RDPで「リモートでサインインする権限が必要です」と出る場合｜ユーザー・ポリシー確認

RDPで「リモートでサインインするには、リモート デスクトップ サービス経由でサインインする権限が必要です」と出た場合は、接続先でユーザーのグループ所属と実効ログオン権限を確認します。以下の2つの画面は、いずれも接続先PCに許可する利用者を指定する方法です。「ユーザー単位」と「端末単位」の独立した許可方式ではありません。変更は接続先を管理する権限と承認のある管理者が行ってください。図は旧Windowsの画面で、現在の表示は異なる場合があります。

リモートでサインインするには、リモート デスクトップ サービス経由でサインインする権限が必要です。既定では、Remote Desktop Users グループのメンバーがこの権限を持っています。 所属しているグループに権限がない場合や、Remote Desktop Users グループから権限が削除されている場合は、権限を追加する必要があります。

方法1：接続先のグループ所属を確認する

UsersのメンバーであるだけではRDP接続の権限を満たしません。接続先のエディションがRDPホストに対応し、リモートデスクトップが有効であることも前提です。Windows Homeは標準機能ではRDPの接続先になれません。 必要な利用者だけを接続先のRemote Desktop Usersグループへ追加します。管理者への昇格ではなく、RDP利用のためのグループ所属です。所属だけで接続を保証するものではなく、後述の許可・拒否ポリシーも確認します。 コンピューターの管理　＞　ローカルユーザーとグループ　と移動して リモートデスクトップを許可したいユーザーのプロパティを開いてください。 「所属するグループ」タブを選択して、追加をクリック Remote Desktop Usersを入力する。 以下の状態になっていることを確認して、「適用」を押下 以下のAdministrators追加画面は旧記事の参考図です。RDP接続だけを目的に管理者権限を付けることは推奨しません。Remote Desktop Usersに加えて、元から持つファイルやアプリの権限も引き続き適用されるため、「RDP以外は何もできない」制限にもなりません。

方法2：設定画面で接続先の許可ユーザーを選ぶ

設定画面からも、接続先へのアクセスを許可する利用者を指定できます。方法1と重ねて別の権限を付ける必要はありません。 リモートデスクトップ許可させたいパソコンまたはサーバーのWindowsの設定から「システム」を押下します。 「リモートデスクトップ」を選択して、「このPCにリモートでアクセスできるユーザーの選択」をクリックします。 「追加」を押下します。 この接続先への利用を承認されたユーザーだけを指定します。Everyoneのような広いグループを追加して解決しないでください。ローカルユーザーとドメインユーザーの同名アカウントを取り違えないよう、場所と名前を確認します。以下のuser10は例なので、実際の対象へ置き換えます。 追加すると以下のようになります。

追加後も接続できないとき：許可と拒否の実効設定

接続先で「ローカル セキュリティ ポリシー」→「ローカル ポリシー」→「ユーザー権利の割り当て」を確認します。「リモート デスクトップ サービスを使ったログオンを許可」と「リモート デスクトップ サービスを使ったログオンを拒否」の両方を、本人だけでなく所属グループも含めて確認してください。拒否が適用されている場合、許可グループへの追加だけでは解消しません。

ドメインのGPOが適用されるPCではローカル画面だけで判断せず、管理者がgpresultなどで実効ポリシーと適用元を確認します。組織の拒否ルールを勝手に解除せず、正しい対象範囲で修正する必要があります。接続先がドメインコントローラーの場合も、一般PCと同じローカルユーザー管理手順を当てはめないでください。

変更後は許可されたアカウントで接続を再確認します。エラー全文やセキュリティイベントを確認し、NLAやファイアウォールの全面停止で回避しないでください。インターネットへRDPポートを直接公開する手順でもありません。

出典：Microsoft：ログオンの種類が制限されるRDPエラーの診断。