Windows Admin Center (WAC) は、ブラウザベースでサーバーの管理やモニタリングを行える便利なツールです。しかし、WinRMの構成をグループポリシー（GPO）で厳密に制御したい場合、特定のIPアドレスを指定するとクライアントとの接続がうまくいかず、ワイルドカード（*）を指定すると正常に動作するという課題が発生することがあります。この記事では、WACサーバーのIPアドレスをGPOで指定する際の注意点と具体的な設定例を、より分かりやすい形でご紹介します。ぜひ最後までお読みいただき、安定したWinRM環境を構築する参考にしてください。
Windows Admin CenterとWinRMの基本的な関係
Windows Admin Centerは、Windows Serverをブラウザから集中管理するための管理ツールとして、Microsoftによって提供されています。このWACでは、内部でWinRM（Windows Remote Management）を利用して各サーバーへリモート接続を行い、サービスの状態確認やPowerShell実行などを一元的に行います。
WinRMとは何か
WinRMは、Windows環境におけるリモート管理のためのプロトコル実装であり、Windows ServerやWindowsクライアント間で遠隔操作を可能にする仕組みです。PowerShell RemotingもこのWinRMをベースに動作しています。
WinRMを安全に運用するためには、認証メカニズムやトラステッドホスト（TrustedHosts）の設定など、複数の項目を正しく構成する必要があります。特に企業ネットワークなどのドメイン環境では、グループポリシー（GPO）を使って集中管理されるケースが多いです。
WACサーバーのIPアドレス指定の意図
社内のセキュリティポリシーによっては、WinRMのリモートアクセスを「許可したい送信元を特定のアドレスだけに限定する」という形で制御したい場合があります。たとえば、WACサーバーのIPアドレスのみを信頼し、その他の端末からのアクセスは拒否する、といった構成です。
これを実現するために、GPOで「Allow Remote Server Management via WinRM（リモートサーバー管理をWinRMで許可）」などを設定し、IPv4フィルターの項目にWACサーバーのIPアドレスを指定することを想定します。しかし、実際にIPアドレスを直接指定すると、うまく接続が確立されず、ワイルドカード（*）を用いると正常動作するケースが報告されています。
GPOにおけるWinRM設定の基本
GPOでWinRMを設定する際は、主に次の2つの管理用テンプレートを利用します。
- WinRM Service（WinRMサービス）
- 「コンピューターの構成 → ポリシー → 管理用テンプレート → Windowsコンポーネント → Windowsリモート管理 (WinRM) → WinRMサービス」
- WinRM Client（WinRMクライアント）
- 「コンピューターの構成 → ポリシー → 管理用テンプレート → Windowsコンポーネント → Windowsリモート管理 (WinRM) → WinRMクライアント」
ここでは、具体的に設定する際の注意点を解説します。
WinRMサービス側の主な設定項目
Allow Remote Server Management via WinRM
「Allow Remote Server Management via WinRM」オプションを有効化することで、リモートからの接続を許可する範囲を設定できます。
IPv4/IPv6フィルターの項目に「*」を設定すると、すべてのリモート接続を許可する状態になります。一方で、これを特定のIPアドレスに限定したい場合は「192.168.1.100」などの形式で入力することを想定します。
しかし、ここでWACサーバーのIPアドレスを入力しても、クライアント側との通信が成立しない場合があります。
HTTP/HTTPSのポート設定
デフォルトでは、WinRMはHTTPで5985番ポート、HTTPSで5986番ポートを使用します。GPOでこれらを変更している場合は、WACサーバーがアクセス先のポートを認識できるよう、設定をそろえる必要があります。
WinRMクライアント側の主な設定項目
TrustedHosts（信頼済みホスト）
クライアントがアクセスする際、WinRMクライアントが「このホストは信頼していい」というリストを持っています。これがTrustedHostsです。ドメイン環境ではKerberos認証が使われるため、通常は同一ドメイン内ならTrustedHosts設定は不要ですが、IPアドレスでの接続やワークグループ環境などでは明示的にTrustedHostsに追加する必要が生じる場合があります。
- 特定のIPアドレス（例：
192.168.1.100）を追加する - ホスト名（例：
WACServer01）やFQDN（例：wacserver01.contoso.local）を追加する - すべてを許可するなら「*」を入力する
環境によっては、IPアドレス指定よりもFQDN指定の方が動作が安定するケースもあります。これはDNSの名前解決やSPN（Service Principal Name）の設定が影響するためです。特にドメインコントローラーやDNS設定の整合性がとれていない場合、IPアドレスでは接続に失敗する例が見受けられます。
WACサーバーのIPを指定してWinRM接続がうまくいかない理由
ここでは、実際に特定のIPアドレスを入力すると、なぜ問題が生じるのかについて考察してみます。
1. ネームリゾルブとSPNの不一致
ドメイン環境では、Kerberos認証を使う際にSPN（Service Principal Name）が正しく解決できるかどうかが重要です。単純にIPアドレスを指定してしまうと、Kerberos認証がうまく動作せず、NTLM認証かそれ以上に制限の厳しい状態になる可能性があります。
DNSサフィックスの設定や逆引きDNSが存在しないと、サーバー名の解決に失敗し、結果として接続が成立しないケースがあります。
2. ファイアウォールやネットワークデバイスによるフィルタリング
クライアントとサーバー間での通信が、ネットワーク機器（ルーター、L3スイッチ、ファイアウォール等）でブロックされている場合も考えられます。
- WinRMは既定でTCP 5985/5986ポートを使用
- GPOでポートを変更している場合は、それを考慮
- サーバー側・クライアント側双方でファイアウォールの受信/送信許可が必要
3. クライアントのTrustedHosts設定不足
IPアドレスで接続する際、クライアントのTrustedHostsに該当のアドレスを登録していないと「WinRM cannot process the request…」のようなエラーが出る場合があります。ワイルドカード（*）を使うと通ってしまうので、セキュリティ的には極力避けたいところです。
具体的な対処法と設定例
この問題を解決するには、単にIPアドレスを入力するだけでなく、下記の点を踏まえたうえで設定を行うとスムーズです。
1. クライアント側のTrustedHostsにFQDNを指定する
特定のIPアドレスではなく、WACサーバーのFQDN（例：wacserver01.contoso.local）をTrustedHostsに追加してみると、動作が安定するケースが多いです。
設定例（PowerShell）
# 既存のTrustedHosts値を取得
$oldValue = (Get-Item -Path WSMan:\localhost\Client\TrustedHosts).Value
# 新しいホスト名を追加
$newValue = "$oldValue,wacserver01.contoso.local"
# TrustedHostsを更新
Set-Item -Path WSMan:\localhost\Client\TrustedHosts -Value $newValue上記はローカルでの設定例ですが、企業内であればグループポリシーにより展開したほうが管理が容易です。
2. ドメイン環境であればKerberos認証を優先する
ドメイン内であれば、IPアドレス指定ではなく、ドメイン名もしくはFQDNを利用することでKerberos認証を使いやすくなります。
GPOで「コンピューターの構成 → ポリシー → 管理用テンプレート → Windowsコンポーネント → Windowsリモート管理 (WinRM) → WinRMクライアント → Trusted Hosts」にwacserver01.contoso.localなどを記述すると、ドメイン環境での整合性が取りやすくなります。
3. ファイアウォールの設定を精査する
単純にIPアドレスを入力しても接続がうまくいかない背景には、ネットワーク機器でのポート制限が影響している可能性があります。
WACサーバー側で下記のようなPowerShellコマンドを実行して、ポートの待ち受け状況を確認することが大切です。
# Windows Admin Centerのポート確認（デフォルトポート例：6516）
netstat -ano | findstr LISTEN | findstr 6516
# WinRM（5985, 5986）ポートの待ち受け状況確認
netstat -ano | findstr LISTEN | findstr 5985
netstat -ano | findstr LISTEN | findstr 5986また、Windows Defender Firewallなどで次のようにポート開放ルールが適切に設定されているかを確認します。
| 項目 | 設定例 |
|---|---|
| プロファイル | ドメイン/プライベートなど |
| プロトコル | TCP |
| ローカルポート | 5985、5986、6516など |
| リモートポート | 任意または空欄 |
| アクション | 許可 |
| リモートアドレス（送信元） | WACサーバーのIP、または全て |
企業のネットワーク境界でセキュリティ機器を運用している場合は、これらのポートがブロックされていないか併せて確認が必要です。
4. WACサーバーの設定ファイルやインストール手順の確認
WACは通常、Windows ServerにMSIパッケージとしてインストールします。インストール時に、使用ポートを変更した場合などはGPOの設定と食い違いがないか見直してみてください。
インストール後にWACのコンソールで「接続先サーバーにアクセスできない」などのエラーが出る場合は、WACサーバー自身のWinRMサービスが適切に構成されていない可能性があります。
5. ターゲットデバイス（管理対象サーバー）のWinRMサービス稼働確認
WACで管理したいサーバー側にもWinRMサービスがインストールされ、かつ有効化されている必要があります。
以下のようにコマンドプロンプトまたはPowerShellで確認・設定可能です。
# WinRMが動作中か確認
Get-Service winrm
# 有効になっていない場合は有効化
winrm quickconfig管理対象サーバーごとに状況が異なるため、包括的なGPOでWinRM設定を配布するほうが手間が省けますが、ポリシー適用結果の検証を怠ると問題点の切り分けが難しくなります。
実践的な構成のヒント
ドメイン環境でのFQDN活用
特定のWACサーバーからのアクセスを許可したい場合でも、まずはドメイン名を含めたFQDNを使うことを強くおすすめします。理由として、DNSの名前解決とKerberos認証の整合性を取りやすく、運用トラブルを回避しやすいからです。
IPアドレスしか使えないネットワークセグメントであれば、逆引きDNSを設定するなど、環境に応じた追加設定が必要になります。
回避策としてのワイルドカード設定
ワイルドカード（*）を指定すれば確かに「どの送信元からもWinRM接続を許可する」ことができるため、接続テストは簡単に通ります。しかし、その分セキュリティリスクは増大するため、検証用の一時的手段として利用し、本番環境では推奨されません。
検証手順の確立
GPOを更新したら、クライアント側のコマンドプロンプトやPowerShellでgpupdate /forceを実行し、ポリシーが正しく反映されているか確認します。さらに、Test-WSMan <ターゲットホスト名> などで接続テストを行い、エラーの有無をチェックすることが大切です。
トラブルシューティング手順
最後に、もしWinRMでの接続がうまくいかない場合に試してほしい手順をまとめます。
- WACサーバーのサービス稼働確認
- Windows Admin Centerゲートウェイサービス（
ServerManagementGateway/Windows Admin Center Gateway Service）が起動中か確認。 winrm quickconfigでWinRM全般が正しく設定されているか。
- GPOポリシー適用結果の確認
- ターゲットサーバー側で
gpresult /rコマンドを実行し、WinRM関連のポリシーが適用されているか確認。 - ポリシーが衝突していないかをグループポリシー管理コンソールで再確認。
- ファイアウォール設定の再確認
Get-NetFirewallRuleコマンドやGUIから、WinRM関連の受信ルールが有効になっているかをチェック。- 必要に応じて、一時的にWindows Defender Firewallを無効化してテストし、問題の切り分けを行う。
- クライアントからの疎通テスト
pingやTest-WSManなどの基本コマンドでネットワーク的に到達できるか確認。- FQDNを利用した際とIPアドレスを利用した際の差異を比較。
- ログの確認
- サーバー側のイベントビューアー（
Applications and Services Logs → Microsoft → Windows → Windows Remote Managementなど）でエラーが出ていないか。 - WAC自体のログも確認し、認証エラーや接続拒否エラーが出ていないかを確認。
まとめ
Windows Admin CenterのIPアドレスをGPOで直接指定し、クライアントからのWinRM接続を許可したい場合には、名前解決、TrustedHosts、ファイアウォールの設定など、複数の要素が正しく構成されている必要があります。ワイルドカード（*）を使えば接続は簡単に許可できますが、セキュリティリスクが増えるため、本番運用ではできる限りホスト名やFQDNを使った設定を行うことをおすすめします。
特にドメイン環境であれば、Kerberos認証との整合性を保つうえで、FQDNの利用は非常に有効です。GPOでの設定は一度正しく構成すれば、大規模な環境でも安定的に管理できます。この記事でご紹介した手順や注意点を押さえたうえで、ぜひ安全で効率的なリモート管理環境を実現していただければ幸いです。
コメント