RDPの認証強化でつまずくのは「製品を入れるかどうか」ではなく「どの接続経路に、どこまで適用されるのか」です。経路によって認証が行われる場所が変わるため、同じ製品でも構成によって守れる範囲が違います。RDPに認証強化が必要な理由はWindows/Windows Server OSログインの二要素認証、製品比較はWindows向け多要素認証製品の選び方で扱い、本記事は構成ごとの適用範囲に絞ります。
リモートデスクトップで認証がかかる3か所
- 1
ゲートウェイ機器での認証
VPN装置・UTMなど。社外からの接続の入口
- 2
接続前の認証（NLA）
画面を開く前の本人確認
- 3
接続先のWindowsログオン
サーバー・PCそのものへのログイン
RDPで認証がかかる場所は1か所ではない
| 段階 | 何をしているか |
|---|---|
| 接続前の認証（NLA） | セッションを張る前に資格情報を検証。ここで弾けばログオン画面も表示されない |
| 接続後のWindowsログオン | 接続先OSのログオン処理。OSログインに追加要素を求める方式はここで働く |
| ゲートウェイ機器での認証 | RD GatewayやVPN装置など、経路上の機器が独自に認証する |
3か所は互いに独立しています。ゲートウェイで追加要素を求めても接続先OSのログオンは素通り、逆にOSログオンを強化しても経路の入口には何もない、という構成が成立してしまいます。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
接続経路別に守れる範囲はどう変わるか
| 構成 | 認証がかかる場所 | 残りやすい穴 |
|---|---|---|
| 1. 直接RDP | 接続先OSのログオンのみ | 世界中から到達できる。まず直接公開をやめる |
| 2. RD Gateway経由 | ゲートウェイ（外部からの接続） | 社内からの接続はゲートウェイを通らない |
| 3. 踏み台経由 | 踏み台と目的サーバーの2回 | 2回目が同じID・パスワードなら、実質の壁は1回目だけ |
| 4. VPN内RDP | VPN装置（入口） | VPN接続後のRDPに追加認証がない |
構成1：インターネットから直接RDP接続している
RDPのポートをインターネット側に開けている構成です。ポートスキャンで世界中から到達でき、リスト型攻撃や総当たり攻撃の標的になります。経路上に認証を挟む機器がないため、強化できるのは接続先OSのログオンだけです。ただし先にやるべきは経路を閉じること（直接公開をやめること）で、認証強化はその上での多重化です。
構成2：RD Gateway経由で接続している
ゲートウェイ側で追加要素を要求できるため、外部からの接続は入口で止められます。見落としやすいのは社内からの接続がゲートウェイを通らない点です。社内PCから直接RDPを張れるなら、1台の社内PCが侵害されたとき、そこから社内のサーバーへRDPで横移動できてしまいます。
構成3：踏み台サーバー(ジャンプサーバー)を経由している
認証が2回あるため強く見えますが、2回目も同じID・パスワードだけなら、実質的な壁は踏み台への1回目だけです。踏み台へのログオンに追加要素を求め、踏み台から先で使うアカウントを日常業務のものと分けます（Windows Serverの特権アカウント管理）。
構成4：VPNで社内に入ってからRDPを使っている
もっとも多い構成です。入口はVPN装置で認証されますが、VPN接続後のRDPには何の追加認証もかかっていないケースが大半です。VPNの認証が突破されたり、装置自体の脆弱性を突かれたりすると、社内のRDPはID・パスワードだけの状態で残ります。VPN機器の脆弱性がランサムウェアの主要な侵入経路になっているのは、この「VPNを抜ければ中は自由」という構成が広く使われているためです。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るVPN内RDPの2つの設計
VPNだけで認証
- VPNを抜ければ、社内のRDPはID・パスワードだけ
- PC・サーバーへ横に広げられやすい
VPNとRDPそれぞれに認証
- VPNを抜けられても、RDPのログオンで本人確認が求められる
- 別の層として、それぞれに認証を持たせる
コンソールログオンとRDPログオンが別扱いになる問題
認証を強化する仕組みの多くは、本体の画面からのログオン（コンソールログオン）とRDP経由のログオンを別のログオン種別として扱います。一方にだけ適用されている状態は、次の形で表面化します。
| よくある原因 | 起きること |
|---|---|
| 動作確認をコンソールだけで行った | RDP接続時に追加要素が求められないことに気づかない |
| サーバーの検証を省略した | クライアントPCだけで検証し、RDPしか使わないサーバーを実機確認していない |
| 例外設定が残っている | 切り替え作業で一時的に除外した対象が、そのまま除外され続ける |
設定画面の表示だけで済ませず、実際にログオンして確かめます。誰が接続できるかはリモートデスクトップで接続できるユーザーを制限する手順、誰が接続したかはリモートデスクトップの接続履歴を確認する方法で確かめられます。
確認の落とし穴
導入前に決めておくこと
| 決めること | 決めないと起きること |
|---|---|
| 保守ベンダーのRDP接続の扱い | 社外の作業者に追加要素を渡せない（保守ベンダー・委託先アカウントの管理） |
| 認証要素が使えないときの接続手段 | 紛失・故障時に例外を作り、穴が固定化する |
| サービスアカウントによる自動接続の有無 | バッチや監視の処理が止まる（サービスアカウントの管理） |
UTM・VPN機器があればリモートデスクトップは守られているか
「UTMを通しているので大丈夫」と説明されている場合は、範囲を確認してください。UTMやファイアウォールが行うのは通信を通すか遮断するかの判断で、通した先で本人かを確かめているわけではありません。
| 仕組み | 止められること | 止められないこと |
|---|---|---|
| UTM・ファイアウォール | 許可していない通信の遮断 | 正規のIDとパスワードでの接続 |
| VPN | 社内網へ入る経路の限定 | VPNの認証情報が漏れた場合の侵入 |
| RDPの2要素認証 | パスワードが漏れていても接続を止める | 端末そのものの持ち出し・盗難 |
盗まれた認証情報での侵入は、機器から見れば正常な接続です。VPN機器の脆弱性を突かれた事例では、その先のリモートデスクトップがIDとパスワードだけだったために被害が広がっています(VPNの脆弱性)。UTMと認証の役割分担はUTM・ウイルス対策と認証の違いで整理しました。
Active Directory環境でリモートデスクトップの認証を強化する場合
ドメイン参加PCへの接続では認証を確かめているのはドメインコントローラーなので、2要素認証を足す場所も接続先のPCごとではなく認証の経路側です。
AD環境で認証を強化する順番
- 1
入ってくる経路を1つに絞る
直接RDP・RD Gateway・踏み台・VPN内RDPが混在すると、1つ塞いでも別の経路が残る
- 2
ドメイン管理者でのリモート接続を止める
影響が最も大きく、日常業務では不要なことが多い
- 3
グループポリシーで接続を許可する対象を絞る
既定のままだと想定より広く接続権限が残っている
参考：Windows Serverの特権アカウント管理、グループポリシーでできるアカウント保護設定
Active Directory を運用していない環境では前提が変わります。その場合の進め方はADがない会社の認証整備を参照してください。
普段の管理が楽になると何が変わるか
経路を絞ったあとに手間がかかるのは、誰がどこから接続したかを1台ずつ確かめることです。全PC・サーバーを1か所で管理できるようにしておくと（アプリップリキー）、リモートデスクトップまわりの普段の仕事が次のように楽になります。
- リモートデスクトップのログインが、日時・利用者・接続元のPC名とIPアドレスつきで1画面に並ぶので、サーバーごとにイベントログを開いて探さずに済みます。
- 保守ベンダーの作業日や、取引先のチェックシートで接続記録を聞かれたとき、絞り込んでCSVでその日のうちに出せます。
- ログインの連続失敗があればLINEに届き、相手のIPは自動で遮断されます。何もない日は見に行かなくてよいので、夜間や休日も担当者が安心して休めます。
- 2要素認証の設定漏れがあるPC・サーバーも一覧で分かるので、どこから直すか迷いません。
さらに、PC・サーバーのリモートデスクトップのログインを本人のスマホを鍵にしたワンタッチログインにでき、ゲートウェイやクラウド連携を組まずに始められます（PC版・サーバー版）。毎回の操作はスマホでワンタッチなので、接続する人の手間はほとんど増えません。
自社の構成でどこに穴があるかを確認する
RDPの認証がどこまで効いているかは、経路の構成とログオン種別ごとの適用状況を突き合わせないと判断できません。applippliの無料棚卸しでは、10問・約3分で、リモート接続を含めた自社のID・パスワード対策の状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。