リモートデスクトップを有効にしたPC・サーバーでは、何も設定していなくても管理者（Administratorsグループ）は全員が接続できます。保守業者用のアカウントや前任者が追加したユーザーが残り、接続できる人がいつの間にか増えていることは珍しくありません。いま誰が接続できるかを確かめ、必要な人だけに絞る手順をまとめます。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
接続できる人を決めている3つの設定
| 設定 | 役割 |
|---|---|
| Administrators / Remote Desktop Users グループ | 既定では、この2つのグループのメンバーが接続できる |
| ユーザー権利「リモート デスクトップ サービスを使ったログオンを許可」 | 接続を認めるグループを決める（既定は上の2グループ） |
| ユーザー権利「リモート デスクトップ サービスを使ったログオンを拒否」 | ここに入れた人は、許可されていても接続できない（拒否が優先） |
「許可」に入っていて、かつ「拒否」に入っていない人だけが接続できます。
いま誰が接続できるかを確認する
接続される側のPC・サーバーで、コマンドプロンプトまたはPowerShellから2つのグループのメンバーを表示します。
net localgroup "Remote Desktop Users"
net localgroup Administrators表示された全員が接続できる候補です。ドメインのグループが入っている場合は、そのメンバー全員が対象で、「Domain Users」や「Everyone」なら社内の全員が接続できます。中身は Get-ADGroupMember -Identity "グループ名" で確認できます（詳しくはWindowsの管理者ユーザーを一覧にする方法）。
見落としやすい点
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
接続できる人を絞っても、許可した人のパスワードが漏れれば、その人として接続されます。接続してきたのが本当に本人かは、パスワードだけでは確かめられません。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
1台ずつ絞る
1台ずつ接続できる人を絞る手順
- 1
接続が必要な人を書き出す
誰が・どの業務で・いつまで。保守業者は担当者ごとに分けたアカウントにする
- 2
不要な人をRemote Desktop Usersから外す
Remove-LocalGroupMember（下のコマンド）
- 3
必要な人だけを追加する
Add-LocalGroupMember（下のコマンド）
- 4
リモート接続が不要な管理者を「拒否」に入れる
secpol.msc → ローカル ポリシー → ユーザー権利の割り当て → 「リモート デスクトップ サービスを使ったログオンを拒否」
- 5
外した人で接続できないことを確かめる
「接続が拒否されました」と出れば設定が効いている
Remove-LocalGroupMember -Group "Remote Desktop Users" -Member "ユーザー名"
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "ユーザー名"管理者のまま接続させるか、Remote Desktop Usersだけにするか
Administratorsのまま接続
- 接続した先で何でもできる状態になる
Remote Desktop Usersだけに入れる
- 接続はできるが、管理者の操作はできない
- 普段の作業に管理者権限が不要な人の基本形
全社でそろえる（グループポリシー）
台数が多いと1台ずつの設定はすぐ食い違います。ドメイン環境では、グループポリシーで次の2つを配ります。
| 配る設定 | 場所と内容 |
|---|---|
| ユーザー権利 | コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → ローカル ポリシー → ユーザー権利の割り当て → 「リモート デスクトップ サービスを使ったログオンを許可」に、接続を認めるドメインのグループだけを指定（例：「RDP-サーバー管理」のような専用グループ） |
| グループのメンバー | コンピューターの構成 → 基本設定 → コントロール パネルの設定 → ローカル ユーザーとグループ で、Remote Desktop Usersのメンバーを指定。各PCで誰かが足したメンバーも上書きされる |
専用グループにしておけば、退職・異動のときはドメインのグループから外すだけで全台の接続権が外れます（退職者アカウントの削除・無効化の手順）。反映は gpupdate /force のあと、gpresult /h report.html で確認できます。
接続元のIPアドレスを絞る
ファイアウォールで接続元を限る
- 1
「wf.msc」を開く
セキュリティが強化された Windows Defender ファイアウォール
- 2
受信の規則を開く
「リモート デスクトップ - ユーザー モード (TCP 受信)」
- 3
スコープを限定する
「リモート IP アドレス」で「これらの IP アドレス」を選び、管理用PCやVPNの範囲だけを追加
リモートデスクトップの入口（TCP 3389）をインターネットにそのまま出すのは避けてください。社外から使う場合はVPNなどを経由させ、接続元をその範囲に限ります（VPN機器の脆弱性）。社内のWi-Fiも、VPNと同じく社内への入口です。
あわせて確認したい設定
| 設定 | やり方と理由 |
|---|---|
| ネットワークレベル認証（NLA）を必須に | 設定 → システム → リモート デスクトップ の詳細設定で「ネットワーク レベル認証を使用してデバイスに接続することを求める」を有効に。ログオン画面の前に認証を求め、相手に余計な情報を見せない |
| ロックアウトを設定 | 決めていないとパスワードを何度でも試せる（ADなしのPCでアカウントロックアウトを設定する方法） |
| 使わないPCではRDP自体を無効に | コンピューターの構成 → 管理用テンプレート → Windows コンポーネント → リモート デスクトップ サービス → リモート デスクトップ セッション ホスト → 接続 → 「リモート デスクトップ サービスを使用したリモート接続をユーザーに許可する」を無効 |
絞ったあとに残る課題
絞っても、記録から本人が分からない状態
残りやすい状態
- 許可したアカウントを複数人で使う（例：「保守用」1つを業者の全員が使う）
- パスワードだけで接続できる（知っている人なら誰でも本人として入れる）
目指す状態
- 1人1アカウントで接続する
- パスワードに加えて本人の別の要素を求める
接続記録の見方はリモートデスクトップの接続履歴を確認する方法、別の要素を求める方法はリモートデスクトップ(RDP)の2要素認証で扱っています。
普段の管理が楽になると何が変わるか
許可したアカウントで実際に誰が入っているかを、1台ずつイベントログで確かめるのは手間がかかります。全PC・サーバーのリモートデスクトップのログインを、日時・利用者・接続元のPC名とIPアドレスつきで1画面で見られるようにしておくと（アプリップリキー）、普段の仕事が次のように変わります。
- 保守業者の作業確認：「昨日の作業は誰がどこから入ったか」を、サーバーの前に行かずに画面で確かめられます。
- 退職・異動のとき：その人がまだ接続していないかを記録で確かめ、スマホの登録を席まで行かずに外せます。
- 監査・取引先のチェックシート：リモート接続の記録を絞り込んで、その日のうちにCSVで出せます。
さらに、リモートデスクトップのログインを本人のスマホを鍵にしたワンタッチログインにすると、2要素認証になり、記録に残る利用者が本人だと説明しやすくなります（PC版・サーバー版）。
よくある質問
リモートデスクトップで接続できるユーザーはどこで確認できますか
接続される側のPCで net localgroup "Remote Desktop Users" と net localgroup Administrators を実行します。既定ではこの2つのグループのメンバーが接続できます。設定画面の「リモート デスクトップ ユーザー」にはAdministratorsのメンバーが表示されない点に注意してください。
管理者だけはリモート接続させない設定はできますか
ユーザー権利の「リモート デスクトップ サービスを使ったログオンを拒否」に対象のアカウントやグループを追加します。拒否は許可より優先されるため、管理者でも接続できなくなります。作業用の管理者アカウントまで拒否して締め出されないよう、先に接続できるアカウントを1つ確保してから設定してください。
Windows Home エディションでも設定できますか
Home エディションは、リモートデスクトップで接続される側になれません。接続される側として使うのはPro以上のエディションとWindows Serverです。
全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
いまの運用を棚卸ししてみる
接続できる人を絞る作業は、一度やっても退職・異動・業者の入れ替わりのたびに崩れていきます。applippliの無料棚卸しでは、10問・約3分で、リモート接続を含むPCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年10月時点の一般的な解説です。設定項目の名称や配置は、Windowsのバージョン・エディションによって異なる場合があります。設定を変える前に、接続できるアカウントを1つ確保しておいてください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。