☰

Windows リモート デスクトップの秘密/公開キー認証

tag-icon • tag-icon remote-desktop authentication windows-server-2012-r2
Windows リモート デスクトップの秘密/公開キー認証

Windows RDP (リモート デスクトップ プロトコル) には、SSH (Linux の場合) 公開/秘密キー認証 (通常のパスワード認証を開いたままにする代わりに) に似たものはありますか?

インターネット上でこのトピックに関する矛盾した回答を見つけています。ログインのたびに複雑なパスワードを使用するのではなく、クライアント デバイスに秘密キーを配布できればよいと思っています (最終的にパスワード認証を完全に無効にするつもりはないものとします)。

答え1

リモートデスクトップは、「スマートカード認証」という名前でX.509クライアント証明書をサポートしています。名前にもかかわらず、すべきローカルにインストールされた証明書/キー (つまり、実際のスマート カードなし) で動作します。ただし、私の知る限り、Active Directory ドメインが必要です。

つまり、ある程度は役に立つのですが、実際にはあなたにとって役に立つ方法ではありません。

答え2

AD ドメインがない場合、単純なユーザー名とパスワードによるアクセスを防止する可能性は次のようになります。

  1. Windows用OpenSSHのインストール（https://github.com/PowerShell/Win32-OpenSSH/リリースまたは、Windows 10 および 2019 では利用可能な機能です)
  2. SSHクライアントを使用してキーでログオンする
  3. SSH 経由のパスワード認証を無効にする (%ProgramData%\ssh\sshd_config でコメントを解除し、「password authentication」を「no」に設定する)
  4. グラフィカルインターフェイスが必要な場合は、SSHクライアントをSSH経由でRDPをトンネルするように設定してください（https://www.saotn.org/tunnel-rdp-through-ssh/）、
  5. パスワード ログオンが使用できないように、ネットワーク経由 (ローカル Windows ファイアウォール上ではない) の「通常の」RDP トラフィック (TCP ポート 3389) を無効にします。

数ドル出せばもっと良い選択肢があるかもしれません。例えば、Yubico のソリューション (ハードウェア トークンを使用) について聞いたことがあります。https://support.yubico.com/support/solutions/articles/15000028729-yubico-login-for-windows-configuration-guide

関連情報