リモートデスクトップリスナー証明書の構成

[アーティクル]
08/22/2024

この記事では、リモートデスクトップサービス (RDS) 展開に含まれていない Windows Server 2012 ベースまたは Windows Server 2012 ベースのサーバーでリスナー証明書を構成する方法について説明します。

元の KB 番号: 3042780

リモートデスクトップサーバーリスナーの可用性について

リスナーコンポーネントはリモートデスクトップサーバー上で実行され、新しいリモートデスクトッププロトコル (RDP) クライアント接続をリッスンして受け入れる役割を担います。これにより、ユーザーはリモートデスクトップサーバーで新しいリモートセッションを確立できます。リモートデスクトップサーバー上に存在する各リモートデスクトップサービス接続のリスナーがあります。接続は、リモートデスクトップサービス構成ツールを使用して作成および構成できます。

リスナー証明書を構成するメソッド

Windows Server 2003、Windows Server 2008、または Windows Server 2008 R2 では、リモートデスクトップ構成マネージャー MMC スナップインを使用すると、RDP リスナーに直接アクセスできます。スナップインでは、証明書をリスナーにバインドし、RDP セッションに SSL セキュリティを適用できます。

Windows Server 2012 または Windows Server 2012 R2 では、この MMC スナップインは存在しません。そのため、システムは RDP リスナーへの直接アクセスを提供しません。 Windows Server 2012 または Windows Server 2012 R2 でリスナー証明書を構成するには、次の方法を使用します。

方法 1: Windows Management Instrumentation (WMI) スクリプトを使用する

RDS リスナーの構成データは、名前空間の下の WMI のWin32_TSGeneralSetting クラスに格納されます。

RDS リスナーの証明書は、SSLCertificateSHA1Hash プロパティのその証明書の Thumbprint 値を介して参照されます。拇印の値は、各証明書に固有です。

Note

wmic コマンドを実行する前に、使用する証明書をコンピューターアカウントの個人用証明書ストアにインポートする必要があります。証明書をインポートしない場合は、 Invalid パラメーター エラーが表示されます。

WMI を使用して証明書を構成するには、次の手順に従います。
1. 証明書のプロパティダイアログを開き、 Details タブを選択します。
2. Thumbprint フィールドまで下にスクロールし、スペース区切りの 16 進文字列をメモ帳などにコピーします。
  
  次のスクリーンショットは、 Certificate プロパティの証明書の拇印の例です。
  
  文字列をメモ帳にコピーすると、次のスクリーンショットのようになります。
  
  文字列内のスペースを削除しても、コマンドプロンプトでのみ表示される非表示の ASCII 文字が含まれます。次のスクリーンショットは例です。
  
  証明書をインポートするコマンドを実行する前に、この ASCII 文字が削除されていることを確認してください。
3. 文字列からすべてのスペースを削除します。非表示の ACSII 文字もコピーされる可能性があります。メモ帳には表示されません。検証する唯一の方法は、コマンドプロンプトウィンドウに直接コピーすることです。
4. コマンドプロンプトで、手順 3 で取得した拇印の値と共に次の wmic コマンドを実行します。
```
wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="THUMBPRINT"
```
  次のスクリーンショットは、成功した例です。
方法 2: レジストリエディターを使用する

重要

慎重にこのセクションの手順に従います。レジストリを正しく変更しないと、重大な問題が発生する可能性があります。変更する前に、問題が発生した場合に Windows でレジストリをバックアップおよび復元する方法について説明します。

レジストリエディターを使用して証明書を構成するには、次の手順に従います。
1. コンピューターアカウントを使用して、サーバー認証証明書を個人用証明書ストアにインストールします。
2. 既定の自己署名証明書を使用する代わりに TLS をサポートするようにこのカスタム証明書を構成できるように、証明書の SHA1 ハッシュを含む次のレジストリ値を作成します。
  - レジストリパス: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
  - 値の名前: SSLCertificateSHA1Hash
  - 値の種類: REG_BINARY
  - 値データ: 証明書の拇印
  値は証明書の拇印で、空白を使用せずにコンマ (,) で区切る必要があります。たとえば、そのレジストリキーをエクスポートする場合、 SSLCertificateSHA1Hash の値は次のようになります。
  
  SSLCertificateSHA1Hash=hex:42,49,e1,6e,0a,a0,2e,63,c4,5c,93,fd,52,ad,09,27,82,1b,01
3. リモートデスクトップホストサービスは、ネットワークサービスアカウントで実行されます。そのため、RDS で使用されるキーファイルのシステムアクセス制御リスト (SACL) を設定して、NETWORK SERVICE を Read アクセス許可と共に含める必要があります。
  
  アクセス許可を変更するには、ローカルコンピューターの証明書スナップインで次の手順を実行します。
  1. [開始をクリックし、実行をクリックし、「mmc」と入力して、[OK] をクリック。
  2. [ファイル] メニューの [スナップインの追加と削除] をクリックします。
  3. [ スナップインの追加と削除 ] ダイアログボックスの [ 使用可能なスナップイン の一覧で Certificatesをクリックし、追加をクリックします。
  4. [ Certificates スナップイン] ダイアログボックスで、[ Computer アカウントをクリックし、[次へ ] をクリック。
  5. コンピューターの選択] ダイアログボックスで、[ ローカルコンピューター: (このコンソールが実行されているコンピューター) ] をクリックし、[ 完了] をクリック。
  6. [スナップインの追加と削除] ダイアログボックスで、 [OK]をクリックします。
  7. Certificates スナップインのコンソールツリーで、Certificates (ローカルコンピューター)を展開し、Personal を展開して、使用する SSL 証明書を選択します。
  8. 証明書を右クリックし、 [すべてのタスク] を選択して、 [秘密キーの管理] を選択します。
  9. [Permissions] ダイアログボックス で、[追加] をクリックし、「NETWORK SERVICE」と入力、OKをクリックし、[Allow] チェックボックスの下にある [Read] を選択し、[OK] をクリック。