AWSの仮想デスクトップ「Amazon WorkSpaces」とは？料金やスペック・使い方を解説

本記事では、AWSの仮想デスクトップサービスであるAmazon WorkSpacesについて特徴や使い方等について解説します。

　アシストの「Amazon WorkSpaces導入支援サービス」とは？

Amazon WorkSpacesは、AWSが提供するマネージドなクラウド型の仮想デスクトップサービスです。AWS上に展開された仮想デスクトップには、多様なデバイスからインターネット経由でアクセスできます。

Amazon WorkSpacesは、いわゆる「DaaS（Desktop as a Service）」に分類されるサービスです。 Amazon WorkSpacesを理解するためには、そもそもDaaSとは何かについて押さえておくことが重要です。

まずは、DaaSを理解するための前提知識となるVDIとは何かについて解説します。 その後、VDIの提供形態のひとつであるDaaSについて解説します。

VDIとはVirtual Desktop Infrastructureの略で、仮想デスクトップを利用する仕組み、あるいは仮想デスクトップを展開する基盤そのものを指します。 仮想デスクトップとは、単一のサーバー上で複数の仮想的なクライアントコンピュータ（デスクトップ）を起動させる技術を指します。 仮想デスクトップを活用することで、社員への業務用デスクトップの提供を効率的かつセキュアに行えます。

以下の特徴をもつデスクトップの形態であることから、VDIはモダンな働き方を実現するソリューションとして注目されています。

・ネットワークさえつながれば、どこからでも利用できる
・端末に情報を残さないため、情報漏洩リスクを軽減できる
・物理PCに比べ、キッティングの負荷が低い

続いてDaaSとは何かについて解説します。

VDIの利用形態としては以下の2つがあり、DaaSは後者のクラウド型VDIにあたります。

・オンプレミス型VDI…ユーザー自身で展開するVDI。サーバーインフラの設計～実装～運用はユーザーの責任範囲となる。
・クラウド型VDI…クラウド事業者が提供するVDI。サーバーインフラの設計～実装～運用はクラウド事業者の責任範囲となる。

DaaSはクラウド型VDIであるため、インフラの設計および管理負荷が低く、オンプレミス型VDIよりもスピーディかつ柔軟に利用することができます。

Amazon WorkSpacesは以下の特徴を持ちます。それぞれ解説します。

ユースケースに応じて様々なスペックのマシンを選択することができます。
Amazon WorkSpacesにおいて、ハードウェア、OS、搭載ソフトウェア、利用プロトコルを組み合わせたものをバンドルと呼びます。

Amazon WorkSpacesは、多くのユースケースに利用できるよう多様なバンドルを提供しています。選択可能なバンドルの一覧および各バンドルの対象ユーザー、ユースケースを示します。

参考：https://aws.amazon.com/jp/workspaces/features/#Amazon_WorkSpaces_Bundles

Amazon WorkSpacesはセキュリティを高く保てるよう設計されており、安心して利用することができます。
WorkSpacesのセキュリティおよび暗号化について解説します。

Amazon WorkSpacesの物理インフラはAWSによって管理されています。
また、その管理におけるセキュリティ水準として、HIPAA（*1）に適合およびPCI（*2）に準拠しています。
そのため、機密性の高いデータを扱うユースケースにおいても、安心してAmazon WorkSpacesを採用することができます。

（*1）医療情報のセキュリティを確保するための法律
（*2）クレジットカード情報のセキュリティ確保を目的とするセキュリティ基準
参考：https://aws.amazon.com/jp/about-aws/whats-new/2017/07/amazon-workspaces-achieves-hipaa-eligibility-and-pci-compliance/

Amazon WorkSpacesには仮想デスクトップへのアクセス制御機能が複数用意されています。
アクセス制御の機能により、Amazon WorkSpacesの仮想デスクトップへの第3者の不正なアクセスを防止することができます。ここでは2つご紹介します。

証明書ベースの認証
クライアント証明書を利用した認証を行うことができます。
信頼されたクライアント証明書を持っているデバイスのみがWorkSpacesにアクセスできるようになります。

アクセス元IPアドレスの制御
アクセス元のIPアドレス範囲を指定し、それ以外からのアクセスを拒否することができます。
それにより、WorkSpacesへのアクセスを企業の信頼されたネットワークからのアクセスのみに絞ることができます。

Amazon WorkSpacesでは、以下2つの観点での暗号化が行われています。
それによりリモートデスクトップ通信の安全性および保管データの安全性が担保できます。

画面転送通信の暗号化
Amazon WorkSpacesがサポートする通信プロトコルは全て暗号化される仕様となっています。サポートしている通信プロトコルはPCoIPとWSPです。PCoIPはVDIで一般的に利用されるプロトコルで、WSPはWorkSpaces用に開発されたクラウドネイティブなプロトコルです。
　
保管データの暗号化
WorkSpacesのストレージボリュームは、AWS KMS（*1）を利用して暗号化できます。ただし、保管データの暗号化を行うにあたってはいくつか制約事項もあるため、以下公式ドキュメントも併せてご確認ください。

参考：暗号化されたWorkSpaces-Limits
https://docs.aws.amazon.com/ja_jp/workspaces/latest/adminguide/encrypt-workspaces.html#encryption_limits
（*1）AWSのデータ暗号化に利用するマネージドサービス

Amazon WorkSpacesは、デフォルトで自動バックアップされる仕様となっています。
そのため、ユーザー側でバックアップ設定を検討する必要はありません。
自動バックアップの対象はユーザーのデータ保管用のDドライブです。
取得の間隔は12時間です。

Amazon WorkSpacesでは、アクセス元として7種類のデバイスをサポートしています。（2023年10月30日時点）
そのため、システム要件やユーザーの希望に合わせて柔軟にデバイスを選定することができます。

サポートされているデバイスは以下のとお通りです。
・Windowsパソコン
・Macパソコン
・iPad
・Chromebook
・Fireタブレット
・Androidタブレット
・ZeroClientデバイス

Amazon WorkSpacesでは以下2つの料金体系があります。課金は仮想デスクトップ1台ごとに発生します。

AlwaysOn（月額料金）
月額の固定料金を支払う料金体系です。仮想デスクトップを何時間起動していたかに関わらず、定額で利用できるようになります。

平日に毎日4時間以上利用する場合は、AlwaysOnを使った方が安くなる価格設定となっています。そのため、社員のメインPCや長期プロジェクト等、月当たりの利用時間が長い用途に最適です。

AutoStop（時間料金）
少額の固定料金と、時間当たりの従量課金が発生します。
平日の利用時間が4時間に満たない場合は、AutoStopを使った方が安くなります。そのため、 検証作業や短期プロジェクト等、月当たりの利用時間が短い用途に最適です。

バリュータイプおよびWindowsのバンドルにおける、料金のシミュレーション例は以下のとおり通りです。「No.1」と「No.3」に注目していただくと分かるわかるとおり、「平日4時間以上WorkSpacesを起動する」場合はAlwaysOnの方がお得になります。

※1か月の平日日数を20日として、時間当たりの単価・日当たりの利用時間・日数を掛け合わせて月額費用を算出しています。
※1USD=150円で換算しています。
※上記は、以下の前提で算出しています。

　バンドル：Windows
　タイプ：バリュー
　ルートボリューム：80GB
　ユーザーボリューム：10GB

※リージョン、スペック、OS種別等で金額は変わるため、必要に応じて公式ドキュメントをご確認ください。

参考：Amazon WorkSpaces の料金
https://aws.amazon.com/jp/workspaces/pricing/

　アシストの「Amazon WorkSpaces導入支援サービス」とは？

Amazon WorkSpacesを利用することによるメリットを3つ紹介します。

Amazon WorkSpacesを利用することで、社員のデスクトップ利用時の情報漏洩などのセキュリティリスクを軽減できます。

仮想デスクトップ環境は、全てのデスクトップがサーバー上に展開されます。そのため、業務用途で利用する一般的なファットクライアントとは異なり、端末側にデータは保存されません。

そのため、Amazon WorkSpacesにアクセスするデバイスを紛失した際に、デバイスからデータ流出する可能性を低減できます。

Amazon WorkSpacesでは、物理PC利用に比べ、社員にデスクトップを割り当てるまでのキッティング負荷を軽減することができます。
前述のとおり、Amazon WorkSpacesのバンドルはハードウェア・OS・ソフトウェア等の情報を全て含みます。
そして、利用者側で任意のセットアップを行ったカスタムバンドルを作成することもできるため、必要なソフトウェア等を全てセットアップしたマスター用途のバンドルも作成可能です。
マスター用途のバンドルが用意されていれば、キッティング済の仮想デスクトップを簡単に複製できるため、社員にデスクトップを割り当てるまでの手間を最小限にすることができます。

物理PCとWorkSpacesのキッティングタスクの比較

※初回のマスターバンドル作成の際には、物理PCのキッティング対応と同等の作業を実施する必要があります。
※物理PCの場合マスターPCの作成およびクローニングによる負荷軽減は可能ですが、各物理PCに対して個別に対応は必要なため、結局のところ負担は少なくありません。

Amazon WorkSpacesはDaaSにあたるサービスのため、最低限のセットアップですぐに仮想デスクトップを利用開始できます。
オンプレミス型VDIを導入する場合は、以下の懸念事項があります。

・VDIサーバーの購入に高額なの初期投資が必要
・基盤のサーバーのサイジング、調達、構築などの対応が必要

Amazon WorkSpacesでは、そのような高価な初期投資や基盤構築のためのリードタイムは必要ありません。

Windows OSのバンドルを利用する際には1点注意点があります。
WorkSpacesではクライアントOSとしてWindows 10を利用可能です。しかし、その実態はWindows Server OSで、Windows 10のUIをデスクトップエクスペリエンスを利用して提供しています。（Windows ServerにWindows 10のUIを被せて提供しているイメージです）

そのため、Windows 10を採用する際は、利用予定のアプリケーションが正常に利用可能かを事前検証することをおすすめします。

Amazon WorkSpacesの料金は、OS・スペック・ボリュームサイズ・課金オプションによって決まります。

以下に、OSはWindows、サイズはスタンダードを指定したバンドルの料金の例を示します。

Windowsバンドルでは、Microsoftのソフトウェアがあらかじめ予め搭載されているアプリケーションバンドルも利用可能です。
アプリケーションバンドルは、通常のバンドルにオプションとして追加するものです。そのため、利用の際は通常料金に追加料金が加わる形となります。

サブスクリプション型の利用形態であるMicrosoft 365は、ライセンス持ち込み（BYOL）をすればAmazon WorkSpaces上でも利用可能です。
前提として、Microsoft のライセンス要件を満たしている必要があるため、利用開始にあたってはライセンス要件を事前に確認することをおすすめします。

参考：
https://docs.aws.amazon.com/workspaces/latest/adminguide/byol-microsoft365-licenses.html

Amazon WorkSpacesの利用イメージを持っていただくため、デスクトップにアクセスするまでの手順を解説します。
今回は、「高速セットアップ」の機能を利用して簡易的な設定で、Amazon WorkSpacesにアクセスするまでの手順をお見せします。

１．WorkSpacesコンソールへのアクセス
AWSマネジメントコンソールの検索窓に「WorkSpaces」と入力し、表示された「WorkSpaces」をクリックします。

２．高速セットアップの開始
表示されたWorkSpacesコンソールの画面から、「高速セットアップ」をクリックします。

３．ユーザー作成
まずはWorkSpacesの仮想デスクトップを割り当てるユーザーの作成が必要です。
「ユーザーを作成」画面にて、空欄に必要な情報を記入します。
本ステップで指定したメールアドレスに作成完了メールが送信されるため、メールアドレスを間違えないように記入します。
記入後、「次へ」をクリックします。

４．バンドル選択
WorkSpacesのバンドルを選択します。
「バンドルを選択」画面にてまずはサイズを選択します。ここでは「Standard」を選択します。

続いて、各種フィルタリング条件を設定します。
最終的に、以下条件のバンドルを選択しています。

OS：Windows 10（ベース：Windows Server 2019）
プロトコル：WSP
言語：Japanese

バンドルが選択できたら、「次へ」をクリックします。

５．作成の開始
確認画面が表示されます。
設定内容に間違いがないことを確認し、「作成」をクリックします。

６．作成完了メールの確認
Amazon WorkSpacesの仮想デスクトップ作成完了後、登録したユーザーのEメールアドレス宛に以下のメールが送付されます。

７．初期設定
メール本文の「1.」に記載されているリンクにアクセスします。
そこで認証情報の初期設定をします。空欄に上から名前・苗字・メールアドレス・パスワード・パスワード（2回目）を入力し、「ユーザーの更新」をクリックします。

８．WorkSpacesクライアントのセットアップ
８-1．認証情報の設定完了後、クライアントダウンロード画面に遷移します。
ここでは、アクセス元の種別に応じたクライアントのモジュールをダウンロードできます。
今回はWindowsクライアントからアクセスするため、Windows用クライアントをダウンロードします。
「Latest 64 Bit Client」-「Download」をクリックします。

８-２．ダウンロードが完了したら、エクスプローラから、ダウンロードされたファイル「Amazon+WorkSpaces」をダブルクリックします。

８-３．設定ウィザードが開始します。全てデフォルト設定のまま「Next」をクリックします。その後インストールに入ります。インストールが完了したら「Finish」をクリックします。

９．WorkSpacesへのアクセス
９-１．デスクトップに表示されたWorkSpacesのアイコンをダブルクリックします。

９-２．WorkSpacesクライアントの画面が表示されるため、先ほど「６．作成完了メールの確認」-「2.」で記載されている登録コードを入力しRegisterをクリックします。

９-３．認証情報が求められるため、「７．初期設定」で入力したユーザー名およびパスワードを入力して「Sign In」をクリックします。

９-４．認証に成功すると、Amazon WorkSpacesのデスクトップが表示されます。

Amazon WorkSpacesの仮想デスクトップにアクセスするまでの簡易的な手順は以上です。

ここまでで、Amazon WorkSpacesの基本的な情報をご案内してきました。
使い方でもご案内したとおり、Amazon WorkSpacesは簡単なセットアップで利用を開始できます。

なお、Amazon WorkSpacesを本格利用するにあたっては、要件に合わせて既存のActive Directoryとの連携や、Amazon WorkSpacesとオンプレミスネットワークとの接続設定など、より細かく設定を行うこともできます。

弊社でも、WorkSpacesの導入を検討している方向けの「Amazon WorkSpaces導入支援サービス」を提供しています。本支援では、利用のための基本的な設計および導入後の運用管理のためのトレーニングまで実施可能です。WorkSpaces導入検討中のお客様は、ぜひ弊社支援をご検討ください。

　アシストの「Amazon WorkSpaces導入支援サービス」とは？