---
title: 教育用共用PC環境を前提にしたEntra Kerberos / FSLogix / オンプレFSアクセス検証｜すきやねんAzure!! #41
tags:  #entra id #entra kerberos #fslogix #共用pc #hybrid aad join  
author: [Toruneko](https://www.docswell.com/user/projectEE)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/DEY48Z5GJM.jpg?width=480
description: 教育用共用PC環境を前提に、Microsoft Entra Kerberos、FSLogix、オンプレミスファイルサーバーへのアクセスについて検証した結果です。 Hybrid Join環境におけるMFAとCredential Provider、Entra Kerberosを利用したFSLogix Profile Containerのセルフリセット検証についてまとめました。
published: September 02, 26
canonical: https://www.docswell.com/s/projectEE/KJWRNV-2026-09-02-113453
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/DEY48Z5GJM.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
教育用共用PC環境を前提にした
Entra Kerberos/FSLogix/
オンプレFSアクセス検証
FSLogixプロファイル、
セルフリセットさせたいんだけど
何か質問ある？
Toruneko(トルねこ)
教育機関の共用PC環境管理
1
2026/08/28


# Page. 2

![Page Image](https://bcdn.docswell.com/page/VJNYQ3N878.jpg)

現在の教育用共用PCの環境
すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
・教育用共用PC 約500台
・利用者約１万人規模
・オンプレADを中心としたHybrid AAD Join環境
・ネットブート＆ディスク配信システム
【前提条件】
利用者は全ての端末を同じ環境で利用できる
・ユーザーデータ：OneDrive4B＋KFMでクラウドに集約
・ユーザープロファイル：FSLogix Profile Container
・Profile Containerの保存先：オンプレFS
・Profile Containerの運用
オンプレFSの容量圧迫回避のため、
半期に一度、全Profile Containerを削除してリセット
2
2026/05/29


# Page. 3

![Page Image](https://bcdn.docswell.com/page/YE9PD9RXJ3.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
教育用共用PCの認証方式とMFA
⚫ センター長からの質問
「ICカード認証やめたいからMFAできる？」
⚫ 当時の自分の答え
「条件付きアクセスで出来るんじゃないすかね？Ｗ」
→ここから一連の検証開始
現在の教育用共用PC環境の認証経路
• Windowsサインイン
ICカードから利用者IDを読み取り、オンプレADでPW認証
• Microsoft 365などのSSO
Windowsに入ったあと、Entra IDで別途MFA
WindowsへのサインインとMicrosoft 365などへのMFAは
別の認証経路
3
2026/08/28


# Page. 4

![Page Image](https://bcdn.docswell.com/page/GE8D39W9ED.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
クイズⅠ：はいか Yes で答えよ
次のような認証方式で
Windowsへサインインするとします
・サインイン専用カードを使用
・秘密鍵はカードから取り出せない
・暗号処理はカード内で実行
・認証時にPINの入力が必要
これはMFAでしょうか？
A：はい
B：Yes
※MFAの説明用に設定した架空の認証方式です。
特定の実環境を示すものではありません。
4
2026/08/28


# Page. 5

![Page Image](https://bcdn.docswell.com/page/LELMVWNM7R.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
解答Ⅰ：はいか Yes で答えよ
次のような認証方式で
Windowsへサインインするとします
・サインイン専用カードを使用
・秘密鍵はカードから取り出せない
・暗号処理はカード内で実行
・認証時にPINの入力が必要
これはMFAでしょうか？
A：はい
B：Yes
どちらも正解
カードは所持要素、PINは知識要素でMFA
5
2026/08/28


# Page. 6

![Page Image](https://bcdn.docswell.com/page/4JMYG9X6JW.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
これまでの検証：すきあず38・39
すきあず38
Hybrid Join
Entra Kerberos
FSLogix
オンプレFS
↓
成功
すきあず39
→
Entra Join
Web Sign-In
MFA
↓
成功
Hybrid Join
→
Windows
サインインで
MFAできるか？
Hybrid Join端末からWindowsサインインでMFAを利用するには？
6
2026/08/28


# Page. 7

![Page Image](https://bcdn.docswell.com/page/PJR9ZGNN79.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
Hybrid JoinならCredential Provider？
Credential Provider = Windows サインインの入口
Password
PIN
Smart card
Windows Hello
Web sign-in
Web sign-in もCredential Provider の一つ / ただしEntra Join向け
Hybrid Joinで
独自Credential Provider
は作れる？
↓
MSの公式サンプルを確認
SampleV2CredentialProvider
公式サンプルのビルド・登録
↓
Windowsサインイン
画面への表示を確認
までは、できた
7
2026/08/28


# Page. 8

![Page Image](https://bcdn.docswell.com/page/PEXQ9XN8JX.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
入口までは確認、でもその先が遠い
独自Credential ProviderにMFAを組み込むには
実装までにも
• MFAとの安全な連携
• 証明書・秘密鍵の管理
• 障害時の代替サインイン、復旧
• 約500台への展開・更新
実装できたとしても
• Windows Updateへの継続的変化への追従
• MFA側の仕様変更への追従
• 長期運用・保守
入口までは確認できた、が
実用化と実装後の維持管理のハードルが高い
→今回はHybrid Join端末でのMFAサインインは断念
8
2026/08/28


# Page. 9

![Page Image](https://bcdn.docswell.com/page/3EK9PWNLED.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
ここまでの参考文献
1.
2.
3.
4.
Microsoft Learn: How it works: Microsoft Entra multifactor
authentication
https://learn.microsoft.com/jajp/entra/identity/authentication/concept-mfa-howitworks
Microsoft Learn: Web sign-in for Windows
https://learn.microsoft.com/jajp/windows/security/identity-protection/web-signin/?tabs=intune
Microsoft Learn: Credential providers in Windows
https://learn.microsoft.com/jajp/windows/win32/secauthn/credential-providers-inwindows
Microsoft / Windows Classic Samples
SampleV2CredentialProvider
https://learn.microsoft.com/jajp/samples/microsoft/windows-classicsamples/credential-provider/
2026/08/28
9


# Page. 10

![Page Image](https://bcdn.docswell.com/page/L73WX1V675.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
ここからが本編です
⚫ ここまで
センター長からのお題
「Windowsサインイン、
MFAしたいけど何か問題ある？」
への回答
⚫ ここから
今回のお題
「FSLogixプロファイル、
セルフリセットさせたいけど何か質問ある？」
※ここからは、あくまで個人の検証です。
10
2026/08/28


# Page. 11

![Page Image](https://bcdn.docswell.com/page/87DK2X8MJG.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
クイズ II 認証と認可とあなた
あなたは、あるWindowsシステムの利用者です。
オンプレミスFS上にある自分のFSLogix Profile Container
だけを操作するために必要なものは？
A.認証
B.認可
C.認証と認可
D.管理者権限
11
2026/08/28


# Page. 12

![Page Image](https://bcdn.docswell.com/page/VJPK1P8QE8.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
解答 II 認証と認可とあなた
あなたは、あるWidowsシステムの利用者です。
オンプレミスFS上にある自分のFSLogix Profile Contener
だけを操作するために必要なものは？
A.認証
B.認可
C.認証と認可
D.管理者権限
認証：あなたが誰であるかを確認
→ Entra ID / Entra Kerberos
認可：あなたが自分のものだけを操作できるようにする
→ オンプレFSの NTFSアクセス制御リスト（ACL）
12
2026/08/28


# Page. 13

![Page Image](https://bcdn.docswell.com/page/2EVVY2NPEQ.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
FSLogixプロファイル、
セルフリセットさせたいけど
何か質問ある？
詳しい方なら、ここまでで違和感があったかもしれません。
Hybrid Joinなら、もともとオンプレADのKerberos認証を使っている。
なのに、なぜEntra Kerberos？
FSLogixプロファイル肥大
→
講義中のトラブル対応
センター長：
WindowsサインインでMFA
できる？
プロファイル
セルフリセットを妄想
→
次期システムはEntra Join？
→
Entra Kerberosを発見
Hybrid Joinなら関係ない？
→ すきあず36 → 37 → 38 → 39 →
MFA Entra Joinなら◎
→
Hybrid Joinだと㍉ぽ
今ココ
実は、もともとやりたかったのは、
FSLogixプロファイルのセルフリセット
13
※あくまで個人の検証です
2026/08/28


# Page. 14

![Page Image](https://bcdn.docswell.com/page/57GL9RKQEL.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
FSLogixプロファイル、
なんでセルフリセットさせたいの？
① FS容量問題
一番の理由は、オンプレFSの容量のひっ迫
一人当たりの上限：5[GB]×10,000[人]→50[TB]
② 共用PCだから
利用者はどの共用端末でも同じ環境で利用
講義室・自習エリアなどにPCが点在
→学生は「そのPCの利用者」ではなく「環境の利用者」
③ 個別トラブル
ソフトウェアやアドインの個人プロファイルが原因と思われるトラブル
・あるCADソフト
→ハングアップ時に「(ソフトの)プロファイルをリセット」と指示
・Ecxelアドイン
→起動時にエラー画面が繰り返し表示され、授業で利用不能
→100人規模の講義で20人以上発生したこと
④ だから
利用者自身で、自分のProfile Containerだけをリセットできれば？
→管理者が個別に対応しなくていいし、利用者もすぐに問題解決できる
→「PCに詳しくなくても使える」教育環境を維持したい
14
2026/08/28


# Page. 15

![Page Image](https://bcdn.docswell.com/page/4EQYWVNWJP.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
Entra Kerberos とは？
Entra ID
↓
Auth
↓
Entra Kerberos
↓
Kerberosチケット
↓
オンプレADリソースへのアクセス
Entra IDで認証された利用者が
オンプレADのKerberosを利用して、
オンプレ資源へKerberos SSOする仕組み
今回は、アクセス先として
オンプレFSに注目
Auth
15
2026/08/28


# Page. 16

![Page Image](https://bcdn.docswell.com/page/KJ4WKMG171.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
FSLogixもSMB
・すきあず＃38
Entra Kerberosによるオンプレ
FSへのアクセスを確認
・FSLogix Profile Container
への接続はSMB
→Entra KerberosでオンプレFS
へアクセスできるなら、
オンプレFS上のFSLogixも利用で
きます。
→ここからもう一歩考えてみる
Auth
16
Entra ID認証 → Entra Kerberos → SMB → オンプレFS上のFSLogix
2026/08/28


# Page. 17

![Page Image](https://bcdn.docswell.com/page/LE1YX8D57G.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
FSLogixプロファイル、
セルフリセットさせたいけど
何が問題になる？
自分のProfile Containerを使ってサインインすると、
使用中なので自分では削除できない
• サインイン中はProfile ContainerがAttachされている
• 使用中のVHD(X)は削除できない
• リセットには別の実行経路が必要
「本人が操作できる」
≠
「 Profile Containerを使ってサインインしたまま操作できる」
では、FSLogixプロファイルにアタッチせずに
Entra Join端末にサインインし、
オンプレFSにアクセスしたら？
→自分のProfile Containerを操作できるのでは？
17
2026/08/28


# Page. 18

![Page Image](https://bcdn.docswell.com/page/GEWGNZYWJ2.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
FSLogixプロファイル、
セルフリセット出来そうだけど
何か問題ある？
結論から言うと、
検証ではできた
① Profile Containerへ本人権限でアクセス → ◎
② PowerShellから自分のProfile Containerを削除 → ◎
③ Hybrid Join端末へ再サインイン → ◎
→ 削除から再サインインまで確認
18
2026/08/28


# Page. 19

![Page Image](https://bcdn.docswell.com/page/47ZL31X2J3.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
FSLogixプロファイルコンテナー、
セルフリセットできそうだけど
何かアドバイスある？
まとめ：今回、分かったこと
本人の権限で自分のProfile Containerを削除できた
→ 再サインインで再生成
どうやって？
認証：Entra ID → Entra Kerberos
認可：オンプレFSのNTFS ACL
経路：SMB
検証では、できた。でも、実際に使うなら？
⚫
⚫
⚫
⚫
使用中かどうか、どう判定する？
Open Handleが残っていたら？
どこから実行する？
誤操作・連続実行をどう防ぐ？
どう作るのが良いか？（作っていいものなのか？）
……そして、どうやって上司を説得する？
19
2026/08/28


# Page. 20

![Page Image](https://bcdn.docswell.com/page/YJ6WXLP6JV.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
とりあえずやってみよう！の積み重ね
すきあず38
Hybrid Join
Entra Kerberos
FSLogix
オンプレFS
→
Entra Join
でも出来る？
すきあず39
すきあず41
Entra Join
Web Sign-In
MFA
これまでの結果
を組み合わせて
→
Hybrid×MFA
→断念
Profile Container
未アタッチ
ひとつひとつは別の検証
発表 → 質問 → 次の検証
ググって脳内妄想で終わっていた頃から、
「とりあえずやってみよう」でここまで来ました。
アウトプットはいいぞ！どんどんLTしていこ！
プロファイル
セルフリセット
20
2026/08/28


# Page. 21

![Page Image](https://bcdn.docswell.com/page/GJ5MX1K5J4.jpg)

すきやねん Azure!! #41｜教育用共用PC × Entra Kerberos × FSLogix
参考文献
1.
MS Learn Microsoft Entra Kerberos の概要
https://learn.microsoft.com/jajp/entra/identity/authentication/kerberos
2.
Azure Academy
This Update Makes Azure Virtual Desktop Truly Cloud-Native
https://www.youtube.com/watch?v=28KrwCWILGA&t=2s
3.
鶴田 光彬 ( Mitsuaki Tsuruta) NTT西日本
Entra ハイブリッド参加をせずに、オンプレリソースにSSOする方法
（Entra Kerberosの利用形式の一つ）
https://mitsurublog.com/post-11477/?utm_source=chatgpt.com
4.
@carol0226(Shuji Noguchi) in NTTデータ先端技術
Microsoft Entra Kerberos 認証 を構成し オンプレミスへ SSO する
https://qiita.com/carol0226/items/a52a54ff63c19fa957e6
21
2026/08/28