アイドル状態のリモートデスクトップを指定時間後に自動切断するには、接続先側で「アクティブでアイドル状態のリモート デスクトップ サービス セッションの制限時間を設定する」を有効にします。通常はセッションを切断するだけで、ユーザーのアプリや未保存データは接続先に残ります。「制限時間に達したときにセッションを終了する」を同時に有効化するとサインアウトになり、未保存データを失う可能性があるため別要件として扱います。まず対象が単体PC、Windows ServerのRDSコレクション、クラウドPCのどれかを確認してください。
切断・サインアウト・画面ロックの違い
- 切断：RDPの通信だけを閉じ、セッションと実行中アプリは接続先に残す。再接続すると原則として同じ作業へ戻れる
- サインアウト：ユーザーセッションを終了し、アプリを閉じる。未保存データを失う可能性がある
- 画面ロック：セッションを残したまま再認証を要求する。アイドルRDPの通信切断とは別のセキュリティ設定
- アクティブ時間制限：入力の有無にかかわらず接続時間全体を制限する。アイドル時間制限とは別
- 切断済みセッション制限：通信切断後にセッションを保持する時間を決める。アイドル切断後の後処理として別途設計する
タイトルの要件は「アイドル後の自動切断」なので、最初は切断だけを設定します。サインアウトまで自動化したい場合は、保存されていない文書、長時間バッチ、アプリの終了処理、再接続要件を業務所有者と確認し、別の短時間テストを行います。
変更前に有効なポリシーとセッションを確認する
ローカル管理者またはRDS管理者として、現在のセッションと適用済みポリシーを読み取り専用で確認します。セッション名、ユーザー名、サーバー名は社内情報なので外部へ貼り付けません。
query session
gpresult /scope computer /r
gpresult /scope user /rquery session ではActive、Discなどの状態を確認します。gpresultでは、ドメインGPO、ローカルGPO、ユーザーGPOのどこから設定が来るかを調べます。同じアイドル制限はコンピューター構成とユーザー構成にあり、両方が設定されている場合はコンピューター構成が優先されます。管理端末ではローカル設定を変えても、次回のグループポリシー更新でドメイン側の値へ戻ることがあります。
Windows 11 Homeはリモートデスクトップの接続先としてのホスト機能やローカルグループポリシーエディターを標準提供しません。Pro、Enterprise、Education、Windows Serverなど、対象エディションとライセンスを確認します。非公式ツールでHomeへRDPホスト機能やgpedit.mscを追加しないでください。
単体PCでローカルグループポリシーを設定する
- 接続先PCでWindowsキーとRキーを押し、
gpedit.mscを開く - 「コンピューターの構成」→「管理用テンプレート」→「Windows コンポーネント」→「リモート デスクトップ サービス」へ進む
- 「リモート デスクトップ セッション ホスト」→「セッションの時間制限」を開く
- 「アクティブでアイドル状態のリモート デスクトップ サービス セッションの制限時間を設定する」を開く
- 「有効」を選び、業務とセキュリティ要件で承認した「アイドル セッションの制限」を選ぶ
- 「適用」「OK」を選び、設定名、値、対象PC、変更日時を記録する
Microsoftのポリシー仕様では、無効または未構成ならグループポリシーとして時間制限を指定せず、既定ではアクティブなアイドルセッションを無期限に許可します。有効時は、設定時間に達する2分前にユーザーへ警告が表示され、入力すればセッションを継続できます。コンソールセッションにはこのアイドル制限は適用されません。
「制限時間に達したときにセッションを終了する」は、切断をサインアウトへ変える設定です。未保存データを保護する初期導入では「未構成」のままにします。「切断されたセッションの制限時間を設定する」も、切断後のセッションを終了する別設定です。サーバー資源回収のために必要でも、アイドル切断と同時に短い値を配らず、保持時間を業務側と決めます。
ドメインGPOで対象を限定して配る
複数端末では、ドメインコントローラーへ直接ローカル設定を行わず、グループポリシー管理で専用GPOを作ります。本番OU全体へいきなりリンクせず、検証用PCと検証用ユーザーのセキュリティグループへ絞ります。GPOのコンピューター構成で同じパスを開き、承認したアイドル時間を設定します。
- 既存のRDP、セッション時間、VDI、セキュリティGPOとの優先順位を確認する
- ループバック処理を使う共有端末では、ユーザー設定の適用元も確認する
- 対象OU、セキュリティフィルター、WMIフィルター、除外グループを記録する
- 長時間無操作になる監視画面、RPA、管理コンソールを対象から除外する要否を確認する
- gpresultで検証端末に意図したGPOだけが適用されたことを確認してから段階展開する
RDSコレクションではコレクション設定を正にする
Windows Serverの正式なRDS展開では、Server Managerの「Remote Desktop Services」→「Collections」から対象コレクションのプロパティを開き、「Session」でアイドル、切断済み、アクティブの制限を管理できます。コレクション設定とGPOを混在させると、管理者が見た値と実効値が分かりにくくなります。現在の運用でどちらを構成元としているかを確認し、同じ項目を複数箇所で競合させません。
Windows 365、Azure Virtual Desktop、他社VDIにはサービス固有の管理画面とセッション仕様があります。ローカルgpedit.mscだけで制御できると推測せず、対象サービスの管理者と公式資料を確認します。特にWindows 365 Flexの既定やサインアウト動作を、通常のWindows PCへ一般化しません。
安全なテスト方法
- 検証アカウントでRDP接続し、保存済みのテスト文書だけを開く
- 短い検証値を一時的に検証OUだけへ設定し、キーボードとマウスを操作せず待つ
- 2分前警告、設定時間での切断、サインアウトされていないことを確認する
- 再接続して同じセッションとアプリが残っていることを確認する
- 入力中、音声再生中、長時間処理中の「アイドル」判定が業務想定と合うか確認する
- イベントログ、query session、gpresultの時刻を変更記録へ残す
動画再生、監視画面、サーバー側バッチが動いていても、ユーザー入力がなければアイドルと判定される可能性があります。切断ならサーバー側処理は通常継続しますが、GPU、オーディオ、USBリダイレクトなどは動作が変わり得ます。代表的なアプリで確認してください。
切断されない、またはサインアウトされる場合
- 時間を過ぎても切断されない：コンソール接続、ユーザー入力を発生させるアプリ、別GPO、適用対象、RDSコレクション値を確認する
- ローカル設定が戻る：ドメインGPOまたはMDMの実効値をgpresultと管理画面で確認する
- 切断ではなくサインアウトする：「制限時間に達したときにセッションを終了する」と切断済みセッション制限を確認する
- 全ユーザーへ効かない：コンピューター構成とユーザー構成、セキュリティフィルター、RDSコレクションを比較する
- 想定より早い：アイドル、アクティブ、切断済みの各制限を混同していないか確認する
- 業務処理が止まる：アプリのリモートセッション依存を確認し、対象除外または処理方式を再設計する
戻し方と運用上の注意
問題があれば、変更した同じポリシーを「未構成」へ戻し、適用元GPOのリンクやフィルターも変更前記録へ戻します。レジストリのMaxIdleTimeを直接削除して回避すると、GPOとの実効値が分からなくなるため行いません。既存セッションを一括ログオフせず、gpresultと新しいテストセッションで復元を確認します。
アイドル切断は、無人の画面を閉じ、不要な通信を減らす対策ですが、認証、画面ロック、最小権限、MFAの代わりではありません。利用者へ警告表示と再接続手順を案内し、ヘルプデスクが「切断」と「サインアウト」を識別できるようにします。設定値は推測で一律化せず、端末種別、業務時間、長時間処理、ライセンスとセキュリティ要件から決定します。
コメント