リモート デスクトップ サービス

リモート デスクトップ サービス( RDS ) は、Windows Server 2008以前ではターミナル サービスとして知られており^{[1] 、} Microsoft Windowsのコンポーネントの 1 つで、ユーザーがネットワーク接続を介してリモートコンピューターまたは仮想マシン上で対話型セッション^[2]を開始および制御できるようにします。RDS は、ユーザーがリモートでログインできるWindows NT 4.0 Serverのスタンドアロン エディションである Windows NT 4.0 Terminal Server Edition のターミナルサーバーとして1998年に初めてリリースされました。Windows 2000以降、 Windows NTファミリのオペレーティング システムのサーバー エディションのオプション コンポーネントとしてターミナル サービスという名前で統合され^[3] 、 Windows の各バージョンで更新および機能強化が行われました。^[4]ターミナル サービスは、2009 年に Windows Server 2008 R2 ^[5]でリモート デスクトップ サービスに名前が変更されました。

RDSは、Microsoftのシンクライアントアーキテクチャの実装であり、Windowsソフトウェアと、RDSを実行しているコンピュータのデスクトップ全体が、リモートデスクトッププロトコル（RDP）をサポートする任意のリモートクライアントマシンからアクセス可能になります。ユーザーインターフェイスはサーバーからクライアントシステムに表示され、クライアントシステムからの入力はサーバーに送信され、そこでソフトウェアが実行されます。^[6]これは、コンピュータプログラムがオンデマンドでクライアントにストリーミングされ、クライアントマシンで実行される Microsoft App-Vなどのアプリケーションストリーミングシステムとは対照的です。

RemoteFX は、Windows Server 2008 R2 Service Pack 1の一部として RDS に追加されました。

Windows には、RDS を使用する 4 つのクライアント コンポーネントが含まれています。

1. クイック アシスト(Windows 10 以降) およびWindows リモート アシスタンス(Windows XP から Windows 8.1)
2. リモート デスクトップ接続(RDC)
3. 高速ユーザー切り替え
4. Windows Subsystem for Linux ( MSRDC経由)

最初の 2 つは、ユーザーがネットワーク経由でリモート コンピューター上で対話型セッションを操作できるようにする個別のユーティリティです。リモート アシスタンスの場合、リモート ユーザーは招待を受け取る必要があり、制御は協調的です。一方、RDC の場合、リモート ユーザーはリモート コンピューター上で新しいセッションを開き、ユーザー アカウントの権限と制限によって付与されるすべての権限を持ちます。^{[6] [7] [8]}高速ユーザー切り替えを使用すると、ユーザーはソフトウェアを終了したりログアウトしたりすることなく、ローカル コンピューター上のユーザー アカウントを切り替えることができます。高速ユーザー切り替えはWinlogonの一部であり、切り替え機能を実現するために RDS を使用します。^{[9] [10]}サードパーティの開発者も RDS 用のクライアント ソフトウェアを作成しています。たとえば、rdesktop はUnixプラットフォームをサポートしています。

RDS は Windows 2000 以降の Windows NT のほとんどのエディションに同梱されていますが、^[3]その機能はバージョンごとに異なります。Windows XP Home Edition はRDC 接続を一切受け付けず、RDS はユーザーの簡易切り替えとリモート アシスタンス専用です。Windows の他のクライアント バージョンでは、コンソールにログオンしているユーザーが切断されるという代償を払って、システムに接続できるリモート ユーザーは最大 1 人だけです。Windows Server では、 2 人のユーザーが同時に接続できます。このライセンス スキームは「管理用リモート デスクトップ」と呼ばれ、無人またはヘッドレス コンピュータの管理を容易にします。Windows Server を実行しているコンピュータで複数のリモート ユーザーに同時にサービスを提供し、仮想デスクトップ インフラストラクチャを実現するには、Windows のライセンスに加えて追加のライセンスを取得する必要があります。[ ^{5] [9]}

組織にとって、RDS は IT 部門が複数のコンピュータではなく中央サーバーにアプリケーションをインストールできるようにします。^[11]リモート ユーザーはネットワーク経由でログオンしてそれらのアプリケーションを使用できます。このような集中化により、メンテナンスとトラブルシューティングが容易になります。RDS と Windows 認証システムは、権限のないユーザーがアプリやデータにアクセスするのを防ぎます。

マイクロソフトは、 Citrixと長年にわたり契約を結んでおり、Microsoft Terminal Services とCitrix XenApp (旧称 Citrix MetaFrame およびCitrix Presentation Server ) 間の技術と特許 ライセンスの共有を促進しています。この契約により、Citrix は Windows プラットフォームの重要なソース コードにアクセスでき、開発者は Terminal Services プラットフォームのセキュリティとパフォーマンスを向上させることができます。2004 年 12 月下旬、両社はこの契約をWindows Vistaにも適用する 5 年間の更新を発表しました。^[12]

RDS の主要サーバー コンポーネントは、 TCP ポート3389をリッスンするターミナル サーバー( ) です。リモート デスクトップ プロトコル(RDP) クライアントがこのポートに接続すると、一意のSessionIDがタグ付けされ、新しく生成されたコンソール セッション (セッション 0、キーボード、マウス、および文字モード UI のみ) に関連付けられます。次に、ログイン サブシステム (winlogon.exe) とGDIグラフィック サブシステムが開始され、ユーザーを認証して GUI を表示するジョブが処理されます。これらの実行可能ファイルは、コンソール セッションではなく、新しいセッションで読み込まれます。新しいセッションを作成すると、グラフィック デバイス ドライバーとキーボード/マウス デバイス ドライバーが、RDP 固有のドライバー (と) に置き換えられます。 はデバイス ドライバーであり、UI レンダリング呼び出しを RDP 経由で送信可能な形式でキャプチャします。 はキーボードおよびマウス ドライバーとして機能し、TCP 接続経由でキーボードおよびマウスの入力を受け取り、それをキーボードまたはマウスの入力として表示します。また、仮想チャネルの作成も可能で、これにより、ディスク、オーディオ、プリンター、COM ポートなどの他のデバイスをリダイレクトできます。つまり、チャネルはこれらのデバイスの代わりとして機能します。チャネルは TCP 接続を介してクライアントに接続します。チャネルがデータにアクセスされると、クライアントに要求が通知され、TCP 接続を介してアプリケーションに転送されます。この手順全体は、ターミナル サーバーとクライアントによって実行され、RDP が適切な転送を仲介し、アプリケーションに対して完全に透過的です。^{[13] RDP 通信は、128 ビット}RC4暗号化を使用して暗号化されます。Windows Server 2003 以降では、FIPS 140準拠の暗号化方式を使用するか、トランスポート層セキュリティ標準を使用して通信を暗号化できます。^{[6] [14]}termdd.sysRdpDD.sysRdpWD.sysRdpDD.sysRdpWD.sys

クライアントが接続を開始し、サーバーでターミナル サービス スタックの呼び出しが成功したことを通知されると、デバイスとキーボード/マウス ドライバーがロードされます。RDP 経由で受信した UI データはデコードされて UI としてレンダリングされますが、UI をホストするウィンドウへのキーボードとマウスの入力はドライバーによってインターセプトされ、RDP 経由でサーバーに送信されます。また、他の仮想チャネルも作成され、リダイレクトが設定されます。RDP 通信は、低、中、高のいずれかの暗号化を使用して暗号化できます。低暗号化では、ユーザー入力 (送信データ) は弱い (40 ビット RC4) 暗号を使用して暗号化されます。中暗号化では、UI パケット (受信データ) もこの弱い暗号を使用して暗号化されます。「高暗号化 (非エクスポート)」設定では 128 ビット RC4 暗号化が使用され、「高暗号化 (エクスポート)」では 40 ビット RC4 暗号化が使用されます。^[15]セキュリティ層を「SSL（TLS 1.0）」に設定すると、バージョン1.2までのトランスポート層セキュリティが利用可能になります。 ^[16]

ターミナル サーバーは、ターミナル サービスのサーバー コンポーネントです。クライアントの認証、およびアプリケーションをリモートで使用可能にする処理を行います。また、アクセス レベルに応じてクライアントを制限する処理も任されています。ターミナル サーバーは、構成されたソフトウェア制限ポリシーを尊重し、特定のソフトウェアの使用を特定のユーザー グループのみに制限します。リモート セッション情報は、サーバーに保存されているセッション ディレクトリと呼ばれる特殊なディレクトリに保存されます。セッション ディレクトリは、セッションに関する状態情報を保存するために使用され、中断されたセッションを再開するために使用できます。ターミナル サーバーは、これらのディレクトリも管理する必要があります。ターミナル サーバーは、クラスターでも使用できます。 ^[6]

Windows Server 2008では、大幅に改良されました。ログイン時に、ユーザーがWindows Server ドメインアカウントを使用してローカル システムにログオンした場合、同じサインオンからの資格情報を使用してリモート セッションを認証できます。ただし、これには Windows Server 2008 がターミナル サーバー OS である必要があり、クライアント OS は Windows Server 2008、Windows Vista、およびWindows 7に制限されています。さらに、ターミナル サーバーは、RemoteApp という機能を使用して、デスクトップ全体ではなく個々のプログラムへの接続を許可するように構成できます。ターミナル サービス Web アクセス (TS Web アクセス) により、Web ブラウザーから RemoteApp セッションを呼び出すことができます。これには、サーバーに展開されている RemoteApp のリストを維持し、リストを最新の状態に保つ TS Web アクセス Web パーツ コントロールが含まれています。ターミナル サーバーは、Windows システム リソース マネージャーと統合して、リモート アプリケーションのリソース使用率を調整することもできます。^[4]

ターミナル サーバーは、ターミナル サーバー マネージャー Microsoft 管理コンソールスナップインによって管理されます。これを使用して、サインイン要件を構成したり、リモート セッションの単一インスタンスを強制したりできます。また、グループ ポリシーまたはWindows Management Instrumentation を使用して構成することもできます。ただし、Windows OS のクライアント バージョンでは使用できません。クライアント バージョンでは、サーバーは 1 つのセッションのみを許可し、リモート セッションでユーザー アカウントの権限を強制するように事前構成されており、カスタマイズは行われません。^[6]

RD ゲートウェイとも呼ばれるリモート デスクトップ ゲートウェイ サービス コンポーネントは、HTTPSチャネルを使用して RDP セッションをトンネリングできます。^[17]これにより、セッションがトランスポート層セキュリティ(TLS) でカプセル化され、 RDS のセキュリティが強化されます。^{[18]これにより、} Internet Explorer をRDP クライアントとして使用するオプションも可能になります。macOS用の公式 MS RDP クライアントは、バージョン 8 以降で RD ゲートウェイをサポートしています。これは、iOS および Android でも利用できます。

この機能は、Windows Server 2008 およびWindows Home Server製品で導入されました。

2021年10月、FreeRDPプロジェクトの主要な貢献者であるThincastは、Linux上でネイティブに実行される最初のリモートデスクトップゲートウェイソリューションを公開しました。^[19]

リモート デスクトップ ゲートウェイ

承認されたユーザーがプライベート ネットワークまたはインターネット経由で仮想デスクトップ、リモート アプリ プログラム、セッション ベースのデスクトップに接続できるようにします。

リモート デスクトップ接続ブローカーの役割

ユーザーが既存の仮想デスクトップ、RemoteApp プログラム、およびセッションベースのデスクトップに再接続できるようにします。セッション コレクション内の RD セッション ホスト サーバー間、またはプールされた仮想デスクトップ コレクション内のプールされた仮想デスクトップ間で均等に負荷を分散し、仮想デスクトップ コレクション内の仮想デスクトップにアクセスできるようにします。

リモート デスクトップ セッション ホスト

サーバーが RemoteApp プログラムをセッションベースのデスクトップとしてホストできるようにします。ユーザーは、セッション コレクション内の RD セッション ホスト サーバーに接続して、プログラムを実行したり、ファイルを保存したり、それらのサーバー上のリソースを使用したりすることができます。ユーザーは、リモート デスクトップ接続クライアントまたは RemoteApp プログラムを使用して、リモート デスクトップ セッション ホスト サーバーにアクセスできます。

リモート デスクトップ仮想化ホスト

ユーザーが RemoteApp とデスクトップ接続を使用して仮想デスクトップに接続できるようにします。

リモートデスクトップ Web アクセス

ユーザーがスタート メニューまたは Web ブラウザーから RemoteApp およびデスクトップ接続にアクセスできるようにします。RemoteApp およびデスクトップ接続は、ユーザーに RemoteApp プログラム、セッションベースのデスクトップ、および仮想デスクトップのカスタマイズされたビューを提供します。

リモート デスクトップ ライセンス

各デバイスまたはユーザーがリモートデスクトップセッションホストサーバーに接続するために必要なRDSクライアントアクセスライセンス（RDS CAL）をサーバーが管理できるようにします。RDS CALは、リモートデスクトップライセンスマネージャーアプリケーションを使用して管理されます。^[20]

RemoteApp (またはTS RemoteApp ) は、Windows Server 2008 R2 以降で利用可能な RDS の特別なモードであり、リモート セッション構成がクライアント オペレーティング システムに統合されています。RDP 6.1 クライアントは、Windows XP SP3、Windows XP SP2 ユーザー向けの KB952155、^[21] Windows Vista SP1、および Windows Server 2008 に同梱されています。RemoteApp の UI は、ローカル デスクトップ上のウィンドウにレンダリングされ、ローカル アプリケーションのその他のウィンドウと同様に管理されます。この結果、リモート アプリケーションは、ローカル アプリケーションとほぼ同じように動作します。リモート セッションを確立するタスクと、ローカル リソースをリモート アプリケーションにリダイレクトするタスクは、エンド ユーザーには透過的です。^[22 ] 1 つの RemoteApp セッションで、それぞれ独自のウィンドウを持つ複数のアプリケーションを起動できます。^[23]

RemoteApp は、ファイルとしてパッケージ化することも、 Windows インストーラー.rdpパッケージ経由で配布することもできます。ファイルとしてパッケージ化されている場合 (RemoteApp サーバーのアドレス、使用する認証スキーム、その他の設定が含まれています)、ファイルをダブルクリックすることで RemoteApp を起動できます。これにより、リモート デスクトップ接続クライアントが呼び出され、サーバーに接続して UI がレンダリングされます。RemoteApp は、Windows インストーラーデータベースにパッケージ化することもできます。このデータベースをインストールすると、RemoteApp がスタート メニューに登録され、起動するためのショートカットが作成されます。RemoteApp は、ファイルの種類または URI のハンドラーとして登録することもできます。RemoteApp に登録されているファイルを開くと、まずリモート デスクトップ接続が呼び出され、ターミナル サーバーに接続してからファイルが開かれます。リモート デスクトップ経由でアクセスできるアプリケーションはすべて、RemoteApp として使用できます。^[22].msi .rdp

Windows 7にはRemoteApp公開のサポートが組み込まれていますが、Microsoft WindowsのクライアントバージョンにはRemoteApp管理コンソールがないため、レジストリで手動で有効にする必要があります。^[24]

Windows Vista以降では、ターミナル サービスにWindows デスクトップ共有と呼ばれるマルチパーティ デスクトップ共有機能も含まれています。ターミナル サービスでは RDP 接続ごとに新しいユーザー セッションが作成されますが、Windows デスクトップ共有では、新しいセッションを作成せずに現在ログインしているユーザーのコンテキストでリモート セッションをホストし、デスクトップまたはそのサブセットを RDP 経由で利用できるようにします。^[25] Windows デスクトップ共有を使用すると、デスクトップ全体、特定の領域、または特定のアプリケーションを共有できます。^[26] Windows デスクトップ共有は、マルチモニター デスクトップの共有にも使用できます。アプリケーションを個別に (デスクトップ全体ではなく) 共有する場合、ウィンドウはサーバー側とクライアント側で独立して管理されます (最小化または最大化)。^[26]

この機能は、スクリーン共有機能を提供するために任意のアプリケーションで使用できるパブリックAPIRDPSession経由でのみ提供されます。Windows デスクトップ共有 API は、共有セッション用とRDPViewerビューア用の 2 つのオブジェクトを公開します。1 つのセッション オブジェクトに対して、複数のビューア オブジェクトをインスタンス化できます。ビューアは、スクリーンキャストのようにアプリケーションを視聴することしかできない受動的なビューア、またはリモート アプリケーションとリアルタイムで対話できる対話型ビューアのいずれかになります。^[25]オブジェクトには、オブジェクトRDPSessionとして表されるすべての共有アプリケーションが含まれており、各オブジェクトは画面上のウィンドウを表します。アプリケーションごとのフィルターは、アプリケーション ウィンドウをキャプチャし、オブジェクトとしてパッケージ化します。^[27]ビューアは、共有セッションに接続する前に認証する必要があります。これは、を使用してを生成することによって行われます。これには、認証チケットとパスワードが含まれています。オブジェクトはシリアル化されてビューアに送信され、接続時に を提示する必要があります。^{[25] [27]}ApplicationWindowWindowInvitationRDPSessionInvitation

Windowsデスクトップ共有APIは、WindowsミーティングスペースとWindowsリモートアシスタンスによって、ネットワークピア間でのアプリケーション共有機能を提供するために使用されます。^[26]

ネットワーク レベル認証( NLA ) は、サーバーとのセッションを確立する前に接続ユーザーが認証を行うことを要求する RDP サーバーまたはリモート デスクトップ接続(RDP クライアント)の機能です。

元々、ユーザーがサーバーへの RDP (リモート デスクトップ) セッションを開くと、ユーザーのログイン画面がサーバーから読み込まれていました。これにより、サーバーのリソースが消費され、サービス拒否攻撃やリモート コード実行攻撃の潜在的な領域となっていました ( BlueKeepを参照)。ネットワーク レベル認証は、クライアント側のセキュリティ サポート プロバイダーを通じてクライアントからユーザーの資格情報を委任し、サーバー上でセッションを確立する前にユーザーに認証を求めます。

ネットワークレベル認証は RDP 6.0 で導入され、Windows Vistaで最初にサポートされました。これは、Windows Vista のSSPIを通じて利用できる新しいセキュリティ サポート プロバイダーである CredSSP を使用します。Windows XP Service Pack 3 では、そのプラットフォームに CredSSP が導入され、付属の RDP 6.1 クライアントは NLA をサポートしていますが、まずレジストリで CredSSP を有効にする必要があります。^{[28] [29]}

ネットワーク レベル認証の利点は次のとおりです。

• ユーザーが認証されるまで完全なリモート デスクトップ接続の開始を防ぐことで、最初に必要なリモート コンピュータリソースが少なくなり、サービス拒否攻撃のリスクが軽減されます。
• これにより、NTシングル サインオン(SSO) を RDP サービスに拡張できるようになります。
• 認証前にのみ悪用されるリモートデスクトップの脆弱性を軽減するのに役立ちます。^[30]

• 他の認証プロバイダはサポートされていません
• リモートデスクトップサービスでネットワークレベル認証を使用するには、クライアントでWindows XP SP3以降が実行されており、ホストでWindows Vista以降^[31]またはWindows Server 2008以降が実行されている必要があります。
• Windows XP SP3 で使用するには、ネットワーク レベル認証を必要とする RDP サーバーのサポートをレジストリ キーで構成する必要があります。
• CredSSP 経由でパスワードを変更することはできません。これは、「ユーザーは次回ログオン時にパスワードを変更する必要がある」が有効になっている場合、またはアカウントのパスワードの有効期限が切れている場合に問題になります。
• 「ネットワーク経由でこのコンピュータにアクセスする」権限が必要ですが、他の理由で制限されている可能性があります。
• ログインしようとしているクライアントの IP アドレスはセキュリティ監査ログに保存されないため、ファイアウォールによるブルート フォース攻撃や辞書攻撃をブロックすることが難しくなります。
• エンド クライアントで NLA が有効になっている場合、リモート デスクトップ ゲートウェイを使用したドメイン間のスマート カード認証はサポートされません。

リモートデスクトップ接続は、リモートデスクトップサービスの主なクライアントです。RDCは、リモートシステムのデスクトップインターフェイス（またはアプリケーションGUI）を、ローカルでアクセスしているかのように表示します。^[32] Microsoftリモートデスクトップは、タッチフレンドリーなインターフェイスを備えたクライアントとして2012年にMicrosoftによって作成されました。さらに、Microsoft以外のクライアントもいくつか存在します。

• BlueKeep (セキュリティの脆弱性)
• Windows マルチポイント サーバー
• 廃止されたマイクロソフト製品であるMicrosoft NetMeetingも、Windows NT ターミナル サービス エディションと同時期に共有デスクトップ機能を提供しました。
• 仮想ネットワークコンピューティング

• リモート デスクトップ サービスへようこそ
• 「リモート デスクトップ サービス接続のネットワーク レベル認証を構成する」。Microsoft TechNet。2009年 11 月 17 日。
• 「どのような種類のリモート デスクトップ接続を許可する必要がありますか?」。Microsoft Corporation。2016年 6 月 8 日にオリジナルからアーカイブされました。