VDI（Virtual Desktop Infrastructure）

VDIとは何ですか？

VDI（Virtual Desktop Infrastructure：仮想デスクトップ基盤）とは、デスクトップ仮想化のモデルであり、ユーザーのデスクトップを個別の物理マシンではなく、データセンターやクラウド環境にホストします。ユーザーは、ノートパソコン、シンクライアント、またはその他のエンドポイントから、安全なプロトコルを通じて仮想デスクトップに接続します。

VDI 環境では、デスクトップ イメージは中央で管理され、ユーザー セッションはサーバー環境上の仮想マシンで実行されます。さらに、アプリケーションや設定を標準化でき、データはデータセンターまたはクラウド内にとどまります。

VDI は、分散型およびハイブリッドな業務体制を支援しながら、IT チームがデスクトップ環境に対してより高い可視性と制御を維持できるようにします。

VDI はどのように動作しますか？

VDI は、共有インフラ上で複数の仮想デスクトップをホストするハイパーバイザー プラットフォームに依存しています。各ユーザーには、Windows などのデスクトップ オペレーティング システムを実行する仮想マシンが割り当てられます。

ユーザーがログインすると、リモート ディスプレイ プロトコルを通じて割り当てられた仮想デスクトップに接続します。IT 管理者は、集中管理ツールからデスクトップ イメージを管理し、ポリシーを適用し、アプリケーションを展開し、セキュリティ設定を強制できます。

VDI（仮想デスクトップ インフラ）の主要なデプロイメントモデルは2つあります：

• 持続型 VDI。ユーザーは各セッションで同じ仮想デスクトップを受け取ります。
• 非持続型 VDI。ログオフ後、デスクトップはベースライン イメージにリセットされます。

非持続型 VDI は標準化を向上させますが、集中型のポリシー適用の重要性が高まります。

VDI と VM の違い：何が異なるのですか？

VDI と VM（仮想マシン）は関連していますが、同じ概念ではありません。

VM は、ハイパーバイザー上で動作するオペレーティング システムの仮想化インスタンスです。VM はサーバー、デスクトップ、またはその他のワークロードをホストできます。

VDI は、仮想デスクトップをエンドユーザーに提供することに重点を置いた、仮想マシンの具体的な利用ケースです。

VDI と VM の主な違い：

• VDI はユーザーのデスクトップを提供します。VM は任意のワークロードをホストできる場合があります
• VDI 環境では、ユーザーセッション管理とデスクトップイメージの制御が必要です
• VDI はユーザー体験と、集中管理されたデスクトップのガバナンスを重視します
• スタンドアロンの VM は、サーバーやテスト環境でよく使用されます

セキュリティおよびポリシー制御を設計する際には、VDI と VM の違いを理解することが重要です。ユーザー主導のデスクトップセッションは、サーバーのワークロードとは異なる権限やアプリケーションのリスクを伴うためです。

なぜ VDI のセキュリティは難しいのでしょうか？

VDI はインフラを集中管理しますが、エンドポイントのリスクをなくすわけではありません。ユーザーは仮想デスクトップ内で引き続き昇格した権限を必要とする場合があります。また、ローカル管理者権限が広く付与されていると、攻撃者は物理的なエンドポイントと同じようにそれらの権限を簡単に悪用できます。誤って設定されたポリシーは、プール型環境全体に素早く波及することもあります。

一般的な VDI のセキュリティ課題には、共有インフラ内での権限昇格の管理、仮想デスクトップ内でのアプリケーション実行の制御、永続デスクトップにおける構成ドリフトの防止、ハイブリッド環境全体で一貫したポリシー適用を維持すること、そして昇格を必要とするレガシーアプリケーションのサポートなどがあります。

VDI 環境は多くの場合ベースライン イメージに依存しているため、ポリシー適用は静的ではなく、動的かつ状況を理解した（コンテキストに応じた）ものにする必要があります。

ユースケース

• 安全なリモートおよびハイブリッドの体制を支援
• デスクトップ管理とパッチ適用を一元化
• 標準化された Windows 構成を強制適用
• 請負業者や一時スタッフにデスクトップを提供
• 物理エンドポイントでのデータ露出を抑える
• BYOD（bring-your-own-device）アクセスモデルをサポート

Netwrix がどのように支援できるか

VDI はデスクトップ インフラを一元化しますが、各仮想デスクトップ セッション内のきめ細かな Windows ポリシー適用や最小権限の制御を置き換えるものではありません。

Netwrix PolicyPak により、ポリシー管理とアプリケーション制御を VDI 環境まで拡張できます。組織は次のことが可能です:

• 承認済みのアプリケーションを壊すことなく、仮想デスクトップ内の不要なローカル管理者権限を削除します
• グループ ポリシー（Group Policy）やグループ ポリシーの優先設定（Group Policy Preferences）を超えて、標準の仕組みでは用意されていない設定（スクリプト、トリガー、ファイルの関連付け、ブラウザー制御など）を実装しましょう。)
• プロセスおよびアプリケーション単位で、必要最小限の権限を強制
• 永続型および非永続型の VDI プール全体に、きめ細かな Windows ポリシー設定を適用
• 仮想セッション内で、未承認の実行ファイル、スクリプト、マクロをブロック
• デスクトップ イメージで使用するグループ ポリシー オブジェクトを統合して簡素化
• 常駐の管理者グループ メンバーシップを、ポリシーに基づきルールで制御される権限昇格に置き換える

PolicyPak により、ユーザーがどこから接続しても、VDI デスクトップは安全かつ一貫性を保ち、最小権限の原則に沿った状態で運用されます。

集中管理されたデスクトップに、制御された権限昇格と最新のアプリケーション制御を組み合わせることで、VDI はリスクを増幅するものではなく、セキュリティ上の利点になります。