ワークグループ環境（ドメインなし）へのリモートデスクトップセッションホスト（RDSH）の展開方法【Windows Server 2019/2022】

本記事では、Active Directoryドメインに参加していないワークグループ環境において、Windows Server 2019/2022にターミナルサーバーの役割であるリモートデスクトップセッションホスト（RDSH）を単一サーバー構成でインストールおよび設定する手順を解説します。接続ブローカー、リモートデスクトップWebアクセス、RDゲートウェイなどの追加の役割は不要で、RDSホスト1台のみのシンプルな構成です。

ワークグループ構成におけるRDSHの制限事項

RDSH（Remote Desktop Session Host）の役割を持つWindows Serverでは、複数のユーザーがRDP経由で同時にサーバーへ接続できます（既定では、管理者用のリモートデスクトップ接続は2つまでしか許可されていません）。ユーザーごとに個別のセッションが作成され、それぞれが自分専用のデスクトップ環境を利用します。

ただし、ワークグループ内で独立したRDSホストを使用する場合、その機能には制限がある点に注意してください。フル機能のRDSファームへのスケールアウトはできず、個別のコレクションやRemoteAppの作成、接続ブローカーの利用、ユーザープロファイルディスクの使用はできません。また、一元管理ツールも存在せず、メンテナンス時にホストをドレインモードにしても、ユーザーへのRDSサービス提供を継続する仕組みはありません。

Windows Server 2019/2022へのリモートデスクトップサービス役割のインストール方法

Windows Serverのインストールと基本設定（IPアドレス、サーバー名、日付と時刻、更新プログラムの適用など）が完了していることを前提とします。その後、RDSの役割をインストールします。サーバーマネージャーまたはPowerShellのいずれかを使用できます。

サーバーマネージャーを使ったインストール

サーバーマネージャーからインストールする場合は、「役割ベースまたは機能ベースのインストール」→「サーバーの役割」→「リモートデスクトップサービス」を選択し、RDSコンポーネントの中からリモートデスクトップセッションホストとリモートデスクトップライセンスをチェックします（役割管理用のRSATツールのインストールを求められたら同意します）。

なお、サーバーマネージャーで「リモートデスクトップサービスのインストール」を選択すると、標準展開またはクイックスタートの各モードでRD接続ブローカーとWebアクセスが自動的にインストールされます。今回はスタンドアロンのRDSホストを構築するため、これらの役割は不要です。

PowerShellを使ったインストール

PowerShellでもWindows Serverの役割をインストールできます：

Install-WindowsFeature -Name RDS-Licensing, RDS-RD-Server –IncludeManagementTools

サーバーにインストール済みのRDS関連の役割を確認するには：

Get-WindowsFeature -Name RDS* | Where installed

インストール後はサーバーを再起動します：

Restart-Computer

リモートデスクトップライセンスの構成とRDS CALの追加

次に、ユーザーのRDP接続に対するライセンスを供給する「リモートデスクトップライセンス」役割を構成します。ネットワーク内にRDSホストが1台だけの場合は、このホスト上にRDライセンスサーバーをインストールしてアクティブ化してもかまいません。あるいは、RDライセンス役割を別のサーバーに配置することも可能です。1台のRDライセンスサーバーは、任意の数のRDSホストにライセンスを発行できます。

ローカルのRDライセンスサーバーを使用する場合は、ライセンスサーバーをアクティブ化し、クライアントアクセスライセンス（RDS CAL）をインストールしてください。

ワークグループ環境では、「Per Device（デバイスごと）」のRDS CALを使用する必要があります。ライセンスサーバーがPer User（ユーザーごと）ライセンスしか発行しない場合、ユーザーがRDPで接続する際に次のエラーが表示されます：

リモートデスクトップライセンスの問題
お使いのリモートデスクトップライセンスに問題があり、60分後にセッションが切断されます。

ワークグループでのリモートデスクトップセッションホストの構成

コントロールパネル→「システムとセキュリティ」→「管理ツール」→「リモートデスクトップサービス」→「リモートデスクトップライセンス診断」を開きます。現時点では、サーバーがライセンスサーバーからRDS CALを受け取るように設定されていないため、以下のメッセージが表示されます：

• リモートデスクトップセッションホストサーバーのライセンスモードが構成されていません
• クライアントで利用可能なライセンス数：0

RDSHサーバーを、CALを発行できるRDライセンスサーバーに紐付けない場合、サーバーは試用モードのままになります。このモードでは、RDSサービスは120日間のみ動作し（接続のたびに通知領域に「リモートデスクトップサービスはxxx日後に動作しなくなります」というメッセージが表示されます）、猶予期間が過ぎるとユーザーは以下のエラーによりRDSへ接続できなくなります：

このコンピューターで利用できるリモートデスクトップクライアントアクセスライセンスがないため、リモートセッションは切断されました。

ローカルグループポリシーによるライセンス設定

ドメインなしのワークグループ環境でWindows Server 2019のリモートデスクトップサービスを運用する場合の最大の難点は、RDS役割を管理する便利な管理ツールが存在しないことです。RDSHの各種設定は、ローカルグループポリシーエディター（gpedit.msc）で行う必要があります。なお、Windows Server 2008 R2からtsadmin.mscやtsconfig.mscといったMMCコンソールを新しいWindows Serverバージョンへコピーする非公式な方法もあります。

ローカルグループポリシーエディター（gpedit.msc）でRDSライセンス設定を行う手順：

1. 「コンピューターの構成」→「管理用テンプレート」→「Windowsコンポーネント」→「リモートデスクトップサービス」→「リモートデスクトップセッションホスト」→「ライセンス」へ移動します；
2. 「リモートデスクトップライセンスモードの設定」を「Per Device（デバイスごと）」に変更します；
3. 「指定のリモートデスクトップライセンスサーバーを使用する」オプションで、RDライセンスサーバーがインストールされているサーバーのIPアドレスを指定します。ライセンスサーバーがローカルにある場合は、localhost または 127.0.0.1 を入力します；
4. ローカルグループポリシーを更新し、「リモートデスクトップライセンス診断」を実行して、RDS CALが正しく認識されていることを確認します。

ローカルGPOでは、RDPセッションの時間制限（タイムアウト）や、非アクティブ状態のユーザーを切断するルールなども設定できます。ローカルユーザーと管理者で異なるグループポリシーを適用したい場合は、MLGPO（複数ローカルグループポリシー）機能を利用してください。

ローカルユーザーの作成とRemote Desktop Usersグループへの追加

次に、RDSサーバー上にローカルユーザーアカウントを作成します。lusrmgr.mscまたはPowerShellで作成できます：

$UserPassword = ConvertTo-SecureString "PaSS123!" -AsPlainText -Force
New-LocalUser a.brown -Password $UserPassword -FullName "Andi Brown"

ユーザーはRDPセッション内で自分のパスワードを変更できます。

ユーザーがリモートデスクトップサービス経由でサーバーに接続できるようにするには、そのユーザーアカウントをローカルの「Remote Desktop Users」グループに追加します。コンピューターの管理コンソールから手動で追加するか、PowerShellを使用します：

Add-LocalGroupMember -Group "Remote Desktop Users" -Member a.brown

このグループは、「リモートデスクトップサービスを使ったログオンを許可」（コンピューターの構成→Windowsの設定→セキュリティの設定→ローカルポリシー→ユーザー権利の割り当て）というGPOオプションによって、リモートログオンが許可されています。同じポリシーにより、ドメインコントローラーへの非管理者ユーザーのRDPアクセスも許可されます。

接続テストとライセンスの発行動作

これで、ユーザーは各自のPCからmstsc.exe（またはその他のRDPクライアント）を使ってRDSホストに接続できるようになります。2人以上のアクティブユーザーが同時にサーバーへ接続できることを確認してください。

初回ログオン時には、ユーザーデバイスに対して一時的なライセンスが発行されます（RDS Per Deviceライセンスの仕様）。2回目のログオン時に恒久ライセンスが発行され、リモートデスクトップライセンスマネージャーに表示されます。ライセンスの有効期間は52〜89日（ランダムな日数）です。

空きのPer Deviceライセンスがない場合は、一部のユーザーデバイスのライセンスを手動で取り消すことができます。RDライセンスマネージャーコンソールまたは次のPowerShellスクリプトを使用します：

$licensepacks = Get-WmiObject win32_tslicensekeypack | where {($_.keypacktype -ne 0) -and ($_.keypacktype -ne 4) -and ($_.keypacktype -ne 6)}
# Per Deviceライセンスの総数
$licensepacks.TotalLicenses
# デバイスに発行済みのライセンス数
$TSLicensesAssigned = gwmi win32_tsissuedlicense | where {$_.licensestatus -eq 2}
# ライセンスを取り消すコンピューター名
$compname="wksmun2a15"
$RevokePC = $TSLicensesAssigned | ? sIssuedToComputer -EQ $compname
$RevokePC.Revoke()

また、ユーザーのRDPセッションに接続する必要がある場合は、RDSシャドウ接続モードを利用できます（この機能はワークグループのRDSHでも動作します）。