Windows 10 Pro で Azure Active Directory joined (参加済み) なPCに、Azure AD非参加のPCからリモートデスクトップ接続しようとしたら「お使いの資格情報は機能しませんでした」というエラーが出てうまくいかなかったのでメモしておきます。
結論
リモートデスクトップ接続クライアント(mstsc.exe)の設定を、テキストエディタで編集する必要があります。めんどい。
まず、接続される側(サーバー側)のPCでリモートデスクトップ接続を有効にしておきます。
それから、接続する側(クライアント側)のPCで、下記の手順で接続できます。今回試した限りでは、Windows 7からの接続もできました。
- リモートデスクトップ接続の設定ファイルを作る。
- 設定ファイル(*.rdp)をメモ帳などのテキストエディタで開き、
enablecredsspsupport:i:0という行を追加し、保存する。 - 設定ファイル(*.rdp)を、リモートデスクトップ接続クライアント(mstsc.exe)で開く。(普通はダブルクリックでおｋ)
AzureAD\[email protected]という形式のユーザー名と、Azure ADのパスワード(Office 365のパスワード)を使ってサインインする。
なお、同じAzure ADに参加済みのWindows PCからは、特にややこしいことをしなくても普通に接続できます。
もうちょっと詳しく
サーバー側のPCでリモートデスクトップ接続を有効にする
リモートデスクトップ接続される側(サーバー)の方にて、リモートデスクトップ接続を有効にする方法です。
コントロールパネル → システム → リモートの設定
「このコンピューターへのリモート接続を許可する」のラジオボタンを選択します。
「ネットワーク レベル認証でリモート デスクトップを実行しているコンピューターからのみ接続を許可する (推奨)(N)」ですが、これをオンにすると同じAzure ADに参加済みのPCからでないと接続できなくなるようです。従って、同じAzure ADに参加済みのPCからしか接続しないならオン、そうでないならオフにするのが良いと思われます。まあ、そもそもこの記事に辿り着いた方はオフにする以外ないと思いますが。
クライアント側のPCでリモートデスクトップ接続の設定を行う
ここからはクライアント側PCで行う設定です。
リモートデスクトップ接続の設定ファイル(.rdp)を作る
リモートデスクトップ接続(mstsc.exe)を起動 → ウィンドウ左下の「オプションの表示」
「名前を付けて保存(V)…」 から保存します。
リモートデスクトップ接続の設定ファイル(.rdp)に enablecredsspsupport:i:0 を追加する
保存した設定ファイル(.rdp)をメモ帳などのテキストエディタで開き、 enablecredsspsupport:i:0 という行を追加します。これだけでOKです。
なお、.rdpファイルは色々な設定が書かれていますが、今回の場合に必要なのは下記の行だけらしいです。(接続先は適宜変更してね)
full address:s:host.example.com:3389
prompt for credentials:i:0
enablecredsspsupport:i:0
authentication level:i:2設定ファイル(*.rdp)を、リモートデスクトップ接続クライアント(mstsc.exe)で開く
普通の設定のPCならダブルクリックで開きます。すると、勝手にリモートデスクトップ接続が始まります。
認証情報を入力してサインインする
- ユーザー名は
AzureAD\[email protected]のような形式(大文字小文字はどちらでも可) - パスワードは Azure AD のパスワード(Office 365のパスワード)
でサインインできます。
PINは使えないっぽいです。まあPINはPCへの物理アクセスが可能な場合にのみ使える前提のものなので、妥当な仕様でしょう。
資格情報マネージャーを使うとパスワード入力なしでサインインできる
同じAzure ADに参加しているPCから接続する場合、資格情報マネージャーを使ってパスワードを保存しておくと.rdpファイルを開くだけで自動的にサインインできるようになりました。なかなか便利です。
参考: 資格情報マネージャーを使って保存したパスワードを削除・変更する(起動コマンドあり)【Windows 10】 | けーのブログ
あとがき
できるだけWindowsの標準機能だけで済ませたいものですが、今回のようにリモートデスクトップ接続にちょっと手間がかかる、というような状況を鑑みると、Azure ADはまだまだこなれていない感があります。
「Chrome リモート デスクトップ」やその他のリモートデスクトップソリューションを使うほうが簡単で便利かもですね…
おまけ: iOSクライアント “RD Client” の場合
iOSのリモートデスクトップクライアント、「Microsoft リモート デスクトップ (RD Client)」で試したところ、ユーザー名を受け付けてくれませんでした。
Microsoftさん…
参考URL
