管理者以外のユーザーにドメインコントローラーへのRDPアクセスを許可する方法

Active Directoryのドメインコントローラー(DC)のデスクトップへリモートでRDP接続できるのは、デフォルトではDomain Adminsグループのメンバーのみです。本記事では、管理者権限を付与することなく、一般ユーザーアカウントに対してドメインコントローラーへのRDPアクセスを許可する手順を詳しく解説します。

なぜ一般ユーザーにDCへのアクセスが必要になるのか

「なぜ通常のドメインユーザーがドメインコントローラーのデスクトップにアクセスする必要があるのか?」と疑問に思うのはもっともです。小規模〜中規模のインフラ環境では、Domain Admins権限を持つ数名の管理者が運用していれば、このような設定はほとんど不要です。多くの場合、Active Directoryでの管理権限の委任や、PowerShellのJust Enough Administration(JEA)を活用すれば十分です。

しかし、大規模な企業ネットワークでは状況が異なります。多数の管理者によって運用されている環境では、支店のDCやRODC(読み取り専用ドメインコントローラー)に対して、サーバー管理チーム、監視チーム、オンコール担当の管理者など、さまざまな技術スタッフにRDPアクセスを許可する必要が生じることがあります。また、ドメイン管理者が管理していないサードパーティ製サービスがDC上に展開されており、その保守が必要になるケースもあります。

ヒント: Microsoftは、1台のサーバーにActive Directoryドメインサービス(AD DS)とリモートデスクトップサービス(RDS/ターミナルサーバー)の両方の役割をインストールすることを推奨していません。物理サーバーが1台しかなく、DCとRDSの両方を展開したい場合は、仮想化の利用を検討してください。Microsoftのライセンスポリシーでは、Windows Server Standardライセンス1本で最大2台の仮想サーバーを実行できます。

「リモートでサインインするには、リモートデスクトップサービスを使ったサインイン権限が必要です」エラーについて

サーバーをドメインコントローラーに昇格すると、コンピューターの管理MMCスナップインからローカルユーザーとグループを管理できなくなります。ローカルユーザーとグループ(lusrmgr.msc)コンソールを開こうとすると、次のエラーが表示されます。

コンピューター xxx はドメインコントローラーです。このスナップインはドメインコントローラーでは使用できません。ドメインアカウントは[Active Directoryユーザーとコンピューター]スナップインで管理してください。

ご覧のとおり、ドメインコントローラーにはローカルグループが存在しません。ローカルのRemote Desktop Usersグループの代わりに、DCではBuiltinコンテナー内にある組み込みのドメイングループRemote Desktop Usersを使用します。このグループは、ADUC(Active Directoryユーザーとコンピューター)コンソールまたはDC上のコマンドプロンプトから管理できます。

まず、以下のコマンドでRemote Desktop Usersドメイングループの現在のメンバーを確認します。

net localgroup "Remote Desktop Users"

初期状態では空であることがわかります。ここにドメインユーザーit-proを追加します(本例では、it-proは管理者権限を持たない通常のドメインユーザーです)。

net localgroup "Remote Desktop Users" /add corp\it-pro

再度同じコマンドを実行し、ユーザーがグループに追加されたことを確認しましょう。ADUC(dsa.msc)スナップインからも、ユーザーがRemote Desktop Usersドメイングループのメンバーになったことを確認できます。

しかし、これだけではまだユーザーはRDPでDCに接続できず、次のエラーが表示されます。

リモートでサインインするには、リモートデスクトップサービスを使ったサインイン権限が必要です。既定では、Administratorsグループのメンバーにはこの権限があります。所属するグループにこの権限がない場合、またはAdministratorsグループから権限が削除されている場合は、手動で権限を付与する必要があります。

グループポリシー:「リモートデスクトップサービスを使ったログオンを許可」

ドメインユーザーやグループにWindowsへのリモートRDP接続を許可するには、SeRemoteInteractiveLogonRight権限を付与する必要があります。デフォルトでは、この権限を持つのはAdministratorsグループのメンバーのみです。この権限は、「リモートデスクトップサービスを使ったログオンを許可」(Allow log on through Remote Desktop Services)ポリシーを使用して付与できます。なお、Windows Server 2003以前では、このポリシーは「ターミナルサービスを使ったログオンを許可」という名称でした。

Remote Desktop Usersグループのメンバーによるドメインコントローラーへのリモート接続を許可するには、DC上でこのポリシーの設定を以下の手順で変更します。

1. ローカルグループポリシーエディター(gpedit.msc)を起動します。
2. GPOセクションの[コンピューターの構成] → [Windowsの設定] → [セキュリティの設定] → [ローカルポリシー] → [ユーザー権利の割り当て]に移動します。
3. 「リモートデスクトップサービスを使ったログオンを許可」ポリシーを見つけます。サーバーがDCに昇格されると、このローカルポリシーにはAdministratorsグループ(Domain Admins)のみが残っています。
4. ポリシーを編集し、ドメイングループRemote Desktop Users(domainname\Remote Desktop Users)、または直接ドメインユーザーや特定のグループ(domain\CA_Server_Adminsなど)を追加します。
5. DC上で以下のコマンドを実行し、ローカルグループポリシーの設定を更新します:gpupdate /force

注意点として、「リモートデスクトップサービスを使ったログオンを許可」ポリシーに追加したグループが、「リモートデスクトップサービスを使ったログオンを拒否」(Deny log on through Remote Desktop Services)ポリシーに含まれていないことを確認してください。拒否ポリシーの方が優先度が高いためです。また、ユーザーがログオンできるコンピューターを制限している場合は、ADアカウントのプロパティ(LogonWorkstations属性)にDC名を追加する必要があります。

補足: ユーザーがサーバーコンソール経由でDCにローカルログオンできるようにするには、アカウントまたはグループを「ローカルでのログオンを許可」(Allow log on locally)ポリシーに追加する必要があります。デフォルトでは、この権限は以下のドメイングループに許可されています。

• Backup Operators
• Administrators
• Print Operators
• Server Operators
• Account Operators

ベストプラクティスとしては、ドメインに新しいセキュリティグループ(例:AllowLogonDC)を作成し、DCへのリモートアクセスが必要なユーザーアカウントをそこに追加するのがよいでしょう。すべてのADドメインコントローラーに対して一括でアクセスを許可したい場合は、各DCで個別にローカルポリシーを編集する代わりに、GPMC.mscコンソールを使用してDefault Domain Controllers Policyにユーザーグループを追加する方が効率的です(同じセクションのポリシー設定を変更します:[コンピューターの構成]\[Windowsの設定]\[セキュリティの設定]\[ローカルポリシー]\[ユーザー権利の割り当て] → [リモートデスクトップサービスを使ったログオンを許可])。

警告: Default Domain Controllers Policyを変更する場合は、Domain Admins/Enterprise Adminsグループを必ず「リモートデスクトップサービスを使ったログオンを許可」ポリシーに追加し直してください。これを忘れると、管理者自身がDCへのリモートアクセスを失うことになります。

以上の設定により、ポリシーに追加したユーザー(グループ)がRDP経由でADドメインコントローラーに接続できるようになります。なお、管理者以外のユーザーにDC上の特定サービスの開始/停止権限を付与したい場合は、専用のガイドを参照してください。

「要求されたセッションへのアクセスは拒否されました」エラーの対処法

場合によっては、RDPでドメインコントローラーに接続する際に、次のエラーが表示されることがあります。

要求されたセッションへのアクセスは拒否されました。(The requested session access is denied.)

管理者以外のユーザーアカウントでDCに接続している場合、原因は主に次の2つが考えられます。

• /adminモードで接続しようとしている: mstsc /adminオプションを使用したサーバーコンソールへの接続は、管理者のみに許可されています。mstsc.exeクライアントで通常のRDPモード(/adminオプションなし)で接続し直してください。
• RDPセッション数の上限に達している: サーバー上にすでに2つのアクティブなRDPセッションが存在している可能性があります(RDS役割がインストールされていないWindows Serverでは、同時に使用できるRDPセッションはデフォルトで2つまでです)。管理者権限がなければ他のユーザーを強制的にログオフさせることはできません。管理者がいずれかのセッションを解放するのを待つ必要があります。