【Windows 10】Remote Credential Guardでリモートデスクトップの資格情報を保護する方法

システム管理者にとって、リモートデスクトップ接続時の資格情報の保護は常に大きな懸念事項です。マルウェアはリモートデスクトップ接続を経由して他のコンピューターへ侵入し、大切なデータに深刻な脅威をもたらす可能性があるためです。そのため、Windows OSではリモートデスクトップへの接続を試みた際に「このPCを信頼していることを確認してください。信頼されていないコンピューターに接続すると、PCが損害を受ける可能性があります」という警告が表示されます。

本記事では、Windows 10で導入されたRemote Credential Guard(リモート資格情報ガード)機能が、Windows 10 EnterpriseおよびWindows Server環境において、どのようにリモートデスクトップの資格情報を保護するのかを詳しく解説します。

Windows 10におけるRemote Credential Guardとは

Remote Credential Guardは、脅威が深刻な事態に発展する前に排除することを目的としたセキュリティ機能です。Kerberos認証要求を接続元のデバイス側へリダイレクトすることで、リモートデスクトップ接続経由での資格情報の漏えいを防ぎます。さらに、リモートデスクトップセッションに対するシングルサインオン(SSO)体験も提供します。

仮に接続先のデバイスがマルウェアなどに侵害された場合でも、資格情報およびその派生情報は接続先デバイスに一切送信されないため、ユーザーの資格情報が露出することはありません。

Remote Credential Guardの仕組みは、ローカルマシンを保護するCredential Guardと非常に似ています。ただし、Credential Guardは資格情報マネージャー(Credential Manager)に保存されたドメイン資格情報も保護する点が異なります。

Remote Credential Guardが有効なケース

1. 管理者資格情報の保護: 管理者アカウントは高い権限を持つため、厳重な保護が必要です。Remote Credential Guardを使用すれば、資格情報がネットワーク経由で接続先デバイスに渡ることがないため、安全に管理作業を行えます。
2. ヘルプデスク業務での活用: ヘルプデスク担当者は、侵害されている可能性のあるドメイン参加済みデバイスに接続する必要があります。Remote Credential Guardを使えば、自身の資格情報をマルウェアに晒すことなく、RDPで対象デバイスに安全に接続できます。

ハードウェア・ソフトウェアの要件

Remote Credential Guardを正常に動作させるには、リモートデスクトップのクライアントとサーバーの両方で以下の要件を満たしている必要があります。

1. リモートデスクトップのクライアントとサーバーが、Active Directoryドメインに参加していること
2. 両デバイスが同一ドメインに所属しているか、またはサーバー側がクライアントのドメインと信頼関係にある別ドメインに参加していること
3. Kerberos認証が有効になっていること
4. リモートデスクトップクライアントが、Windows 10 バージョン1607以降、またはWindows Server 2016以降で実行されていること
5. リモートデスクトップのUWP(Universal Windows Platform)アプリはRemote Credential Guardに対応していないため、従来型のクラシック版リモートデスクトップアプリを使用すること

レジストリでRemote Credential Guardを有効化する方法

接続先(ターゲット)デバイスでRemote Credential Guardを有効にするには、まずレジストリエディターを開き、以下のキーに移動します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

次に、「DisableRestrictedAdmin」という名前の新しいDWORD値を作成し、値を「0」に設定します。これによりRemote Credential Guardが有効になります。設定後はレジストリエディターを閉じてください。

また、管理者権限のコマンドプロンプトから以下のコマンドを実行することでも有効化できます。

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

グループポリシーでRemote Credential Guardを有効化する方法

グループポリシーを設定するか、リモートデスクトップ接続時にパラメーターを指定することで、クライアントデバイス上でRemote Credential Guardを使用できます。

グループポリシー管理コンソール(GPMC)を開き、以下の順に移動します。

コンピューターの構成 > 管理用テンプレート > システム > 資格情報の委任

「リモート サーバーへの資格情報の委任を制限する」をダブルクリックしてプロパティ画面を開きます。

「次の制限モードを使用する」ボックスで「リモート資格情報ガードを要求する(Remote Credential Guardを必須にする)」を選択します。もう一つの選択肢である「制限された管理者モード(Restricted Admin mode)」は、Remote Credential Guardが使用できない環境の場合に自動的に適用されるフォールバック機能です。

いずれのモードでも、平文の資格情報がリモートデスクトップサーバーに送信されることはありません。

Remote Credential Guardを優先的に使用したい場合は、「リモート資格情報ガードを優先する(Prefer Remote Credential Guard)」オプションを選択してください。

「OK」をクリックして設定を保存し、グループポリシー管理コンソールを終了します。

その後、コマンドプロンプトから以下のコマンドを実行し、グループポリシーオブジェクトが確実に適用されるようにしましょう。

gpupdate.exe /force

mstscコマンドのパラメーターでRemote Credential Guardを使用する方法

組織でグループポリシーを運用していない場合は、リモートデスクトップ接続の起動時に「remoteGuard」パラメーターを付けることで、その接続のみRemote Credential Guardを有効化できます。

mstsc.exe /remoteGuard

Remote Credential Guard使用時の注意点

1. Azure Active Directory(Azure AD)に参加しているデバイスへの接続には使用できません。
2. RDPプロトコル専用の機能であり、その他のプロトコルでは動作しません。
3. デバイス要求(device claims)には対応していません。例えば、リモートからファイルサーバーへアクセスする際に、そのサーバーがデバイス要求を必要とする場合、アクセスは拒否されます。
4. サーバーとクライアントはKerberos認証で認証する必要があります。
5. ドメイン間に信頼関係があるか、クライアントとサーバーが同じドメインに所属している必要があります。
6. リモートデスクトップゲートウェイ(RD Gateway)との互換性はありません。
7. 資格情報がターゲットデバイスに漏れることはありませんが、ターゲットデバイス自体は独自にKerberosサービスチケットを取得します。
8. 最後に、ログオン中のユーザー本人の資格情報を使用する必要があります。保存済みの資格情報や、ログオンユーザーと異なる資格情報の使用は許可されません。

詳細については、Microsoft TechNetの公式ドキュメントをご参照ください。

関連記事: Windows 10でリモートデスクトップの同時接続数を増やす方法