リモートデスクトップサービス

ターミナルサーバーは、ターミナルサービスのサーバーコンポーネントです。クライアントの認証と、アプリケーションをリモートで利用可能にする処理を担当します。また、クライアントのアクセスレベルに応じて制限する役割も担っています。ターミナルサーバーは、設定されたソフトウェア制限ポリシーを尊重し、特定のソフトウェアの利用を特定のユーザーグループのみに制限します。リモートセッション情報は、サーバーに保存されているセッションディレクトリと呼ばれる専用ディレクトリに保存されます。セッションディレクトリは、セッションの状態情報を保存するために使用され、中断されたセッションを再開するために使用できます。ターミナルサーバーは、これらのディレクトリの管理も行う必要があります。ターミナルサーバーはクラスタでも使用できます。 ^{[ 3 ]}

Windows Server 2008では、大幅に改良されています。ログオン時に、ユーザーがWindows Server ドメインアカウントを使用してローカル システムにログオンした場合、同じサインオンの資格情報を使用してリモート セッションを認証できます。ただし、これにはターミナル サーバー OS として Windows Server 2008 が必要であり、クライアント OS は Windows Server 2008、Windows Vista、およびWindows 7に限定されます。さらに、ターミナル サーバーは、RemoteAppと呼ばれる機能を使用して、デスクトップ全体ではなく個々のプログラムへの接続を許可するように構成できます。ターミナル サービス Web アクセス (TS Web アクセス) を使用すると、 Web ブラウザーから RemoteApp セッションを呼び出すことができます。これには、サーバーに展開されている RemoteApp のリストを管理し、リストを最新の状態に保つ TS Web アクセス Web パーツ コントロールが含まれます。ターミナル サーバーは、Windows システム リソース マネージャーと統合して、リモート アプリケーションのリソース使用を制限することもできます。^{[ 5 ]}

ターミナル サーバーは、ターミナル サーバー マネージャーMicrosoft 管理コンソールスナップインによって管理されます。サインイン要件の構成や、リモート セッションの単一インスタンスの強制に使用できます。グループ ポリシーまたはWindows Management Instrumentationを使用して構成することもできます。ただし、クライアント バージョン Windows OS では利用できません。クライアント バージョンでは、サーバーはカスタマイズなしで、1 つのセッションのみを許可し、リモート セッションでユーザー アカウントの権限を強制するように事前に構成されています。^{[ 3 ]}

リモートデスクトップ ゲートウェイサービス コンポーネント ( RD ゲートウェイとも呼ばれる) は、 HTTPSチャネルを使用して RDP セッションをトンネル化できます。^{[ 17 ]}これにより、セッションをトランスポート レイヤー セキュリティ(TLS) でカプセル化することで、RDS のセキュリティが向上します。^{[ 18 ]}また、 Internet Explorer をRDP クライアントとして使用するオプションも利用できます。macOS 用の公式 MS RDP クライアントは、バージョン8 以降 RD ゲートウェイをサポートしています。これは iOS および Android でも利用可能です。

この機能は、Windows Server 2008およびWindows Home Server製品で導入されました。

2021年10月、FreeRDPプロジェクトの主要な貢献者であるThincastは、Linux上でネイティブに動作する最初のリモートデスクトップゲートウェイソリューションを公開した。^{[ 19 ]}

リモートデスクトップゲートウェイ

承認されたユーザーが、プライベートネットワークまたはインターネット経由で、仮想デスクトップ、リモートアプリプログラム、およびセッションベースのデスクトップに接続できるようにします。

リモートデスクトップ接続ブローカーの役割

ユーザーが既存の仮想デスクトップ、RemoteApp プログラム、およびセッションベースのデスクトップに再接続できるようにします。セッション コレクション内の RD セッション ホスト サーバー間、またはプールされた仮想デスクトップ コレクション内のプールされた仮想デスクトップ間で負荷を均等に分散し、仮想デスクトップ コレクション内の仮想デスクトップへのアクセスを提供します。

リモートデスクトップセッションホスト

サーバーがRemoteAppプログラムをセッションベースのデスクトップとしてホストできるようにします。ユーザーはセッションコレクション内のRDセッションホストサーバーに接続して、プログラムの実行、ファイルの保存、およびサーバー上のリソースの使用を行うことができます。ユーザーは、リモートデスクトップ接続クライアントまたはRemoteAppプログラムを使用して、リモートデスクトップセッションホストサーバーにアクセスできます。

リモートデスクトップ仮想化ホスト

RemoteAppとデスクトップ接続を使用して、ユーザーが仮想デスクトップに接続できるようにします。

リモートデスクトップWebアクセス

スタートメニューまたはWebブラウザー経由で、RemoteAppおよびデスクトップ接続にアクセスできるようにします。RemoteAppおよびデスクトップ接続は、RemoteAppプログラム、セッションベースのデスクトップ、および仮想デスクトップのカスタマイズされたビューをユーザーに提供します。

リモートデスクトップライセンス

サーバーが、各デバイスまたはユーザーがリモート デスクトップ セッション ホスト サーバーに接続するために必要な RDS クライアント アクセス ライセンス (RDS CAL) を管理できるようにします。RDS CAL は、リモート デスクトップ ライセンス マネージャー アプリケーションを使用して管理されます。^{[ 20 ]}

RemoteApp (またはTS RemoteApp ) は、Windows Server 2008 R2 以降で利用できる RDS の特別なモードで、リモート セッション構成がクライアント オペレーティング システムに統合されています。RDP 6.1 クライアントは、Windows XP SP3、Windows XP SP2 ユーザー向けの KB952155、^{[ 21 ]} Windows Vista SP1、および Windows Server 2008 に付属しています。RemoteApp の UI はローカル デスクトップ上のウィンドウにレンダリングされ、ローカル アプリケーションの他のウィンドウと同様に管理されます。その結果、リモート アプリケーションはローカル アプリケーションとほぼ同じように動作します。リモート セッションの確立とローカル リソースのリモート アプリケーションへのリダイレクトのタスクは、エンド ユーザーには透過的です。^{[ 22 ]} 1 つの RemoteApp セッションで複数のアプリケーションを起動でき、それぞれ独自のウィンドウを持ちます。^{[ 23 ]}

RemoteApp は、ファイルとしてパッケージ化することも、 Windows インストーラ.rdpパッケージを介して配布することもできます。ファイルとしてパッケージ化されている場合 (RemoteApp サーバーのアドレス、使用する認証スキーム、その他の設定が含まれています)、RemoteApp はファイルをダブルクリックすることで起動できます。リモート デスクトップ接続クライアントが起動され、サーバーに接続して UI をレンダリングします。RemoteApp は、 Windows インストーラデータベースにパッケージ化することもできます。インストールすると、スタート メニューに RemoteApp が登録され、起動するためのショートカットが作成されます。RemoteApp は、ファイル タイプまたは URI のハンドラーとして登録することもできます。RemoteApp に登録されたファイルを開くと、まずリモート デスクトップ接続が起動され、ターミナル サーバーに接続してからファイルを開きます。リモート デスクトップ経由でアクセスできるアプリケーションは、すべて RemoteApp として提供できます。^{[ 22 ] [ 24 ]}.msi.rdp

Windows 7にはRemoteAppの公開機能が組み込まれていますが、Microsoft WindowsのクライアントバージョンにはRemoteApp管理コンソールがないため、レジストリで手動で有効にする必要があります。^{[ 25 ]}

Windows Vista以降では、ターミナル サービスには、 Windows デスクトップ共有と呼ばれるマルチパーティ デスクトップ共有機能も含まれています。ターミナル サービスが RDP 接続ごとに新しいユーザー セッションを作成するのとは異なり、Windows デスクトップ共有は、新しいセッションを作成することなく、現在ログオンしているユーザーのコンテキストでリモート セッションをホストし、デスクトップまたはそのサブセットを RDP 経由で利用できるようにします。^{[ 26 ]} Windows デスクトップ共有は、デスクトップ全体、特定の領域、または特定のアプリケーションを共有するために使用できます。^{[ 27 ]} Windows デスクトップ共有は、マルチ モニター デスクトップを共有するためにも使用できます。アプリケーションを個別に共有する場合 (デスクトップ全体ではなく)、ウィンドウは (最小化されているか最大化されているかに関わらず)、サーバー側とクライアント側で独立して管理されます。^{[ 27 ]}

この機能は、公開APIを介してのみ提供され、どのアプリケーションでも画面共有機能を提供するために使用できます。 Windows デスクトップ共有 API は、RDPSession共有セッション用とRDPViewerビューア用の 2 つのオブジェクトを公開します。 1 つのセッション オブジェクトに対して、複数のビューア オブジェクトをインスタンス化できます。 ビューアは、スクリーンキャストのようにアプリケーションを視聴するだけの受動ビューア、またはリモート アプリケーションとリアルタイムで対話できるインタラクティブ ビューアのいずれかになります。^{[ 26 ]}オブジェクトRDPSessionには、共有アプリケーションがすべて含まれており、Applicationそれぞれがオブジェクトとして表現され、各オブジェクトにはWindow画面上のウィンドウを表すオブジェクトがあります。 アプリケーションごとのフィルタは、アプリケーションのウィンドウをキャプチャし、Windowオブジェクトとしてパッケージ化します。^{[ 28 ]}ビューアは、共有セッションに接続する前に認証を行う必要があります。これは、をInvitation使用してを生成することによって行われますRDPSession。これには、認証チケットとパスワードが含まれます。 オブジェクトはシリアル化され、ビューアに送信されます。ビューアは、Invitation接続時にを提示する必要があります。^{[ 26 ] [ 28 ]}

Windows デスクトップ共有 API は、Windows Meeting SpaceおよびWindows Remote Assistanceによって、ネットワーク ピア間でアプリケーション共有機能を提供するために使用されています。^{[ 27 ]}

ネットワークレベル認証の利点は以下のとおりです。

• ユーザー認証が完了するまで完全なリモートデスクトップ接続の開始を防ぐことで、初期段階で必要なリモートコンピュータのリソースを削減し、サービス拒否攻撃のリスクを低減します。
• これにより、NTシングルサインオン（SSO）をRDPサービスに拡張することが可能になります。
• これは、認証前にのみ悪用されるリモートデスクトップの脆弱性を軽減するのに役立ちます。^{[ 31 ]}

• 他の認証情報プロバイダーはサポートされていません
• リモートデスクトップサービスでネットワークレベル認証を使用するには、クライアントはWindows XP SP3以降、ホストはWindows Vista以降^{[ 32 ]またはWindows Server 2008以降を実行しているか、ネットワークレベル認証をサポートするサードパーティ製クライアント[ 33 ]}を使用する必要があります。
• ネットワークレベル認証を必要とするRDPサーバーのサポートは、Windows XP SP3で使用する場合、レジストリキーを介して構成する必要があります。
• CredSSP経由でパスワードを変更することはできません。「ユーザーは次回のログオン時にパスワードを変更しなければならない」が有効になっている場合、またはアカウントのパスワードの有効期限が切れた場合に問題が発生します。
• 「ネットワークからこのコンピュータにアクセスする」権限が必要ですが、この権限は他の理由で制限されている場合があります。
• ログインを試みるクライアントのIPアドレスはセキュリティ監査ログに保存されないため、ファイアウォールによるブルートフォース攻撃や辞書攻撃の阻止が難しくなります。
• エンドクライアントでNLAが有効になっている場合、リモートデスクトップゲートウェイを使用してあるドメインから別のドメインへのスマートカード認証はサポートされていません。