リモートデスクトップ接続で特定のユーザーを拒否する

投稿者: | 2020年1月29日

リモート接続で管理者の接続を拒否したい

そんなことあるんかいといわれるかもしれませんが、あるんです。
リモートデスクトップ(管理用といわれるもの)でマシンに接続をしたいけれど、それは一般ユーザーで管理者は拒否したいというケースです。

管理用のリモートデスクトップ接続は既定で管理者権限のユーザーが接続可能になっていて、管理者権限を持たないユーザーにも接続を許可する場合は明示的に権限を追加します。
(ユーザーを指定して接続させるよりも、Remote Desktop Users のセキュリティグループにそのユーザーを入れることのほうが一般的でしょう。)

その反対に、例えば、何かの接続の橋渡しとして(それはときに「踏み台」と言われます)そのパソコンにログインし、次のパソコンへさらにリモートで接続するような場合です。自宅のマシンに外からアクセスしたいときにはこのように組むことはあるでしょう。DMZにマシンを置くこともあるかもしれません。

ローカルポリシーで指定

場所はここです。(Windows 10 Pro 1909)

ローカルコンピューターポリシー > コンピューターの構成 > Windows の設定 > セキュリティの設定 > ローカルポリシー > ユーザー権利の割り当て

『リモートデスクトップサービスを使ったログオンを拒否』

今回は Administrator を登録する場合の例として。

接続しようとすると拒否られます。

これとは別に管理者権限を持たないユーザーをリモートデスクトップ接続が可能なように設定しておきます。
リモートで接続しても管理者権限で何かをしたいときは、runas コマンドでも使うことにしましょう。