Quick Desktop を会社に配る | 目指せ Quick マスター 14

Amazon Quick のデスクトップアプリ Quick Desktop (ドキュメント上の名前は Amazon Quick on desktop) を、会社の端末に配る前に決めることをまとめた配布資料です。情報システム部門と Quick の管理者に向けて、有効にする手順、配り方、通信と監査を説明します。「しくみ」の章では、端末、Quick のサービス、つないだサービスの 3 つの責任の境と、1 回の依頼の処理の流れを扱います。「有効にする」の章では、まず custom permissions で使える人を絞る手順を示します。desktop connector を足すと、すぐ全員が使えるようになるためです。あわせて、サインインの方法 (既定の方法と、専用の IdP を使う設定) と、使えるリージョン (東京は使えます) を扱います。「配る」の章では、MDM で端末の全員に入る版 (per-machine。macOS の .pkg と Windows の .exe) を配る流れと、ソーシャルログインと自動更新を止める管理設定 (DisableSocialLogin、DisableAutoUpdates) を扱います。「通信と監査」の章では、外向きの 443 と、サインインの間だけ端末の中 (localhost) で使う 18080 を構成図で示します。クラウドのコネクタの通信経路、端末で動く道具 (フォルダやブラウザの操作など) の権限、データの置き場所 (端末のデータは Quick が暗号化しないので、FileVault か BitLocker で守る)、AWS CloudTrail と、会話の記録を自分のアカウントに届ける vended logs も整理します。デスクトップアプリの画面 3 枚 (版の表示、道具の許可、診断の書き出し) を載せています。付録に、許可するドメインの一覧、用語、出典があります。2026 年 11 月時点の公開ドキュメントをもとにしています。シリーズ「目指せ Quick マスター」の 14 (会社に入れる) です。

Transcript

1. ⽬指せ Quick マスター 会社に⼊れる Quick Desktop を会社に配る 接続、配布、通信、監査 2026-11 時点 14 2026 年 11 ⽉ 稲⽥ ⼤陸 アマゾン ウェブ サービス ジャパン © 2026, Amazon Web © 2026, Services, Amazon Inc. or Web its Services, affiliates.Inc. All or rights its affiliates. reserved.All rights reserved. 1
2. はじめに ⾃⼰紹介 稲⽥ ⼤陸 いなだ りく (いなりく) アマゾン ウェブ サービス ジャパン合同会社 ソリューションアーキテクト 製造業のお客様を中⼼に⽀援 最近の取り組み AI 駆動開発ライフサイクルの推進 Kiro と AWS Amplify の情報発信 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. X @inada_riku Speaker Deck speakerdeck.com/inariku Zenn zenn.dev/inariku GitHub github.com/inariku 2
3. はじめに シリーズの中の位置 いまは 14 Quick Desktop を会社に配る、次は 15 Amazon QuickSight から Quick へ はじめる 01–03 使いこなす 04–08 ⼿を離す 09–12 会社に⼊れる 01 Amazon Quick ⼊⾨ 04 頼み⽅と成果物 Quick 09 Research 02 Quick Web ⼊⾨ 05 スペースとナレッジ 10 Quick Flows 前に読む 03 Quick Desktop ⼊⾨ 動き続ける 06 エージェントと Skill 11 エージェント 07 コネクタと拡張機能 12 Quick Automate 13–15 アップデート編 前に読む 13 Quick を会社に⼊れる 14 を会社に配る Quick Desktop 2026.11 毎⽉増える 次に読む QuickSight 15 Amazon から Quick へ 08 Quick Sight と Apps © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 3
4. はじめに この資料で分かること 有効にする⼿順、配り⽅、通信と監査が分かる 1 desktop connector を⾜すと全員に開くので、先に custom permissions で絞る。 2 MDM で端末ごとの版を配り、OS の管理の場所に決まりを置く。 3 通信は外向きの 443。⼿元の道具は利⽤者の OS の権限で動き、端末はディスクの 暗号化で守る。 Quick Desktop は Amazon Quick のデスクトップアプリ (docs の名前は Amazon Quick on desktop) 前に読むとよい資料: 13 と 03 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 4
5. しくみ 3 つの境 端末は会社が、Quick のサービスは AWS が、つないだサービスは会社か提供元が守る たとえ: アシスタントに社員の机の鍵を配る前に、配り⽅と鍵の種類を決める 社員の端末 Amazon Quick のサービス つないだサービス 会社が守る AWS が守る 会社か提供元が守る Quick Desktop (アプリ) エージェントの実⾏環境 コネクタの先の ⼿元の道具 会話と記憶の保存 業務アプリなど ディスクの暗号化 権限の確かめ AWS は会話、ファイル、利⽤者の情報を AI のモデルの学習と改善に使わない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 5
6. しくみ 1 回の頼みの流れ 頼みはクラウドの実⾏環境で処理し、道具を使う前に 3 つの権限を確かめる ① 送る ② 考える ③ 確かめる ④ 残す ⑤ 返す アプリが頼みと 実⾏環境が 道具の前に管理者、 会話を暗号化して 答えをアプリに 添付を送る モデルで処理する コネクタの持ち主、 保存する 返す (本⼈のトークン) 利⽤者の権限を 確かめる 実⾏環境 (クラウド) は Amazon Bedrock AgentCore の上で動き、Amazon Bedrock のモデルを使う 利⽤者ごとに専⽤の環境で、セッションごとに microVM (⼩さな仮想マシン) で分かれる © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 6
7. 有効にする 有効にする connector を⾜すとすぐ全員に開くので、先に絞る ① 先に絞る ② connector を⾜す ③ 確かめて広げる custom permissions の Manage account → 状態が Enabled か⾒る Quick desktop を Inbound connectors → 広げるときは ① を直す 利⽤者か役割で⽌める Quick Desktop のタブ → Add desktop connector ⾃動の更新を⽌めている端末には、⾜す前に版 1.1.4053 以上を配る 前提: Enterprise、ホームリージョン (9 枚⽬) © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 7
8. 有効にする サインイン Web と同じ⽅法で⼊れる。別に管理するなら専⽤の IdP の設定 既定 IdP 専⽤の IdP 使うとき ふつうはこれ IdP で、デスクトップのサインインを Web と分けて管理するとき IdP の作業 要らない OIDC のアプリを登録する サインインが続く 最⻑ 30 ⽇ (1 時間ごとに更新) 30 ⽇か IdP の上限の短い⽅ どちらも AWS IAM Identity Center、IAM のフェデレーション、Quick の利⽤者で使える 専⽤の設定は IdP と Quick のメールを⼀致させる。⼿順は IdP ごと © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 8
9. 有効にする リージョンの条件 デスクトップは、エージェントの機能があるリージョンだけで使える。東京は使える 使えるリージョン Quick のアカウント ホームリージョンが 右のどれかであること ⽶国東部 (バージニア北部) ⽶国⻄部 (オレゴン) アジアパシフィック (東京) アジアパシフィック (シンガポール) アジアパシフィック (シドニー) 欧州 (フランクフルト) 欧州 (アイルランド) 欧州 (ロンドン) AWS GovCloud (⽶国⻄部) 東京のアカウントは、推論が⽇本の中 (東京と⼤阪のリージョン) で動き、Web 検索は東京で処理する © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 9
10. 配る 配る MDM で .pkg と .exe を、操作なしに配る ① 配布元から取る ② MDM に上げる ③ 端末に⼊る desktop.downloads.quick.aws.com 端末の全員に⼊る版。 macOS → /Applications の⼀覧に版と SHA-512 Windows は名前に Windows (/S) → Admin が付く .exe Program Files macOS は Apple Silicon。Windows は Pro、Enterprise、Education 配るだけでは使えない (7 枚⽬) About の Version が 7 枚⽬の 1.1.4053 以上かを⾒る © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 10
11. 配る 端末の決まり ソーシャルのサインインと⾃動の更新を⽌められる 管理者 ⽌める ソーシャル ⾃動の更新 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. macOS (構成プロファイル) Windows (レジストリ) 場所 com.aws.QuickWork.mac (preference domain) HKLM\SOFTWARE\Policies\Amazon\Quick DisableSocialLogin true (Boolean) REG_DWORD 1 DisableAutoUpdates major か minor か patch (String) REG_SZ で同じ major は major だけ、minor は minor 以上、patch は全部の更新を⽌める。AWS のすすめは minor か major 11
12. 通信と監査 通信 通信はすべてアプリから外向きに 443 で出る。サインインの間だけ⼿元の 18080 で待つ ①②③ 外向きの 443 (HTTPS と WebSocket、TLS 1.2 以上)。許すドメインは付録 A1。プロキシは OS の設定に従う。通信を検査するなら会社の CA を OS に ⼊れる (MDM の証明書のプロファイル) ④ サインインの間だけ localhost:18080 でブラウザからの戻りを待つ。端末の防御のソフトが⽌めるなら許す © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 12
13. 通信と監査 クラウドの連携の通り道 クラウドのコネクタとデータの元への通信は、端末ではなく Quick のサービスから出る 社員の端末 Quick Desktop ① 頼み Amazon Quick のサービス コネクタの鍵 (トークン) ⼿元の道具だけを はアカウントの⾦庫に 動かす 置く ② 道具 つないだサービス ③ 呼ぶ クラウドのコネクタ ナレッジベース、 データソース ② はアプリが開いた WebSocket を通る。③ は公開のネットワークか VPC 接続で、端末から出ない アプリと Quick の間は外向きの 443 だけ。⼿元の道具の通信は、その道具しだい © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 13
14. 通信と監査 ⼿元の道具の権限 ⼿元の道具は、サインインした利⽤者の OS の権限で動く カスタマイズ → コネクタ → ⾏の右の ⋮ → アクセス許可を管理 ⼿元の道具は利⽤者の OS の権限で動く。コードの実⾏はネットワークの無い囲い (サンドボックス) で動く 利⽤者が決める (上の画⾯) 管理者が⽌める (custom permissions) 道具ごとに、いつも許す、毎回聞く、いつも⽌める ⼿元のコネクタ、コーディングエージェント、ブラウザの 読めるのは許したフォルダと OS の⼀時フォルダ 操作、端末でのコード実⾏。何を⾜したかは管理者に⾒えない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 14
15. 通信と監査 データの置き場所 会話はクラウドに、設定と記録は端末に置き、端末はディスクの暗号化で守る Quick のアカウント 置くもの 会話、記憶、ナレッジグラフ、 ライブラリ、Skill、索引 守り 端末 設定と許可 (.quickwork)、記録、 キャッシュ。トークンと MCP の秘密は OS へ Quick は暗号化しない。会社が FileVault か BitLocker で守る 利⽤者ごとに分け、暗号化 気をつける — 同じ OS の利⽤者で動くアプリなら読める アンインストールしても全部は消えない ⼿元のフォルダは、索引を⼊れるまでクラウドに上げない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 15
16. 通信と監査 監視と監査 API は AWS CloudTrail に残る。会話は vended logs を設定すると残る 道具 中⾝ AWS CloudTrail API の呼び出しと、データイベントでコネクタの⾏動 vended logs 会話 (incognito も) を Amazon CloudWatch Logs、Amazon S3 などへ。設定後の分だけ 端末の診断 利⽤者がアプリの 設定 → ⾼度で書き出す (下の画⾯) 取り消す 1 ⼈は利⽤者を消し、まとめて custom permissions で⽌める。端末が切れる時間は docs に無い © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 16
17. まとめ まとめ 絞ってから開き、MDM で配り、通り道と権限を決める 1 desktop connector を⾜すと全員に開くので、先に custom permissions で絞る。 2 MDM で端末ごとの版を配り、OS の管理の場所に決まりを置く。 3 通信は外向きの 443。⼿元の道具は利⽤者の OS の権限で動き、端末はディスクの 暗号化で守る。 進める順の例 (提案。AWS の決まった⼿順ではない) ① 絞る ② 通信を開ける ③ 端末の決まりを置く ④ 配る ⑤ desktop connector を⾜す ⑥ 広げる © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 17
18. まとめ 次に読む資料 予定で動くエージェントは 11、会社の決まりの全体は 13 11 13 動き続けるエージェント Quick を会社に⼊れる 予定の実⾏、フィード、Mission Control、承認 アカウント、サインイン、リージョン、 デスクトップで予定を組み、動き続ける エージェントを使うなら © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 権限、利⽤量 会社の決まりの全体を作るなら 18
19. 付録 A1 許可するドメインの⼀覧 分類 ドメイン 使い道 Quick の管理の画⾯ *.quicksight.aws.amazon.com Web の画⾯、資源を探す Quick のデータ *.dp.appintegrations (docs の書き⽅のまま) 推論、ストリーミング、検索 サインインと API <tenant-id>.<region>.enterprise.quick.aws.com <tenant-id>.*.<region>.enterprise.quick.aws.com サインイン、トークン、 デスクトップの API 設定と更新 *.cloudfront.net (Amazon CloudFront) 機能の切り替え、更新、Apps の中⾝ テレメトリー cognito-identity.*.amazonaws.com 動きの記録 会社の IdP 会社ごと (例: login.microsoftonline.com) IdP でのサインイン * はリージョン、セル、CloudFront の ID。サインインのセルは変わる。表は docs のまま (*.dp.appintegrations の末尾と、<cellid>.dp.appintegrations.<region> の調べ⽅は docs に無い) <tenant-id> は、Inbound connectors の Quick Desktop のタブで desktop connector を開くと分かる。配布元は desktop.downloads.quick.aws.com © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 19
20. 付録 A2 ⽤語 ⽤語 意味 ⽤語 意味 desktop connector デスクトップを有効にする管理の設定 custom permissions 管理者が使える機能を絞る決まり MDM 会社の端末をまとめて管理する仕組み IdP 会社の ID の仕組み (サインインの元) OIDC サインインの結果を渡す公開の決まり ⼿元の道具 端末で動くフォルダやブラウザの操作など per-machine 端末の全員に⼊れる版 サンドボックス ネットワークの無い囲い microVM セッションごとの⼩さな仮想マシン vended logs 会話の記録を⾃分のアカウントに届ける データイベント CloudTrail の、資源の中の操作の記録 incognito 記憶に残さない会話 MCP Model Context Protocol。AI と道具の決まり CA 証明書を出す所 (認証局) © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 20
21. 付録 A3 出典と参考 Amazon Quick User Guide (2026-11-09 に読んだ) https://docs.aws.amazon.com/quick/latest/userguide/ Administering Amazon Quick on desktop の章: Enterprise setup、Dedicated identity provider configuration (Microsoft Entra ID、Google Workspace、Okta、 Ping Identity)、Managed deployment configuration、Troubleshooting、MDM deployment、Security, privacy, and architecture。Custom permissions、AWS Regions, websites, IP address ranges, and endpoints、Getting started (デスクトップ)、Knowledge (デスクトップ)、System tools、Troubleshooting (デスク トップ)、Amazon Quick desktop usage limits、Monitoring Amazon Quick using CloudTrail、Monitoring using CloudWatch Logs What's New 2026-11-02 (デスクトップが会社の今のサインインを使う)、 2026-09-09 (MDM などの会社向けの管理) https://aws.amazon.com/about-aws/whats-new/ 画⾯は Quick Desktop (Amazon Quick on desktop) の版 1.1.4185 で 2026-11-09 に撮った (10、14、16 枚⽬。10 枚⽬は macOS のメニュー Amazon Quick → About Amazon Quick)。7 枚⽬は⼿順の図。構成図は draw.io と AWS の公式のアイコン。Amazon Quick は draw.io の AWS の図形に無く、名前の箱にし た © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 21