すべてのシステム管理者ユーザーには、リモートデスクトップ^(Desktop)接続を介した資格情報の保護という1つの非常に真の懸念があります。これは、マルウェアがデスクトップ接続を介して他のコンピューターに侵入し、データに潜在的な脅威をもたらす可能性があるためです。そのため、リモートデスクトップに接続しようとすると、 Windows OSが「^{(Windows OS)}このPCを信頼していることを確認してください。信頼できないコンピューターに接続すると、PCに損害を与える可能性があります^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)}」という警告が表示されます。

この投稿では、 Windows10で導入され たリモート資格情報ガード機能が^{(Remote Credential Guard)}Windows10EnterpriseおよびWindowsServerのリモートデスクトップ資格情報の保護にどのように役立つかを説明します^{(Windows Server)}。

^{(Remote Credential Guard)}Windows10のリモート資格情報ガード

この機能は、深刻な状況に発展する前に脅威を排除するように設計されています。Kerberos要求を接続を要求しているデバイスにリダイレクトすることにより、リモートデスクトップ^(Desktop)接続を介して資格情報を保護するのに役立ちます。また、リモートデスクトップ^{(Remote Desktop)}セッションのシングルサインオンエクスペリエンスも提供します。

ターゲットデバイスが危険にさらされた場合、クレデンシャルとクレデンシャル派生物の両方がターゲットデバイスに送信されることはないため、ユーザーのクレデンシャルは公開されません。

リモート資格情報ガード^{(Remote Credential Guard)}の手口は、資格情報ガードが資格情報マネージャー^{(Credential Manager)}を介して保存されたドメイン資格情報も保護することを除いて、ローカルマシン上の資格^{(Credential Guard)}情報ガードによって提供される保護と非常に似ています。

個人は、次の方法でRemoteCredentialGuardを使用できます-^{(Remote Credential Guard)}

1. 管理者^{(Administrator)}の資格情報には高い特権があるため、保護する必要があります。Remote Credential Guardを使用すると、クレデンシャルがネットワークを介してターゲットデバイスに渡されることがないため、クレデンシャルが確実に保護されます。
2. 組織内のヘルプデスク^(Helpdesk)の従業員は、侵害される可能性のあるドメインに参加しているデバイスに接続する必要があります。リモート資格情報ガード^{(Remote Credential Guard)}を使用すると、ヘルプデスクの従業員はRDPを使用して、マルウェアの資格情報を危険にさらすことなくターゲットデバイスに接続できます。

ハードウェアとソフトウェアの要件

リモート資格情報ガード^{(Remote Credential Guard)}がスムーズに機能するようにするには、リモートデスクトップ^{(Remote Desktop)}クライアントとサーバーの次の要件が満たされていることを確認してください。

1. リモートデスクトップクライアント^{(Remote Desktop Client)}とサーバーは、ActiveDirectoryドメインに参加している必要があります
2. 両方のデバイスが同じドメインに参加しているか、リモートデスクトップ^{(Remote Desktop)}サーバーがクライアントデバイスのドメインと信頼関係のあるドメインに参加している必要があります。
3. Kerberos認証が有効になっている必要があります。
4. リモートデスクトップ^{(Remote Desktop)}クライアントは、少なくともWindows 10、バージョン1607、またはWindowsServer2016を実行している必要が^{(Windows Server 2016)}あり^{(Windows 10)}ます。
5. リモートデスクトップユニバーサルWindowsプラットフォーム^{(Remote Desktop Universal Windows Platform)}アプリはリモート資格情報ガード^{(Remote Credential Guard)}をサポートしていないため、リモートデスクトップ^{(Remote Desktop)}クラシックWindowsアプリを使用してください。

レジストリ^(Registry)を介してリモート資格情報ガード^{(Remote Credential Guard)}を有効にする

ターゲットデバイスでRemoteCredentialGuardを有効にするには、レジストリエディタ^{(Registry Editor)}を開き、次のキーに移動します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

DisableRestrictedAdminという名前の新しいDWORD値を追加します。このレジストリ設定の値を0に設定して、 ⁽⁰⁾RemoteCredentialGuardをオンにします。

レジストリエディタを閉じます。

管理者特権のCMDから次のコマンドを実行すると、リモート資格情報ガード^{(Remote Credential Guard)}を有効にできます。

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

グループポリシー^{(Group Policy)}を使用してリモート資格情報ガード^{(Remote Credential Guard)}をオンにする

グループポリシーを設定するか、^{(Group Policy)}リモートデスクトップ接続^{(Remote Desktop Connection)}でパラメーターを使用することにより、クライアントデバイスでリモート資格情報ガード^{(Remote Credential Guard)}を使用できます。

グループポリシー管理コンソール^{(Group Policy Management Console)}から、Computer Configuration > Administrative Templates > System > Credentials Delegationに移動します。^(.)

次に、[資格情報の委任をリモートサーバーに制限^{(Restrict delegation of credentials to remote servers)}する]をダブルクリックして、[プロパティ]ボックスを開きます。

次に、[次の制限付きモードを使用する^{(Use the following restricted mode)}]ボックスで、 [リモート資格情報ガードが必要]を選択します。^{( Require Remote Credential Guard. )}他のオプションの制限付き管理モード^{(Restricted Admin mode)}もあります。その重要性は、Remote Credential Guardを使用できない場合、^{(Remote Credential Guard)}制限付き管理^{(Restricted Admin)}モードを使用することです。

いずれの場合も、リモート資格情報ガード^{(Remote Credential Guard)}も制限付き管理者^{(Restricted Admin)}モードも、資格情報をクリアテキストでリモートデスクトップ^{(Remote Desktop)}サーバーに送信しません。

^{(Allow Remote Credential Guard)}[リモート資格情報ガードを優先する^{(Prefer Remote Credential Guard)}]オプションを選択して、リモート資格情報ガードを許可します。

[OK]をクリックして、^{(Click OK)}グループポリシー管理コンソール^{(Group Policy Management Console)}を終了します。

ここで、コマンドプロンプトから、gpupdate.exe /forceを実行して、グループポリシー^{(Group Policy)}オブジェクトが適用されていることを確認します。

^{(Use Remote Credential Guard)}リモートデスクトップ^{(Remote Desktop)}接続へのパラメーターでリモート資格情報ガードを使用する

組織でグループポリシー^{(Group Policy)}を使用しない場合は、リモートデスクトップ接続^{(Desktop Connection)}の開始時にremoteGuardパラメーターを追加して、その接続のリモート資格情報ガード^{(Remote Credential Guard)}をオンにすることができます。

mstsc.exe /remoteGuard

RemoteCredentialGuardを使用する際に留意すべき点^{(Remote Credential Guard)}

1. Remote Credential Guardを使用して、 ^{(Remote Credential Guard)}AzureActiveDirectoryに参加しているデバイスに接続することはできません。
2. リモートデスクトップ資格情報ガードは、 ^{(Remote Desktop Credential Guard)}RDPプロトコルでのみ機能します。
3. Remote Credential Guardには、デバイスクレームは含まれていません。たとえば、リモートからファイルサーバーにアクセスしようとしていて、ファイルサーバーにデバイスの要求が必要な場合、アクセスは拒否されます。
4. サーバーとクライアントは、 Kerberos^(Kerberos)を使用して認証する必要があります。
5. ドメインには信頼関係があるか、クライアントとサーバーの両方が同じドメインに参加している必要があります。
6. リモートデスクトップゲートウェイは、^{(Remote Desktop Gateway)}リモート資格情報ガード^{(Remote Credential Guard)}と互換性がありません。
7. クレデンシャルがターゲットデバイスにリークされることはありません。ただし、ターゲットデバイスは引き続きKerberosサービス^{(Kerberos Service)} チケット^(Tickets)を独自に取得します。
8. 最後に、デバイスにログインしているユーザーの資格情報を使用する必要があります。保存されたクレデンシャルまたは自分のものとは異なるクレデンシャルを使用することは許可されていません。

詳細については、 Technet^(Technet)をご覧ください。

関連^(Related)：Windows10でリモートデスクトップ接続の数を増やす方法。^{(increase the number of Remote Desktop Connections)}

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have оne vеry gеnuine concern – securing credentials over a Remоte Desktop conneсtion. Τhis is because malwarе сan find its way to any other computer over the desktop connection and pose a potential threat to your data. That is why Windows OS flashes a warnіng “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Windows 11/10のRemote Desktop Connectionsの数を増やします

• WindowsキーがRemote Desktop sessionから切り替えた後に貼られています

• Windows 10のRemote Desktop SessionでPasteをコピーできません

• RDP connection authentication error;要求されたFunctionはサポートされていません

• Create Remote Desktop Connection shortcutでWindows 11/10

• logon attempt Remote Desktopの接続中にエラーが発生しました

• Windows 10用Microsoft Remote Desktop App

• Remote Desktop option Windows 10でグレーアウト

• Windows PCでRemote Desktopをブロックする方法

• Windows 10 PCからConnect iPhoneへのMicrosoft Remote Desktop

• Remote Desktop Windows 10で動作しないか、接続されない

• Windows 10の有効化とUse Remote Desktop Connection

• Mac用のリモートデスクトップを使用してWindowsPCを制御する方法

• Command Prompt or PowerShellを使用してRemote Desktop有効

• Remove History Remote Desktop ConnectionのWindows 11/10のエントリー

• NoMachineはWindows PCのための無料でポータブルRemote Desktop Toolです

• 2分以内にWindows 10でRemote Desktopを有効にします

• alterius：無料のRemote Desktop softwareをリモートで管理します

• リモートデスクトップ接続を使用してUbuntuからWindowsPCに接続する

• Remote Desktop tab Remote Desktop tab Windows 10のEdge browserから欠けている