Windows 10でリモート資格情報ガードを有効化してリモートデスクトップの資格情報を保護する方法

多くのシステム管理者にとって、リモートデスクトップはWindowsの中でも最も頻繁に使う機能の一つでしょう。しかし便利な反面、「このPCを信頼することを確認してください」というオプションを選んで接続するたびに、リモートデスクトップの資格情報が相手側のマシンに渡され、漏洩のリスクを抱えることになります。特に、接続先のシステムが信頼できない場合や、何らかのマルウェアに感染している可能性がある場合には、このリスクは無視できません。

こうした問題を解消するため、Microsoftは「リモート資格情報ガード(Remote Credential Guard)」というセキュリティ機能を提供しています。この機能を有効にすると、Kerberos認証の要求が接続元のシステムへ適切にリダイレクトされるため、資格情報そのものがリモート側に送信されなくなります。本記事では、Windows 10でリモートデスクトップの安全性を高めるために、リモート資格情報ガードを有効化する3つの方法を紹介します。

グループポリシーからリモート資格情報ガードを有効にする

もっとも手軽なのは、グループポリシーエディターを使う方法です。まず、スタートメニューの検索ボックスに gpedit.msc と入力し、Enterキーを押します。

グループポリシーエディターが開いたら、左側のペインから「コンピューターの構成」→「管理用テンプレート」→「システム」→「資格情報の委任」へと移動します。

一覧の中から「リモート サーバーへの資格情報の委任を制限する」というポリシーを探し、ダブルクリックして開きます。

ポリシーの設定画面が表示されたら、「有効」のラジオボタンを選択します。すると「オプション」欄に新しい項目が現れるので、ドロップダウンメニューから「リモート資格情報ガードを必要とする(Require Remote Credential Guard)」を選び、「OK」ボタンをクリックして変更を保存します。

設定完了後、グループポリシーエディター上では次のように表示されます。

あとはシステムを再起動すれば設定が反映されます。すぐに再起動したくない場合は、管理者権限でコマンドプロンプトを開き、以下のコマンドを実行してグループポリシーを強制的に更新してもかまいません。

GPUpdate.exe /force

レジストリからリモート資格情報ガードを有効にする

レジストリエディターを使いたい場合は、新しい値を1つ追加するだけで同じ設定が可能です。「Win + R」キーを押して「ファイル名を指定して実行」を開き、regedit と入力してEnterキーを押します。

レジストリエディターが起動したら、左側のパネルで以下のキーへ移動します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

該当キーに移動したら、右側の空きスペースを右クリックし、「新規」→「DWORD (32ビット) 値」を選択します。

新しいDWORD値が作成されるので、名前を「DisableRestrictedAdmin」に変更してEnterキーを押します。

続いて、作成した値をダブルクリックして編集画面を開きます。値のデータが「0」に設定されていることを確認し、「OK」ボタンをクリックして保存してください。

最後にシステムを再起動すれば、変更が有効になります。

コマンドプロンプトから接続ごとに有効にする

リモート資格情報ガードを常に有効にするのではなく、特定の接続時にだけ利用したい場合は、コマンドプロンプトから個別に指定することもできます。

コマンドプロンプトを開き、以下のコマンドを実行して新しいリモートデスクトップ接続を開始してください。パラメーターの /remoteGuard を付けることで、その接続に限ってリモート資格情報ガードが有効になります。

mstsc.exe /remoteGuard

利用時の注意点

リモート資格情報ガードを利用するには、接続元と接続先の両方のマシンが対応している必要があります。具体的には、Windows 10 バージョン1607以降およびWindows Server 2016以降が目安となります。また、この機能はドメイン参加環境でのKerberos認証を前提としているため、ワークグループ(非ドメイン参加)のPCへの接続やNTLM認証では使用できない点に注意してください。

上記の方法でWindows 10のリモート資格情報ガードを実際に試してみた感想や体験談があれば、ぜひコメント欄でお聞かせください。