Azure Virtual Desktop（AVD）やWindows 365で、利用者が席を離れる際にスマートカードを抜いても、リモート画面が操作可能な状態で残ることはセキュリティ上の懸念になります。
Microsoftは2026年7月31日、Windows 11 Insider Experimental（Future Platforms）Preview Build 29639.1000で、リダイレクトされたスマートカードを取り外した際に、AVDまたはWindows 365のセッションを自動切断するポリシーを発表しました。対象は、Microsoft Entra ID認証、リリースノート上の表記では「RDS AAD Auth」を使用するWindowsセッションです。(Windows Blog)
結論として、この機能は共有端末や高セキュリティ環境の離席対策に有効です。ただし、現時点ではExperimentalビルドで段階的に展開されるプレビュー機能です。本番環境へ直ちに適用するのではなく、スマートカードのリダイレクト、ポリシー値、サービス状態、複数カード利用時の動作を検証環境で確認する必要があります。
スマートカードを抜いたらAVD・Windows 365を自動切断する新ポリシー
今回発表された機能の識別子は「Smart card removal policy」です。
| 項目 | 内容 |
|---|---|
| ポリシー識別子 | Smart card removal policy |
| 対象サービス | Azure Virtual Desktop、Windows 365 |
| 対象セッション | Windowsのリモートセッション |
| 認証方式 | Microsoft Entra ID認証（RDS AAD Auth） |
| 検知対象 | リモートセッションへリダイレクトされたスマートカード |
| カード取り外し時の動作 | リモートセッションを自動切断 |
| 掲載ビルド | Windows 11 Experimental（Future Platforms）Build 29639.1000 |
| 公開・更新日時 | 2026年7月31日17:01:56 UTC |
| 状態 | 情報提供、プレビュー段階 |
重要なのは、スマートカード取り外し制御そのものが初めて追加されたわけではない点です。Windowsには以前から「Interactive logon: Smart card removal behavior」というセキュリティポリシーがあり、カードを抜いた際に端末をロックしたり、サインアウトしたり、Remote Desktop Servicesセッションを切断したりできます。
今回の変更点は、その制御をMicrosoft Entra IDで認証されたAVDおよびWindows 365のリモートセッションにも拡張することです。(Microsoft Learn)
自動切断されると何が起きるのか
スマートカードを抜いたときに実行されるのは、原則として「サインアウト」ではなく「切断」です。
| 動作 | セッションの状態 | アプリや処理 |
|---|---|---|
| ロック | セッションに接続したままロック画面を表示 | 継続する |
| 切断 | クライアントとの接続だけを終了 | リモート側で継続する |
| サインアウト | ユーザーセッションを終了 | アプリも終了する |
セッションが切断されても、AVDのセッションホストやWindows 365のCloud PCではユーザーセッションが残ります。開いているアプリや処理も、基本的にはそのまま継続します。
利用者はスマートカードを戻して再接続することで、残っているセッションを再開できます。ただし、再接続時に認証を求められるかどうかは、Microsoft Entra IDのシングルサインオン、条件付きアクセス、サインイン頻度などの設定によって異なります。AVDでは、再接続時に条件付きアクセスが再評価される構成も可能です。(Microsoft Learn)
したがって、「カードを抜いたら作業内容をすべて終了させたい」という要件には、このポリシーだけでは不足します。その場合は、切断セッションを一定時間後に終了するポリシーも組み合わせる必要があります。
対象になる環境と前提条件
新しい動作を利用するには、少なくとも次の条件を満たす必要があります。
| 確認項目 | 必要な状態 |
|---|---|
| リモート環境 | AVDのWindowsセッション、またはWindows 365のCloud PC |
| 認証 | Microsoft Entra ID認証を使用 |
| スマートカード | ローカル端末からリモートセッションへリダイレクトされている |
| クライアント | スマートカードリダイレクトをサポートするWindows Appなど |
| リモートOS | 対象機能を含むWindowsビルド |
| ドライバー | セッションホストまたはCloud PCに必要なスマートカードドライバーが導入済み |
| ポリシー | スマートカード取り外し時の動作が構成されている |
| Windowsサービス | Smart Card Removal Policyサービスが動作可能 |
AVDでは、セッションホスト側のIntuneまたはグループポリシーと、ホストプールのRDPプロパティの両方がスマートカードリダイレクトに影響します。いずれか一方で禁止されている場合、より制限の強い設定が優先されます。
Windows 365では、Cloud PCに対してIntuneまたはグループポリシーでリダイレクトを管理します。Microsoftの公開情報では、AVDとWindows 365の既定の結果は、スマートカードをリモートセッションで利用できる構成です。(Microsoft Learn)
Microsoft Entra ID認証で値「4」が重要になる理由
現在のWindows Policy CSPには、スマートカード取り外し時の動作として次の値が掲載されています。
| 値 | 動作 |
| -: | ———————————————————– |
| 0 | 何もしない |
| 1 | ワークステーションをロック |
| 2 | 強制的にサインアウト |
| 3 | Remote Desktop Servicesセッションの場合は切断 |
| 4 | ログオン方法に関係なく、スマートカードが存在しない場合にRemote Desktop Servicesセッションを切断 |
従来のスマートカード取り外しポリシーは、スマートカードでWindowsへサインインした際に、使用したカードリーダーの情報をセッションへ関連付けて監視する仕組みでした。Microsoft Entra IDのシングルサインオンなど、スマートカード以外の方法でリモートWindowsへログオンした場合は、この関連付けが作成されない可能性があります。(Microsoft Learn)
そこで実務上重要になるのが値「4」です。
値「4」は、ユーザーがどの認証方式でログオンしたかに依存せず、システム上のすべてのスマートカードリーダーを監視します。いずれのリーダーにもカードが存在しなくなった場合に、Remote Desktop Servicesセッションを切断します。(Microsoft Learn)
Build 29639.1000のリリースノート自体には、今回の機能と値「4」の対応関係までは明記されていません。ただし、「Microsoft Entra ID認証のセッション」「認証方法に関係なくカードの有無を監視」という両者の説明は整合しています。
そのため、AVDやWindows 365の検証では、値「3」だけでなく値「4」を優先して動作確認するのが現実的です。
検証環境での設定手順
スマートカードリダイレクトを確認する
AVDでは、Azure portalから次の順に確認します。
- 「Azure Virtual Desktop」を開く
- 「ホストプール」を選択する
- 対象のホストプールを開く
- 「RDP Properties」を開く
- 「Device redirection」を選択する
- 「Smart card redirection」を、ローカルのスマートカードをリモートセッションで利用できる設定にする
- 設定を保存する
カスタムRDPプロパティで管理する場合、スマートカードを許可する値は次の形式です。
redirectsmartcards:i:1セッションホスト側で「Do not allow smart card device redirection」が有効になっていると、ホストプール側で許可してもリダイレクトされません。Intune、グループポリシー、RDPプロパティの設定が競合していないか確認してください。(Microsoft Learn)
セッション内でカードが認識されているか確認する
AVDまたはWindows 365へ接続し、リモートセッション内のコマンドプロンプトかPowerShellで次を実行します。
certutil -scinfoカードリーダーとカードの状態が表示されれば、リダイレクト経路とドライバーは概ね正常です。
カード情報が表示されない場合は、取り外しポリシーを調整する前に、次の項目を確認します。
- 使用しているクライアントがスマートカードリダイレクトに対応しているか
- セッションホストまたはCloud PCにドライバーが入っているか
- Intuneやグループポリシーでリダイレクトが禁止されていないか
- AVDのRDPプロパティが正しく設定されているか
AVDとWindows 365のどちらも、リモートセッション内でスマートカードを使うには、リダイレクトの許可とリモートWindows側のドライバーが必要です。(Microsoft Learn)
グループポリシーで取り外し時の動作を設定する
グループポリシーでは、次の場所を開きます。
コンピューターの構成
> Windows の設定
> セキュリティの設定
> ローカル ポリシー
> セキュリティ オプション
> 対話型ログオン: スマート カード取り外し時の動作英語表記は次のとおりです。
Computer Configuration
> Windows Settings
> Security Settings
> Local Policies
> Security Options
> Interactive logon: Smart card removal behaviorMicrosoft Entra ID認証のAVDまたはWindows 365を検証する場合は、次の選択肢が表示されるか確認します。
Disconnect if a Remote Desktop Services session
when no smart card is present, regardless of logon method管理用テンプレートやOSビルドが古い場合、値「4」に相当する選択肢が管理画面に表示されないことがあります。プレビュービルドと管理端末側のテンプレートが一致しているかも確認してください。
IntuneのPolicy CSPで設定する場合
Policy CSPで配布する場合、Microsoftが公開している設定パスは次のとおりです。
./Device/Vendor/MSFT/Policy/Config/LocalPoliciesSecurityOptions/InteractiveLogon_SmartCardRemovalBehaviorMicrosoft Entra ID認証方式に依存せず、カードがなくなった際にRDSセッションを切断する値は次のとおりです。
データ型: String
値: 4古いOSへ同じ値を配布しても、新しい監視動作が利用できるとは限りません。対象ビルドと機能の配信状態を確認し、検証用デバイスグループへ限定して割り当てるのが安全です。(Microsoft Learn)
Smart Card Removal Policyサービスを確認する
ポリシーが正しく設定されていても、Smart Card Removal Policyサービスが動作できない状態では取り外しを検知できません。
リモートセッション側で管理者権限のPowerShellを開き、次を実行します。
Get-Service -Name ScPolicySvc |
Select-Object Name, Status, StartType検証時にサービスが停止している場合は、次のコマンドで起動できます。
Start-Service -Name ScPolicySvcMicrosoftのドキュメントでも、スマートカード取り外しポリシーを動作させるにはScPolicySvcが開始されている必要があると説明されています。サービスのスタートアップ種類を一律に変更する前に、まずポリシー適用後の自動起動状態を確認してください。(Microsoft Learn)
動作確認で見るべきポイント
本番導入前は、単に「一度切断された」ことだけで判断せず、次の手順で確認します。
- Microsoft Entra ID認証でAVDまたはWindows 365へ接続する
certutil -scinfoでリダイレクトされたカードを確認する- メモ帳などの検証用アプリを起動する
- スマートカードをカードリーダーから抜く
- リモート接続が自動的に切断されることを確認する
- 管理画面でセッション状態が「Disconnected」になっていることを確認する
- カードを戻して再接続する
- 検証用アプリが残っていることを確認する
- 条件付きアクセスや多要素認証が想定どおり再評価されるか確認する
特に注意したいのが、複数のカードリーダーを接続している環境です。
値「4」は、すべてのカードリーダーからカードがなくなった場合に切断する動作です。別のリーダーにカードが残っていれば、1枚を抜いても切断されない可能性があります。共有受付端末や複数カードを扱う業務では、必ず実際の機器構成で確認してください。(Microsoft Learn)
自動切断されないときの主な原因
| 症状 | 確認するポイント |
|---|---|
| カードを抜いても何も起きない | ポリシーが未構成、または値0になっていないか |
| Entra ID認証時だけ動かない | 値3ではなく値4が必要な環境ではないか |
| セッション内でカードが見えない | リダイレクト、ドライバー、クライアント対応状況 |
| 一部のホストだけ動かない | OSビルドや段階的ロールアウトの差 |
| カードを抜くとサインアウトされる | 値2の「Force Logoff」が設定されていないか |
| 1枚抜いても切断されない | 別のリーダーにカードが残っていないか |
| ポリシー適用後も変わらない | セッションホストやCloud PCを再起動したか |
| 再接続時に認証画面が出る | 条件付きアクセスやサインイン頻度の動作ではないか |
| サービスが見つからない、起動しない | 対象OS、サービス構成、イベントログを確認 |
Build 29639.1000の機能は段階的に展開される変更として掲載されています。同じビルドでも、すべての端末に同時に有効化されるとは限りません。また、Experimental（Future Platforms）の機能は変更、削除、置き換えられる可能性があり、正式版へ必ず搭載されるものではありません。(Microsoft Learn)
セキュリティ対策では「切断後」まで設計する
スマートカード取り外し時の自動切断は、次のような環境で特に効果があります。
- 病院や自治体などの共有業務端末
- 金融機関やコールセンター
- 委託業者が利用する管理端末
- 設計、研究、製造など機密情報を扱う端末
- ICカードを社員証や認証カードとして利用する環境
ただし、接続を切断するだけでは、リモート側のセッションは終了しません。
AVDでは、切断されたセッションもホストの収容数やオートスケールの判断に影響します。長期間残った切断セッションによって、セッションホストが停止できず、想定よりAzureコストが高くなる可能性もあります。(Microsoft Learn)
必要に応じて、次のグループポリシーを併用します。
Computer Configuration
> Administrative Templates
> Windows Components
> Remote Desktop Services
> Remote Desktop Session Host
> Session Time Limits
> Set time limit for disconnected sessionsたとえば、カード取り外し直後はセッションを残して再接続できるようにし、一定時間が経過したらサインアウトさせる設計が考えられます。
ただし、切断セッションの終了時間を短くしすぎると、ネットワークの一時的な切断でも作業中のセッションが終了する危険があります。MicrosoftのAVD向け案内では、切断セッションの終了時間を5分以下にしないよう注意が示されています。業務内容やデータ保存方法を確認したうえで設定してください。(Microsoft Learn)
スマートカードリダイレクトの禁止とは別の機能
今回のポリシーと、スマートカードリダイレクトの禁止は目的が異なります。
- スマートカードリダイレクトの禁止
リモートセッションからカードを利用できないようにする - スマートカード取り外し時の自動切断
カードを利用可能にしたうえで、カードがなくなったら接続を切る
リダイレクト自体を禁止すると、リモートセッションはカードの挿入状態を認識できません。カードを業務システムの認証に利用しながら離席対策も強化したい場合は、リダイレクトを許可し、取り外しポリシーを構成する必要があります。
現時点では検証環境への限定導入が適切
スマートカード取り外し時のAVD・Windows 365自動切断は、物理カードの所持状態とリモートセッションを連動させられる有用なセキュリティ機能です。
導入を検討する管理者は、まず次の順序で確認してください。
- 対象セッションがMicrosoft Entra ID認証を使用しているか
- スマートカードがリモートセッションへ正しくリダイレクトされているか
InteractiveLogon_SmartCardRemovalBehaviorの値「4」を利用できるかScPolicySvcが動作しているか- 最後のカードを抜いた際にセッションが切断されるか
- 再接続時の条件付きアクセスが要件どおりか
- 切断セッションの終了時間を別途設定すべきか
現段階ではExperimental（Future Platforms）ビルドの情報であり、正式提供時期や最終的な設定方法は確定していません。既存の画面ロック、条件付きアクセス、セッションタイムアウトを維持したまま、小規模な検証用AVDホストプールまたは検証用Cloud PCで評価するのが適切です。
コメント