AVDのHybrid AzureAD Join構成で SSO を試す！

AVDのHybrid AzureAD Join 構成においてSSO(シングルサインオン)が出来るようになりましたので、試してみたいと思います。なんとNTLM認証に対してもSSOが可能です。
設定は簡単で、ホストプールのRDPプロパティに追記するのみです。※ADFS、WAP、ADCSなどは不要です。

さっそく、構成を見てみましょう！

①クライアントからAzureADに対して認証を行う。
②認証が成功すると、AzureADが[Partial TGT][PRT]をセッションホストに発行する
※AzureAD内のAzureADKerberosが持つ[Id][DomainDnsName][KeyVersion]を照合する
③セッションホストは[Partial TGT]をADに提示し、[TGT]を受け取る
PRT=Primary Refresh Token / TGT=Ticket Granting Ticket

どの部分のパスワードが入力不要になるのか見てみましょう！

【手元PCがAD参加の場合】
①手元のPCへのサインイン＝ADアカウントを入力
②AVDクライアントソフトでのサインイン＝AzureADアカウントを入力
③セッションホストへのサインイン＝※入力不要
④Microsoft365へのサインイン＝※入力不要

【手元PCがAzureAD参加の場合】
①手元のPCへのサインイン＝AzureADアカウントを入力
②AVDクライアントソフトでのサインイン＝※入力不要
③セッションホストへのサインイン＝※入力不要
④Microsoft365へのサインイン＝※入力不要

[利用のための諸条件]
・Hybrid AzureAD Join 構成　※セッションホストがAADに同期されている必要がある
・AD側のドメイン名がAzureAD側にカスタムドメインとして登録されている必要がある
※オンプレドメイン[localad.com]–sync–AAD[xxx.onmicrosoft.com]はNG
・AzureAD Domain Service構成は、サポート外
・クラウドIDは利用不可
・対応セッションホスト　※Single-Session、Multi-session 利用可能
ーWindows 11 (KB5017383)
ーWindows 10 20H2以降 (KB5017380)
ーWindows Server 2022 (KB5017381)
・Windows版/MacOS版クライアントアプリ、ブラウザ接続
※手元PCは、ドメインに参加していなくてもよい
・AzureADKerberosを利用する際は、Server2016以降、機能レベル2008R2以降である必要があります。

それでは、やってみよう！！

こちらを参考にHybrid AzureAD Join構成を構築します。
「Azure Virtual Desktop (AVD) を構築する！」

AzureADKerberosの作成

※セッションホスト作成前に実施しておく必要があります。
※オンプレドメインに参加している端末にて実施

Install-Module -Name AzureADHybridAuthenticationManagement

$domain = “localad.com“　←オンプレドメイン名を入力
$cloudCred = Get-Credential　←AAD GlobalAdminsを入力
$domainCred = Get-Credential　←AD DomainAdminsを入力
Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

Get-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred
※それぞれが一致している必要があります。
[Id]と[CloudId] / [DomainDnsName]と[CloudDomainDnsName]
[KeyVersion]と[CloudKeyVersion] / [KeyUpdatedOn]と[CloudKeyUpdatedOn]