リモートデスクトップをWebブラウザから利用できるRDWebは、Windows環境下でのテレワークやリモート管理を円滑にするために多くの企業や組織で活用されています。しかしながら、ユーザーやアプリケーションのアクセス権を直接エクスポートできない点でお困りの方も多いでしょう。
RDWeb環境とユーザーアクセスの基本
RDWeb(Remote Desktop Web Access)は、通常「リモートデスクトップサービス(RDS)」の一部としてWindows Server上に構成される機能です。専用のRDWebポータルにアクセスすることで、ユーザーはリモートアプリやデスクトップ環境に接続できます。この際、サーバー側ではActive Directory(AD)のアカウント情報やグループポリシーを活用しながら、どのユーザーがどのリモートアプリを利用できるかが管理されています。
ユーザーアクセスの制御は主に、RDSホスト上で設定される「セッションコレクション」や「リモートアプリの公開設定」によって行われます。ユーザーごとに細かくアクセス権限を振り分けている場合、RDWebの画面には該当ユーザーが利用可能なリモートアプリのみが表示される仕組みです。しかし、現状のRDWebポータルでは、このユーザーアクセスリストや関連する権限情報をワンクリックでエクスポートできるような仕組みは提供されていません。結果として、システム管理者が「現在どのユーザーがどのアプリケーションにアクセスしているか」などを一括で取得したい場合、別の方法を模索する必要があります。
ユーザーやアプリケーションの把握が重要な理由
運用管理者の視点からすると、RDWebを通じてどのユーザーがどのアプリを利用しているかを把握することはセキュリティ面やリソース管理面で大変重要です。セキュリティ上の観点では、不要なユーザーアカウントや権限を早期に把握することでリスクを減らせます。また、利用状況が分かると、ライセンスの過剰・不足やサーバーリソースの最適化にも繋がります。例えば、あるアプリケーションが特定ユーザーのみに必要であるなら、そのライセンスやサーバー資源を適切に再分配できる可能性が出てきます。
RDWebからの直接エクスポートが難しい理由
RDWebポータルはあくまで「ユーザーがリモートアプリやデスクトップに接続するためのインターフェース」の役割が強く、詳細な管理者向け機能はRDS全体の管理コンソールに委ねられている側面があります。RDWebの構成はInternet Information Services(IIS)上のWebアプリケーションとして動作しており、そこに表示されるアプリケーションリストは「公開されているリモートアプリ情報」や「ユーザーごとのアクセス権限」を元に動的に生成されます。
しかし、このUI（ユーザーインターフェース）自体に対して、一覧をCSVやExcel形式でダウンロードするボタンなどは標準実装されていないのが現状です。そのため「クリック一つで出力」といった機能は提供されていません。これは管理者コンソール側においても同様で、RDS管理コンソールではコレクションや公開アプリの設定をGUIで確認することはできますが、一覧形式で権限情報までまとめて落とす機能はデフォルトでは提供されていません。
GUIに依存しない情報収集のメリット
GUIでのクリック操作や画面キャプチャは直感的ですが、将来的に監査レポートを生成したい、他のシステムと連携させたい、といったニーズがある場合にはスクリプトやコマンドラインによるエクスポートがより効率的です。RDWebの設定はPowerShellコマンドを通じて制御・確認できる部分が多く、特にRDSに関連するモジュール（RemoteDesktopモジュール）を使えばリモートアプリやセッションコレクションの情報取得が可能です。このように、RDWebで直接出力できなくとも、RDSのバックエンドにある情報を別の手段で収集することは可能です。
代替策としてのUsageレポートとアカウンティング機能
最もオーソドックスなアプローチとしては、サーバー側で「アカウンティング（Accounting）機能」を有効化し、Usageレポートを生成する方法が挙げられます。リモートアクセスサーバー(またはRDゲートウェイ)でこの機能を有効にすると、ユーザーのログイン・ログオフ履歴や接続時間、さらには失敗した接続試行などを含む詳細なデータが蓄積されます。
管理コンソールやPowerShellからUsageレポートを生成することで、ユーザーのアクセス状況やサーバーリソースの利用量を一括管理できます。このレポートはユーザー単位や接続元IPアドレス単位などでフィルタリングできる場合もあり、組織のセキュリティ監査やリソース最適化には有力な手段です。ただし、これらのUsageレポートは主に利用実績を中心とした統計を提供するものなので、「現在どのユーザーがどのアプリにアクセスする権限を持っているか」という静的な権限リストとはやや趣旨が異なります。
Usageレポートの主な内容
Usageレポートに含まれる情報としては、以下のようなものが代表的です。環境やバージョン、構成によって若干違いはありますが、一般的には次のデータが確認できます。
| 項目 | 内容 |
|---|---|
| ユーザー名 | アクセスを行ったユーザーのADアカウント名 |
| 接続元IPアドレス | 接続を開始したクライアントのIP情報 |
| 接続開始時刻 | セッションが開始された日時 |
| 接続終了時刻 | セッションが切断またはログオフされた日時 |
| セッション継続時間 | ユーザーが接続を継続していた時間 |
| セッション状態 | 切断、再接続、タイムアウトなどのステータス |
| 失敗したログイン試行 | 認証に失敗した場合、その回数やエラーコードなど |
このように、エクスポート機能自体は「アクセス状況の監査」が中心です。実際のリモートアプリとユーザーのマッピング情報とは少し異なる切り口ですが、トラブルシューティングやライセンス管理には非常に有用です。
Usageレポートの出力先と利用方法
Usageレポートは通常「Remote Access Management Console」やPowerShellを通してCSVまたはXML形式で出力できます。管理者はこれらのファイルをExcelやBIツールで加工し、必要な統計情報を抽出したりグラフ化したりできます。例えば、部署ごとに利用時間を集計して負荷のピークを特定することや、一定期間内に全く利用されていないユーザーアカウントを洗い出すことも容易になります。
PowerShellを用いた権限情報の収集
「Usageレポート」が主に利用実績をベースにしている一方、今現在設定されているアプリケーション公開情報やアクセス権限を知りたい場合は、PowerShellコマンドによるアプローチが効果的です。RDSに関連するPowerShellモジュールを活用すると、リモートアプリの一覧やセッションコレクションの情報、どのグループやユーザーがアクセス権を持っているかといった情報を取得できます。
例えば、以下のようなPowerShellコマンドで公開されているリモートアプリの一覧を取得できます(Windows Serverのバージョンや構成によってコマンドは異なります)。
# RDS PowerShellモジュールをインポート
Import-Module RemoteDesktop
# RDWebで公開しているリモートアプリの一覧を取得
Get-RDRemoteApp -CollectionName "RemoteAppCollection"この出力結果には、リモートアプリの別名、表示名、対応する実行ファイルパスなどが含まれますが、ユーザー権限についてはさらに別のコマンドやスクリプトで照合する必要があります。
Active Directoryとの連携と権限リストの作成
RDWebのアクセス権限は、実際にはActive Directoryのセキュリティグループやユーザーオブジェクトに基づいて付与されているケースがほとんどです。したがって「どのユーザーがどのアプリにアクセスできるか」を確認するには、以下のようなステップを踏むことが考えられます。
- 公開されているリモートアプリのリストを取得
PowerShellのGet-RDRemoteAppコマンドなどで、公開アプリの基本情報を一覧化する。 - 各リモートアプリのセキュリティグループやユーザーを参照
リモートアプリを公開する際に、特定のセキュリティグループやユーザーを許可リストに登録している場合が多い。そのため、アプリごとの「AllowedGroups」や「RequiredGroups」などのプロパティを調べる。 - Active Directoryのグループメンバーシップを解析
AD上のセキュリティグループにどのユーザーが所属しているかをGet-ADGroupMemberやその他のAD関連PowerShellコマンドで取得し、CSVやExcelにまとめる。 - アプリとユーザーを突合
スクリプトレベルで、公開アプリに紐づくグループメンバーを追跡し、実際にアクセス可能なユーザー一覧を生成する。
この方法であれば、現在設定されている「静的なアクセス権限」を網羅的に把握できるため、将来的な監査や定期的な権限見直しの際にも役立ちます。一方で、この作業はスクリプトやコマンドを複数組み合わせる必要があるため、管理者のPowerShellスキルが求められます。
イベントログからのアクセス履歴の取得
Usageレポートを利用しないケースや、より詳細なアクセス情報が欲しい場合、Windowsのイベントログを直接参照する方法もあります。RDSやRDWebに関連したログは以下のようなイベントログに記録されることが多いです。
- Applications and Services Logs
Microsoft-Windows-RemoteDesktopServices-RemoteApp and Desktop Connections - Security
ログオンイベント(成功/失敗)などのセキュリティ関連の監査ログ - System
システムレベルのエラーや警告、サービスの起動/停止情報など
特定のキーワードやソース（例：TermService）を指定して検索することで、ユーザーごとの接続情報やエラーイベントを抽出できます。例えば、PowerShellで以下のようにコマンドを実行すると、直近1日分のTermService関連ログを取得できます。
Get-EventLog -LogName "Application" -After (Get-Date).AddDays(-1) |
Where-Object { $_.Source -like "*TermService*" }こうしたイベントログを活用すると、特定の日時に誰がどのサーバーにアクセスしようとして失敗したか、あるいは正常に接続できたかを追跡できます。ただしイベントログは膨大な量になることも多く、長期的な保存や統合的な分析には専用のログ管理ソリューションやSIEM(Security Information and Event Management)の利用が望まれます。
サードパーティツールやスクリプトの活用
RDWebやRDSの情報をさらに可視化したい場合、サードパーティツールを検討するのも有効な方法です。特にRDS環境向けに設計された監査ツールやレポーティングツールが存在し、これらを導入するとGUIでの分かりやすい統計やダッシュボード、定期的なレポート配信機能を簡単に利用できます。また、PowerShellや各種APIを活用して自社のシステム管理ポータルと連動させるケースも考えられます。
ツール導入の際は、RDSのバージョン適合性やライセンス条件をよく確認してください。特にクラウド環境（Azure Virtual Desktopなど）を混在させている場合には、オンプレとクラウドを一元管理できるツールかどうかも検討材料となります。
スクリプトの共有と自動化
特定のレポートを定期的に出力したい場合、スクリプトをScheduled Task（タスク スケジューラ）に登録しておくことで、自動的にCSVやExcelファイルを生成してメールで送信するといった運用が可能になります。例えば、以下のような流れが一般的です。
- PowerShellスクリプト作成
- RDSからリモートアプリやセッションの情報を取得
- ADと突合してユーザーリストを作成
- ログやUsageレポートをCSVに書き出し
- タスクスケジューラで定期実行
- 毎日または毎週など、指定の間隔でスクリプトを実行
- エラー時の通知やログ出力を行う
- レポートの蓄積と分析
- SharePointやファイルサーバー上にCSVを保存し、チームで参照
- BIツールやExcelマクロを用いてグラフ化・レポート作成
このように運用管理を自動化することで、RDWebやRDS環境の状況把握が格段に容易になります。
セキュリティとコンプライアンスの観点
アクセス権限やUsageレポートを扱う際には、個人情報や機密情報が含まれるケースがあるため、情報の取扱いには十分な注意が必要です。特にユーザーのログイン履歴は個人情報保護規制や社内のセキュリティポリシーに該当する場合があります。レポートの保管場所を限定したり、アクセス権を厳格に制限したりすることが求められます。
また、コンプライアンス上も「どのユーザーがいつ、どのアプリケーションにアクセスしたのか」を明確に記録・管理できる体制が重要です。万が一のインシデントや情報漏洩が発生した際、迅速に責任分界点を明らかにし、対策を講じられるようにログの完全性と保全を意識しておく必要があります。
ログの保持期間とバックアップ
ログの保持期間はシステム管理者が任意で決定できる場合もあれば、法的・コンプライアンス要件で義務付けられる場合もあります。例えば、金融機関や医療機関では一定期間（数年単位）にわたり接続ログや操作ログを保存する必要があるケースもあります。また、サーバー移行やシステム更改のタイミングでログを失わないよう、定期的なバックアップを確実に実行してください。
まとめと今後の展望
RDWeb上で直接ユーザーリストやアクセス権限をエクスポートする機能は用意されていないため、システム管理者としては「Usageレポート」や「PowerShellを用いた情報取得」、「イベントログの解析」、さらには「サードパーティツール」の導入といった代替策を活用する必要があります。目的が「実際の利用状況の把握」なのか「現在のアクセス権限の棚卸し」なのかを明確にし、それに合った手法を選択することが大切です。
今後、MicrosoftがRDWebの機能拡張やより使いやすいレポート機能を提供する可能性もゼロではありませんが、現時点では最新のWindows Serverのバージョンにおいても標準機能としての一括エクスポートは実装されていません。そのため、運用でカバーするという視点が重要です。PowerShellを使ったカスタマイズやレポーティングは学習コストこそ必要ですが、一度スクリプト化しておけば将来の運用負荷を大幅に下げることができます。
さらに、RDS環境自体をAzure Virtual Desktopなどのクラウドサービスに移行することで、より統合的な監査機能や可視化ツールが利用できるようになる場合もあります。組織の要件やコスト、セキュリティポリシーを踏まえた上で、最適な選択を行うのがよいでしょう。
運用最適化へのステップ
- 目的の明確化
- 「利用状況のモニタリング」「アクセス権限の監査」など、最終的に何を可視化したいかを明確にする。
- 必要なデータソースの選定
- Usageレポート、イベントログ、RDS/PowerShellコマンド、ADのグループメンバー情報など。
- スクリプトまたはツールの選択
- PowerShellで自作するか、サードパーティツールを導入するかなど、組織に合った方法を検討。
- 運用ルールとセキュリティ対策
- ログの保持期間、アクセス権の設定、バックアップ手順などを明文化し、定期的に見直す。
- レポートの定期実行と分析
- タスクスケジューラなどで自動化し、結果をチームで共有・改善に役立てる。
以上のプロセスを回すことで、RDWeb環境におけるユーザーアクセスやアプリケーション権限のエクスポート・可視化を効率的に行えるようになるでしょう。
参考リンク
- Set up the Remote Desktop web client for your users | Microsoft Learn
- Generate a Usage Report for Remote Customers Using Historical Data | Microsoft Learn
これらの資料も活用しながら、実際のRDS環境に合った監査・レポート手法を構築してみてください。
コメント