修正：RDP認証エラーが発生しました–要求された機能はサポートされていません

Windows 10デスクトップに最新のセキュリティ更新プログラムをインストールした後、リモートデスクトップを使用して新しいVDSサーバー（Windows Server 2012 R2を実行している）にリモート接続できません。 mstsc.exeクライアントウィンドウでRDPサーバー名を指定し、[接続]をクリックすると、エラーが表示されます。

リモートデスクトップ接続
認証エラーが発生しました。
要求された機能はサポートされていません。
リモートコンピューター：computer_name

最新の更新プログラムをアンインストールしてコンピューターを再起動した後、RDP経由でリモートサーバーに接続できました。私が理解しているように、これは一時的な回避策です。新しい累積的なWindowsUpdateパッケージが到着し、来月インストールされ、RDP認証エラーが返されます。何かアドバイスをいただけますか？

回答

あなたは、絶対に正しい。インストールされているWindowsUpdateを削除してこの問題を解決することは無意味です。これは、この更新プログラムが修正するさまざまな脆弱性を悪用するリスクにコンピューターをさらしているためです。 RemoteAppアプリケーションを実行しようとすると、RDPエラー「認証エラーが発生しました」も表示される場合があります。

なぜこうなった？実際には、最新のセキュリティ更新プログラム（2018年5月以降にリリースされた）がWindows10デスクトップにインストールされています。これらのアップデートにより、 CredSSPの重大な脆弱性が修正されます。 RDPサーバーでの認証に使用されるプロトコル（クレデンシャルセキュリティサポートプロバイダー）（ CVE-2018-0886 –「RDP認証エラー：CredSSP暗号化Oracle修復」の記事を注意深く読んでください。これらの更新プログラムは、RDP/RDSサーバー側およびNLAにはインストールされません。 （ネットワークレベル認証）は、リモートデスクトップアクセスに対して有効になっています。 NLAは、CredSSPメカニズムを使用して、TLS/SSLまたはKerberosを介してRDPユーザーを事前認証します。コンピューターは、脆弱なバージョンのCredSSPを使用するサーバーへのリモートデスクトップ接続をブロックするだけです。

この問題を修正してRDPサーバーに接続するにはどうすればよいですか？

1. 最も正しい方法 この問題を解決するには、リモートコンピューターまたはRDSサーバー（RDP経由で接続しようとしているサーバー）に最新の累積的なWindowsセキュリティ更新プログラムをインストールします。
2. 回避策1.RDPサーバー側でNLA（ネットワークレベル認証）を無効にすることができます（以下で説明します）。
3. 回避策2.安全でないバージョンのCredSSPを使用してリモートデスクトップに接続できるようにすることで、デスクトップを再構成できます（上記のリンクの記事で説明されています）。これを行うには、レジストリパラメータ AllowEncryptionOracleを変更します （コマンドを使用します：REG ADD
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2 ）またはローカルポリシーを変更します暗号化Oracle修復 その値を脆弱性に設定します 。これは、サーバーにローカルでログインできない場合（ILO、仮想マシンコンソール、またはクラウドプロバイダーのWebインターフェイスを介して）、RDPを介してリモートサーバーにアクセスする唯一の方法です。このモードでリモートサーバーに接続し、最新のセキュリティ更新プログラムをインストールできます。サーバーを更新した後、ポリシーを無効にするか、レジストリパラメータAllowEncryptionOracleの値を0に戻すことを忘れないでください（REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 0 。

WindowsでリモートデスクトップのNLAを無効にする

RDPサーバーでNLAが有効になっている場合、これはCredSSPがRDPユーザーの事前認証に使用されることを意味します。 システムプロパティでネットワークレベル認証を無効にできます リモート [ネットワークレベル認証を使用してリモートデスクトップを実行しているコンピューターからの接続のみを許可する（推奨）]オプションをオフにして、タブを選択します。 」（Windows 10/8.1またはWindowsServer2012R2 / 2016）。

Windows 7（Windows Server 2008 R2）では、このオプションの呼び出し方法が異なります。 リモート タブで、[任意のバージョンのリモートデスクトップを実行しているコンピューターからの接続を許可する（安全性が低い）]オプションを選択します。 「。

ローカルグループポリシーエディター– gpedit.msc を使用して、ネットワークレベル認証（NLA）を無効にすることもできます。 （このようにWindows 10 Homeエディションでgpedit.mscを実行できます）またはドメイングループポリシー管理コンソール– GPMC.msc を使用します 。ポリシーエディターで、コンピューターの構成–>管理用テンプレート–> Windowsコンポーネント–>リモートデスクトップサービス–>リモートデスクトップセッションホスト–>セキュリティのセクションに移動します。 、ポリシー「ネットワークレベル認証を使用してリモート接続にユーザー認証を要求する」を見つけて無効にします 「。

RDPも選択する必要があります 「リモート（RDP）接続に特定のセキュリティレイヤーの使用を要求する」のセキュリティレイヤー 」ポリシー設定。

新しいRDP設定を適用するには、ローカルコンピューターのグループポリシーを更新する必要があります（gpupdate / force ）またはデスクトップを再起動します。その後、リモートデスクトップに正常に接続できるはずです。