この演習の主なタスクは次のとおりです。

Microsoft Entra に同期される AD DS ユーザーとグループを作成する
AD DS UPN サフィックスを構成する
Microsoft Entra との同期を構成するために使用する Microsoft Entra ユーザーを作成する
Microsoft Entra Connect をインストールする

タスク 1: Microsoft Entra に同期される AD DS ユーザーとグループを作成する

ラボコンピューターの Azure portal が表示されている Web ブラウザーで、「仮想マシン」を検索して選択し、[仮想マシン] ブレードから az140-dc-vm11 を選択します。
[az140-dc-vm11] ブレードで [接続] を選択し、ドロップダウンメニューで [Bastion 経由で接続する] を選択します。

プロンプトが表示されたら、次の資格情報を入力し、[接続] を選択します。

設定	値
[ユーザー名]	Student
パスワード	Pa55w.rd1234

az140-dc-vm11 への Bastion セッション内で、管理者として Windows PowerShell ISE を起動します。

[管理者: Windows PowerShell ISE] スクリプトペインから、以下を実行して、管理者向け Internet Explorer のセキュリティ強化を無効にします。

$adminRegEntry = 'HKLM:\SOFTWARE\Microsoft\Active Setup\Installed Components\{A509B1A7-37EF-4b3f-8CFC-4F3A74704073}'
Set-ItemProperty -Path $AdminRegEntry -Name 'IsInstalled' -Value 0
Stop-Process -Name Explorer

[Administrator: Windows PowerShell ISE] コンソールから、次を実行して、このラボで使用する Microsoft Entra テナントへの同期のスコープに含まれるオブジェクトを含む AD DS 組織単位を作成します。
```
New-ADOrganizationalUnit 'ToSync' -path 'DC=adatum,DC=com' -ProtectedFromAccidentalDeletion $false
```
[管理者: Windows PowerShell ISE] コンソールから、以下を実行して、Windows 10 ドメイン参加済みのクライアントコンピューターのコンピューターオブジェクトを含む AD DS 組織単位を作成します。
```
New-ADOrganizationalUnit 'WVDClients' -path 'DC=adatum,DC=com' -ProtectedFromAccidentalDeletion $false
```

[Administrator: Windows PowerShell ISE] スクリプトペインから、次を実行して、このラボで使用する Microsoft Entra テナントに同期される AD DS ユーザーアカウントを作成します (<password> プレースホルダーは、ランダムで複雑なパスワードに置き換えます)。

注: 使用したパスワードを必ず記録してください。後でこのラボと以降のラボで必要になります。

$ouName = 'ToSync'
$ouPath = "OU=$ouName,DC=adatum,DC=com"
$adUserNamePrefix = 'aduser'
$adUPNSuffix = 'adatum.com'
$userCount = 1..9
foreach ($counter in $userCount) {
  New-AdUser -Name $adUserNamePrefix$counter -Path $ouPath -Enabled $True `
    -ChangePasswordAtLogon $false -userPrincipalName $adUserNamePrefix$counter@$adUPNSuffix `
    -AccountPassword (ConvertTo-SecureString '<password>' -AsPlainText -Force) -passThru
} 

$adUserNamePrefix = 'wvdadmin1'
$adUPNSuffix = 'adatum.com'
New-AdUser -Name $adUserNamePrefix -Path $ouPath -Enabled $True `
    -ChangePasswordAtLogon $false -userPrincipalName $adUserNamePrefix@$adUPNSuffix `
    -AccountPassword (ConvertTo-SecureString '<password>' -AsPlainText -Force) -passThru

Get-ADGroup -Identity 'Domain Admins' | Add-AdGroupMember -Members 'wvdadmin1'

注: このスクリプトは、「aduser1 - aduser9」 という名前の 9 つの非特権ユーザーアカウントと、「wvdadmin1」 という名前の ADATUM\Domain Admins グループのメンバーである 1 つの特権アカウントを作成します。

[Administrator: Windows PowerShell ISE] スクリプトペインから、次を実行して、このラボで使用する Microsoft Entra テナントに同期される AD DS グループオブジェクトを作成します。

New-ADGroup -Name 'az140-wvd-pooled' -GroupScope 'Global' -GroupCategory Security -Path $ouPath
New-ADGroup -Name 'az140-wvd-remote-app' -GroupScope 'Global' -GroupCategory Security -Path $ouPath
New-ADGroup -Name 'az140-wvd-personal' -GroupScope 'Global' -GroupCategory Security -Path $ouPath
New-ADGroup -Name 'az140-wvd-users' -GroupScope 'Global' -GroupCategory Security -Path $ouPath
New-ADGroup -Name 'az140-wvd-admins' -GroupScope 'Global' -GroupCategory Security -Path $ouPath

[管理者: Windows PowerShell ISE] コンソールから、以下を実行して、前の手順で作成したグループにメンバーを追加します。

Get-ADGroup -Identity 'az140-wvd-pooled' | Add-AdGroupMember -Members 'aduser1','aduser2','aduser3','aduser4'
Get-ADGroup -Identity 'az140-wvd-remote-app' | Add-AdGroupMember -Members 'aduser1','aduser5','aduser6'
Get-ADGroup -Identity 'az140-wvd-personal' | Add-AdGroupMember -Members 'aduser7','aduser8','aduser9'
Get-ADGroup -Identity 'az140-wvd-users' | Add-AdGroupMember -Members 'aduser1','aduser2','aduser3','aduser4','aduser5','aduser6','aduser7','aduser8','aduser9'
Get-ADGroup -Identity 'az140-wvd-admins' | Add-AdGroupMember -Members 'wvdadmin1'

タスク 2: AD DS UPN サフィックスを構成する

az140-dc-vm11 への Bastion セッション内で、[管理者: Windows PowerShell ISE] スクリプトペインで、次のように実行して、PowerShellGet モジュールの最新バージョンをインストールします (確認を求められたら [はい] を選択します)。
```
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Install-Module -Name PowerShellGet -Force -SkipPublisherCheck
```
[管理者: Windows PowerShell ISE] コンソールから、以下を実行して、最新バージョンの Az PowerShell モジュールをインストールします (確認を求められたら、[すべてはい] を選択します)。
```
Install-Module -Name Az -AllowClobber -SkipPublisherCheck
```
注:Az モジュールのインストールからの出力が表示されるまで、3 から 5 分待つ必要がある場合があります。また、出力が停止した後、さらに 5 分待つ必要がある場合があります。これは正しい動作です。
[管理者: Windows PowerShell ISE] コンソールで、次を実行して Windows アカウントマネージャーを無効にします。
```
Update-AzConfig -EnableLoginByWam $false
```
[管理者: Windows PowerShell ISE] コンソールから、以下を実行して、Azure サブスクリプションにサインインします。
```
Connect-AzAccount
```
プロンプトが表示されたら、このラボで使用しているサブスクリプションで所有者の役割を持つ Entra ID ユーザーアカウントの資格情報を入力します。
[Administrator: Windows PowerShell ISE] コンソールから、次を実行して、Azure サブスクリプションに関連付けられている Microsoft Entra テナントの ID プロパティを取得します。
```
$tenantId = (Get-AzContext).Tenant.Id
```
[管理者: Windows PowerShell ISE] コンソールから、以下を実行して、最新バージョンの Azure AD PowerShell モジュールをインストールしてインポートします。
```
Install-Module -Name AzureAD -Force
Import-Module -Name AzureAD
```
[Administrator: Windows PowerShell ISE] コンソールから、次を実行して、Microsoft Entra テナントに対して認証します。
```
Connect-AzureAD -TenantId $tenantId
```
プロンプトが表示されたら、このタスクの前半で使用したのと同じ資格情報 (このラボで使用するサブスクリプションの所有者ロールを持つユーザーアカウント) でサインインします。
[Administrator: Windows PowerShell ISE] コンソールから、次を実行して、Azure サブスクリプションに関連付けられている Microsoft Entra テナントのプライマリ DNS ドメイン名を取得します。
```
$aadDomainName = ((Get-AzureAdTenantDetail).VerifiedDomains)[0].Name
```
[Administrator: Windows PowerShell ISE] コンソールから、次を実行して、Azure サブスクリプションに関連付けられている Microsoft Entra テナントのプライマリ DNS ドメイン名を、AD DS フォレストの UPN サフィックスのリストに追加します。
```
Get-ADForest|Set-ADForest -UPNSuffixes @{add="$aadDomainName"}
```
[Administrator: Windows PowerShell ISE] スクリプトペインから、次を実行して、Azure サブスクリプションに関連付けられている Microsoft Entra テナントのプライマリ DNS ドメイン名を、AD DS ドメイン内のすべてのユーザーの UPN サフィックスとして割り当てます。
```
$domainUsers = Get-ADUser -Filter {UserPrincipalName -like '*adatum.com'} -Properties userPrincipalName -ResultSetSize $null
$domainUsers | foreach {$newUpn = $_.UserPrincipalName.Replace('adatum.com',$aadDomainName); $_ | Set-ADUser -UserPrincipalName $newUpn}
```
[管理者: Windows PowerShell ISE] コンソールから次を実行して、adatum.com UPN サフィックスを Student ドメインユーザーにもう一度割り当てます。
```
$domainAdminUser = Get-ADUser -Filter {sAMAccountName -eq 'Student'} -Properties userPrincipalName
$domainAdminUser | Set-ADUser -UserPrincipalName 'student@adatum.com'
```

タスク 3: ディレクトリ同期の構成に使用する Microsoft Entra ユーザーを作成する

az140-dc-vm11 への Bastion セッション内で、[管理者: Windows PowerShell ISE] スクリプトペインから次を実行して、新しい Microsoft Entra ユーザーを作成します (<password> プレースホルダーをランダムで複雑なパスワードに置き換えます)。

注: 使用したパスワードを必ず記録してください。 このラボでこの後、およびこのつづきのラボで必要になります。.
```
$userName = 'aadsyncuser'
$passwordProfile = New-Object -TypeName Microsoft.Open.AzureAD.Model.PasswordProfile
$passwordProfile.Password = '<password>'
$passwordProfile.ForceChangePasswordNextLogin = $false
New-AzureADUser -AccountEnabled $true -DisplayName $userName -PasswordProfile $passwordProfile -MailNickName $userName -UserPrincipalName "$userName@$aadDomainName"
```

[Administrator: Windows PowerShell ISE] スクリプトペインから、次を実行して、新しく作成された Microsoft Entra ユーザーにグローバル管理者ロールを割り当てます。

$aadUser = Get-AzureADUser -ObjectId "$userName@$aadDomainName"
$aadRole = Get-AzureADDirectoryRole | Where-Object {$_.displayName -eq 'Global administrator'} 
Add-AzureADDirectoryRoleMember -ObjectId $aadRole.ObjectId -RefObjectId $aadUser.ObjectId

[Administrator: Windows PowerShell ISE] スクリプトペインから、次を実行して、新しく作成された Microsoft Entra ユーザーのユーザープリンシパル名を識別します。
```
(Get-AzureADUser -Filter "MailNickName eq '$userName'").UserPrincipalName
```
注:ユーザープリンシパル名およびパスワードを記録します。これはこの演習で後から必要になります。

タスク 4: Microsoft Entra Connect をインストールする

az140-dc-vm11 への Bastion セッション内で、[管理者: Windows PowerShell ISE] スクリプトペインから、以下を実行して、TLS 1.2 を有効にします。

New-Item 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -name 'SystemDefaultTlsVersions' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-Item 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -name 'SystemDefaultTlsVersions' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'Enabled' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'DisabledByDefault' -value 0 -PropertyType 'DWord' -Force | Out-Null
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'Enabled' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'DisabledByDefault' -value 0 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.2 has been enabled.'

az140-dc-vm11 への Bastion セッション内で、Internet Explorer を起動して、Microsoft Edge for Business ダウンロードページに移動します。
「Microsoft Edge for Business のダウンロードページ」から、最新の安定バージョンの Microsoft Edge をダウンロードし、インストールして起動し、既定の設定で構成します。
az140-dc-vm11 への [リモートデスクトップ] セッション内で、Microsoft Edge を使用して、Azure portal に移動します。プロンプトが表示されたら、このラボで使用するサブスクリプションの所有者ロールを持つユーザーアカウントの Microsoft Entra 資格情報を使用してサインインします。
Azure portal で、Azure portal ページの上部にある [リソース、サービス、ドキュメントを検索する] テキストボックスを使用し、[Microsoft Entra ID] ブレードを検索してそこに移動したら、[Microsoft Entra テナント] ブレードのハブメニューの [管理] セクションで、[Microsoft Entra Connect] を選択します。
[Microsoft Entra Connect] ブレードで、サービスメニューから [Connect 同期] リンクを選択したら、[Microsoft Entra Connect のダウンロード] リンクを選択します。この操作を行うと、Microsoft Entra Connect のダウンロードページが表示されている新しいブラウザータブが自動的に開きます。
Microsoft Entra Connect のダウンロードページで、[ダウンロード] を選択します。
AzureADConnect.msi インストーラーを実行するか保存するかを確認するメッセージが表示されたら、[実行] を選択します。そうでない場合は、ダウンロードした後でファイルを開き、Microsoft Azure Active Directory Connect ウィザードを開始します。
Microsoft Azure Active Directory Connect ウィザードの [Azure AD Connect へようこそ] ページで、チェックボックス [ライセンス条項とプライバシーに関する通知に同意します] をオンにして、[続行] を選択します。
Microsoft Azure Active Directory Connect ウィザードの [簡単設定] ページで、[カスタマイズ] オプションを選択します。
[必要なコンポーネントをインストールする] ページで、オプションの構成オプションをすべて選択解除したままにして、 [インストール] を選択します。
[ユーザーサインイン] ページで、[パスワードハッシュの同期] のみを確実に有効にして、[次へ] を選択します。
[Azure AD に接続] ページで、前の演習で作成した aadsyncuser ユーザーアカウントの資格情報を使用して認証し、[次へ] を選択します。

注: この演習で前に記録した aadsyncuser アカウントの userPrincipalName 属性を指定し、パスワードとしてこのラボで前に設定したパスワードを指定します。
[ディレクトリの接続] ページで、adatum.com フォレストエントリの右側にある [ディレクトリの追加] ボタンを選択します。

[AD フォレストアカウント] ウィンドウで、[新しい AD アカウントを作成] オプションが選択されていることを保証し、次の資格情報を指定して、[OK] を選択します。

設定	値
ユーザー名	ADATUM\Student
パスワード	Pa55w.rd1234

[ディレクトリの接続] ページに戻り、adatum.com エントリが構成済みディレクトリとして表示されていることを保証し、[次へ] を選択します
[Azure AD サインインの構成] ページで、”UPN サフィックスが検証済みのドメインと一致しない場合、ユーザーはオンプレミスの資格情報を使用して Azure AD にサインインできなくなります” という警告に注意して、チェックボックス [一部の UPN サフィックスが確認済みドメインに一致していなくても続行する] をオンにして、[次へ] を選択します。

注: Microsoft Entra テナントには、adatum.com AD DS の UPN サフィックスの 1 つと一致する検証済みのカスタム DNS ドメインがないため、これは想定内のことです。
[ドメインと OU のフィルタリング] ページで、オプション [選択したドメインと OU の同期] を選択し、adatum.com を展開して、すべてのチェックボックスをオフにし、[ToSync] OU のチェックボックスのみをオンにして、[次へ] を選択します。
[一意のユーザー識別] ページで、既定の設定をそのまま使用して、[次へ] を選択します。
[ユーザーおよびデバイスのフィルタリング] ページで、既定の設定をそのまま使用して、[次へ] を選択します。
[オプション機能] ページで、既定の設定をそのまま使用して、[次へ] を選択します。
[構成の準備完了] ページで、[構成が完了したら、同期プロセスを開始する] チェックボックスがオンになっていることを保証し、[インストール] を選択します。

注:インストールには約 5 分かかります。
[構成が完了しました] ページの情報を確認し、[終了] を選択して、[Microsoft Azure Active Directory Connect] ウィンドウを閉じます。
az140-dc-vm11 への [リモートデスクトップ] セッション内において、Azure portal を表示している Microsoft Edge ウィンドウで、Adatum Lab Microsoft Entra テナントの [ユーザー - すべてのユーザー] ブレードに移動します。
[ユーザー] | [すべてのユーザー] ブレードで、ユーザーオブジェクトのリストに、このラボで前に作成した AD DS ユーザーアカウントのリストが含まれており、[オンプレミスの同期が有効] 列に [はい] エントリが表示されていることに注目します。

注: AD DSユーザーアカウントが表示されるまで数分待ってから、ブラウザーページを更新する必要がある場合があります。

ラボ - Azure Virtual Desktop のデプロイを準備する (AD DS)

受講生用ラボ マニュアル

ラボの依存関係

推定所要時間

ラボのシナリオ

目標

ラボ ファイル

手順

演習 0: vCPU クォータの数を増やす

タスク 1: 現在の vCPU 使用率を特定する

タスク 2: vCPU クォータの引き上げを要求する

演習 1: Active Directory Domain Services (AD DS) ドメインをデプロイする

タスク 1: Azure VM のデプロイを準備する

タスク 2: Azure Resource Manager クイックスタート テンプレートを使用して AD DS ドメイン コントローラーを実行する Azure VM をデプロイする

タスク 1: Azure Resource Manager クイックスタート テンプレートを使用して Windows 10 を実行する Azure VM をデプロイする

タスク 2: Azure Bastion をデプロイする

演習 2: 単一の AD DS フォレストを単一の Microsoft Entra テナントに統合する

タスク 1: Microsoft Entra に同期される AD DS ユーザーとグループを作成する

タスク 2: AD DS UPN サフィックスを構成する

タスク 3: ディレクトリ同期の構成に使用する Microsoft Entra ユーザーを作成する

タスク 4: Microsoft Entra Connect をインストールする

受講生用ラボマニュアル

ラボファイル

タスク 2: Azure Resource Manager クイックスタートテンプレートを使用して AD DS ドメインコントローラーを実行する Azure VM をデプロイする

タスク 1: Azure Resource Manager クイックスタートテンプレートを使用して Windows 10 を実行する Azure VM をデプロイする