☰

Azure AD 資格情報を使用した Windows 10 リモート デスクトップ接続

tag-icon • tag-icon windows-10 azure
Azure AD 資格情報を使用した Windows 10 リモート デスクトップ接続

私の組織は、Azure AD組織に参加しているWindows 10を実行しています（完全にクラウドホストされており、オンプレミスのActive Directoryはありません）。私は「[メールアドレス]「問題なく実行され、この PC へのリモート デスクトップ接続が有効になりました。」

LAN 上の別の PC または自宅からリモート デスクトップを試みると、資格情報は常に無効とみなされます。ローカル アカウント (RDP 経由) を使用してログインしようとすると、問題なく動作します。

Azure AD 資格情報が RDP 経由で機能しない理由、またはこの機能を有効にする方法を提案できる人はいますか?

答え1

可能です。基本的には、接続時に認証情報が送信されないようにし、ログイン画面が強制的に表示されるようにする必要があります。

これを行うには、.rdp ファイルを作成して編集する必要があります。

  1. リモートデスクトップ接続ウィンドウを開き、コンピュータ名またはIPを入力します
  2. 接続設定を保存する（オプションを表示、名前を付けて保存）
  3. 保存した .rdp ファイルをテキスト エディターで開き、次の行が存在することを確認します。
enablecredsspsupport:i:0
authentication level:i:2
  1. これをRDCにロードします（開くボタン）
  2. 接続し、Azure AD 資格情報を入力して、お楽しみください。

注意: 接続を受け入れるコンピュータを設定するときは、ネットワーク レベル認証 (リモート接続を許可するメニューのチェックボックス) を強制しないようにしてください。

クレジット:出典: morgansimonsenblog.azurewebsites.net

答え2

からこの記事以下の条件を満たす必要があります。

  • 両方の PC (ローカルとリモート) で Windows 10 バージョン 1607 以降が実行されている必要があります。以前のバージョンの Windows 10 を実行している Azure AD 参加 PC へのリモート接続はサポートされていません。
  • ローカル PC (接続元) は、Windows 10 バージョン 1607 以降を使用している場合は Azure AD に参加しているか、ハイブリッド Azure AD に参加している必要があります。また、Windows 10 バージョン 2004 以降を使用している場合は Azure AD に登録されている必要があります。参加していないデバイスまたは Windows 10 以外のデバイスから Azure AD に参加している PC へのリモート接続はサポートされていません。
  • ローカル PC とリモート PC は同じ Azure AD テナントに存在する必要があります。Azure AD B2B ゲストはリモート デスクトップではサポートされていません。

そこで、私の場合は、Start> Access Work or School>に移動しましたConnect。次に、Azure AD アカウントでサインインしました (コンピューターをドメインに参加させたわけではなく、接続しただけです)。これを実行した後、ドメインのメール アドレスとパスワードでサインオンできました。

答え3

2022年10月から、新しい方法条件付きアクセスを使用し、パスワードなしの認証方法を許可し、SSO を有効にするか、少なくともログイン トークンを保存します。基本的には、RDP クライアントの [詳細設定] タブに移動して、[Web アカウントを使用してリモート コンピューターにサインインする] をオンにするだけです。ただし、いくつか注意点があります。

IP アドレスを使用してリモート コンピューターに接続することはできませんが、Entra デバイス名と正確に一致するホスト名を使用する必要があります。私の場合、Azure VM を使用しましたが、Azure VM の名前が Entra デバイスに許可されている 15 文字を超えていたため (?)、ホスト名が 15 文字に切り捨てられました。そのため、VM のパブリック IP を指す切り捨てられた名前で DNS エントリを定義する必要がありました。

ただし、RDP クライアントと Entra サインイン ログには、エラー コード CAA20002 のエラーとサーバー メッセージ「AADSTS293004: 要求 {targetDeviceId} のターゲット デバイス識別子がテナント {tenantId} に見つかりませんでした」が表示されました。

幸運なことに、タイラー・シャーマンは何が欠けているかを発見した: レジストリ キー にドメインを追加する必要がありますDomain(W11 リモート マシン上の私の場合、NV DomainTyler の言うことに反して、そうではありませんでした) HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters。

関連情報