その時は接続先PCの認証でローカルアカウントを使用しましたが、今回はMicrosoft Entra IDのユーザーを使用した場合の設定と挙動を紹介します。
- 接続先(ホスト)PC：Windows11 Pro(Homeは使用不可、MS Entraに参加済)
- 接続元PC：Windows11 Pro(デバイス登録しない場合はHomeでも可)
試した設定条件・接続可否の結果
最初に実際試した設定条件と接続可否の結果を示します(○:接続可、×:接続不可)。
Webアカウント使用時は接続元PCがMicrosoft Intuneのデバイス登録の済/未済にかかわらず接続できました。
一方、Webアカウント未使用時は接続元PCのデバイス登録の済/未済で結果が異なりました。
| 認証方法→ ↓接続元PCデバイス登録 |
Webアカウント使用 (MSEntra認証ありで接続) |
Webアカウント未使用 (MSEntra認証なしで接続) |
|---|---|---|
| デバイス登録済 | ○ | ○ |
| デバイス登録未済 | ○(項番4でブロック方法を紹介) | ×(資格情報エラーが発生) |
Webアカウント未使用時の条件について公式記事を確認したところ、「ローカルデバイスとリモートデバイスの両方が同じMS Entraテナント内にある必要がある」となっていました。また、サポートされている構成に、参加未済デバイスからの接続が載っていないため、接続元PCのデバイス登録が必要と推測しました。
- 当ブログのEntra IDやIntuneデバイス管理(WindowsPC)に関する記事：
Webアカウント使用時 設定・挙動
タスクバーかWindowsのアプリ検索からWindows標準の[リモートデスクトップ接続]を起動し、[詳細設定]タブの[Webアカウントを使用して、リモートコンピューターにサインインする]にチェックをつけます。
[全般]タブで接続先PCのコンピューター名(またはIPアドレス)とユーザー名([MS Entraのユーザー]@[MS Entraのテナント名])を入力し、[接続]を選択します。
MS Entraユーザーのパスワードを入力し、[サインイン]を選択します。
右側の画面のように多要素認証を求められたら、指示に従い認証します。
認証が通ると、接続先PCのデスクトップ画面が表示されます。
接続先PC内での操作については、以前の記事でも紹介した通常のリモートデスクトップと同じです。
なお、接続元PCにWebアカウント使用時の情報がキャッシュされるため、再接続時に認証を求められないことがあります。
接続元PCを他のユーザーと共用している場合等において、 [リモートデスクトップ接続]の[全般]タブで[消去]を選択するすることで、認証が求められるようになります。
Webアカウント未使用時 設定・挙動
接続先PCの設定
接続先PCにローカル管理者でサインインし、[設定>システム>リモートデスクトップ]を選択します。
[リモートデスクトップ]を[オン]にし、[デバイスが接続にネットワークレベル認証を使用することを要求する(推奨)]のチェックを外します。
確認メッセージが表示されたら、[このまま続行]を選択します。
ネットワークレベル認証の無効化に関する補足
前の画面で[デバイスが接続にネットワークレベル認証を使用することを要求する(推奨)]のチェックを外したため、 [リモートデスクトップユーザー]に接続を許可するMS Entraユーザーを追加する必要がなくなりました。
このチェックを外すことについてセキュリティが心配であれば、チェックをつけた上で、コマンドプロンプト(管理者で実行)にて対象のMS EntraユーザーをRemote Desktop Usersグループに追加します。
net localgroup "Remote Desktop Users" /add "AzureAD\{MS Entraのユーザー名}"
デバイス登録済PCからの接続
タスクバーかWindowsのアプリ検索からWindows標準の[リモートデスクトップ接続]を起動し、[詳細設定]タブの[Webアカウントを使用して、リモートコンピューターにサインインする]のチェックを外します。
[全般]タブで接続先PCのコンピューター名(またはIPアドレス)とユーザー名([MS Entraのユーザー]@[MS Entraのテナント名])を入力し、[接続]を選択します。
MS Entraユーザーのパスワードを入力し、[OK]を選択します。
認証が通ると、接続先PCのデスクトップ画面が表示されます。
デバイス登録未済PCからの接続
パスワード入力まではデバイス登録済PCと同じですが、資格情報エラーが発生して接続できませんでした。
Intune管理C 未登録デバイスからの接続ブロック(参考)
Webアカウント使用時、デバイス登録未済のような組織が許可していないデバイスからリモートデスクトップ接続をさせたくないケースが一般的と思いますので、これをブロックする方法を紹介します。
使用するのはMicrosoft Intuneの条件付きアクセスポリシーです。
Microsoft Intune管理センターの[デバイス>条件付きアクセス>ポリシー>新しいポリシー]から設定を作成します。
条件付きアクセスの設定内容です。
- ユーザー：この例では全ユーザーを対象としましたが、システム管理者を除外する等、実運用に応じて調整します。
- ターゲットリソース：Microsoft Remote Desktop
- アクセス制御>許可：準拠済デバイスならアクセスを許可(*)
*デバイス登録済かつ準拠済でないデバイスもブロックされますので、未登録デバイスよりもブロック対象が広くなります。しかし、準拠済でないデバイスは組織のリソースにアクセスすべきではないため、一般的な要件は満たすものと考えます
設定後、未登録デバイスからリモートデスクトップ接続を試みると、画面イメージのようにブロックされました。
おわりに
Microsoft Entra IDのユーザーを使用したリモートデスクトップ接続では、Webアカウント使用/未使用時で設定が若干異なります。Webアカウント使用時を想定してデバイス登録未済PCからの接続を許可するかブロックするかといった考慮も必要です。
当ブログ内の関連記事
