はじめに

リモートデスクトップ用に証明書をちゃんと配ろうとすると、中々やっかいです。
世の中に、さまざまな情報があって、どれを実施すれば良いのか見定めるのが難しかったりします。

この機会に、なるべく、シンプルにわかりやすく纏めておこうと思いました。

以下の記事に、比較的新しめでまとまった記事がありましたので、今回はこれを踏襲して構成した手順を紹介したいと思います。

Remote Desktop Services enrolling for TLS certificate from an Enterprise CA

公開情報：Using certificates in Remote Desktop Services

この記事の手順で実現できること

リモートデスクトップ接続を行う際に表示される証明書の確認画面が表示されないようにする（Before -> After)
ドメイン全体で機能するようにする
リモートデスクトップの上部のバーに、鍵マークが表示される

この記事のポイント

リモートデスクトップ接続の証明書確認の画面を抑止する決定版を目指す
RDS の役割ではなく、単なるクライアントのリモートデスクトップでテストが出来る
証明書とリモートデスクトップサービスのみに着目して、トラシューしやすくする
Before / After を判りやすくする

リモートデスクトップ接続の証明書の話は、RDS の役割サービスと一緒に出てくることが多く、全体を見てしまうと判りづらくなってしまうので、これを切り離して考えられるようにしています。

前提事項

Active Directory ドメイン (AD DS) が構成されていること
これから構築する場合は、以下の記事を参考にしてください。

上記のドメイン内に エンタープライズ CA が展開されていること
これから構築する場合は、以下の記事を参考にしてください。

ドメイン内の任意のホストで、リモートデスクトップ接続が可能になっていること
クライアント OS でも、メンバーサーバーでも、構いません。
このホストを、あとで接続のテストに使います。
※前章の Before の状態で RDP 接続ができるようになっていれば OK です。

（参考）RDP 有効化手順を見るには、ココを押してください

RDP 接続先ホストのローカル Remote Desktop Users グループに、RDP 接続をさせたいユーザー・グループを追加します。ここで、追加したアカウントのみが RDP する事ができます。
※認証した全ユーザーを対象にするには Authenticated Users を追加します。

リモートデスクトップ をオンにして、リモートデスクトップユーザー を選択します。

　
以下の画面で追加を押します。

　
選択するオブジェクト名を入力してください の欄に、Authenticated Users または 許可したいグループやユーザー名 を入力して名前の確認 を押します。赤下線のような表示になったら、OK を押します。
※Authenticated Users が確認出来ない場合は、場所をドメインではなくローカルに変更します。

　
一覧に追加したユーザーが表示されている事を確認して OK を押します。

ポイント
上記まで構成したら、パスワードを使って RDP 接続が成功するまでを動作確認しておきましょう。ここでダメなら、RDP の問題です。

※RDP 自体の問題なのか、証明書の問題なのか切り分けできるようにしておきます。

注意事項
PoC であれば、AD DS と同一のサーバー上に AD CS を展開する事も可能です。
運用環境の場合は、今後の AD DS のマイグレーションなども考慮して、AD DS と AD CS は、別々のサーバー上に展開することが推奨されています。

構築手順

手順は、２ステップで完了します。

証明書テンプレートの構成（AD CS サーバーで作業）
→　リモートデスクトップのための証明書テンプレートを定義します。
グループポリシーの構成（AD DS サーバーで作業）
→　GPO を使って、定義したテンプレートを元にして、ドメイン内のホストに展開します。

1. 証明書テンプレートの構成

（AD CS サーバー上で作業）

CertTmpl.msc (証明書テンプレート MMC) を検索して起動します。

　
コンピューター という名前のテンプレートを見つけて右クリックし テンプレートの複製 を選択します。

　
互換性 タブで、"証明機関" と "証明書の受信者" 欄のドロップダウンリストを選択していきます。これは、これから作成するテンプレートの元となるバージョンを選択しています。

　
証明機関 の欄で Windows Server 2012 R2 を選ぶと、以下のウィンドウが開くため、OK します（2012R2 を選択したおかげで、新しい機能が利用できるテンプレートとなりました）

　
証明書の受信者 の欄で Windows 8.1/Windows Server 2012 R2 を選ぶと、以下のウィンドウが開くため、OK します（8.1/2012 R2 を選択したおかげで、新しい機能が利用できるテンプレートとなりました）

　
以下の状態になれば OK です。

　
続いて全般タブで、テンプレートに名前と有効期間を指定する必要があります。

テンプレートの表示名フィールドにわかりやすい名前を入力します（日本語も可）
テンプレート名は、テンプレートを識別するための文字列を入力します（英数字空白なし）
有効期間を変更したい場合は、変更することも可能です。
[Active Directory で証明書を公開する]ボックスは チェックしない でください。

ポイント
同様のノウハウが示された記事では、"Active Directory の証明書を発行する" にチェックを入れているケースもありますが、本記事ではチェックは入れずに GPO を使って配布させています。

5．続いて 拡張機能 タブで、アプリケーションポリシー を変更します。
ここでは、複製元にした "コンピューター" というテンプレートの設定を修正し、"リモートデスクトップ" 用に構成しなおしています。

5-a. アプリケーションポリシー を選択し、編集ボタンをクリックします。

5-b. クライアント認証とサーバー認証を選択して、削除ボタンをクリックします。

5-c. リモートデスクトップ認証のアプリケーションポリシーを追加するために追加ボタンをクリックします。

5-d. リモートデスクトップ認証アプリケーションポリシーは、一覧にありません。
新規に作成するために新規ボタンを押してください。

5-e. 名前に リモートデスクトップ認証 と入力し、オブジェクト識別子 (OID) の値に1.3.6.1.4.1.311.54.1.2 と入力して、OK ボタンをクリックします。

※この識別子(OID) が、リモートデスクトップ用の証明書であることを示しています。

5-f. アプリケーションポリシーの一覧に リモートデスクトップ認証 が加わったので、それを選択して OK ボタンを押します。

5-g. アプリケーションポリシーに リモートデスクトップ認証 が設定されたことを確認し、OK ボタンを押します。

5-h. 以下のようにアプリケーションポリシーの説明欄に、リモートデスクトップ認証 が表示されていれば OK です。

6．権限を適切に設定します。これを行うために セキュリティ タブをクリックします。

6-a. 証明書を登録するコンピューターまたはコンピューターグループを追加していきます。
権限は、登録のみを選択します。

下図は、Domain Computers に対して、登録を許可しています。

なお、Domain Computers の指定で、ドメインに参加したホストが対象となりますが、ドメインコントローラーは含まれていません。ドメイン内の全ホストが含まれるようにするために、Domain Controllers と Enterprise Domain Controllers を追加して、それぞれ登録のみ許可します。

最終的に、以下のような状態になったら、OK ボタンをクリックしてテンプレートの構成を終了します。

以上でリモートデスクトップ用の証明書テンプレートが定義できました。
次章では、このテンプレートを使って、証明書を発行して配布するための GPO を構成していきます。

2. グループポリシーを構成する

（AD DS で作業）

グループポリシー管理エディターを開き、ドメイン名を右クリックして このドメインに GPO を作成し、このコンテナーにリンクする を選択します。
※ここでは、全ホストが配布対象となるために、ドメインを選択していますが、別途 OU を用意して個別の単位に適用することもできます。

　
GPO の名称を任意で指定して OK ボタンをクリックします。

　
作成した GPO を右クリックして編集を選択します。

　
コンピューターの構成 - ポリシー - 管理用テンプレート - Windows コンポーネントを開きます。

続いて、リモートデスクトップサービス - リモートデスクトップセッションホスト - セキュリティを開き、サーバー認証証明書テンプレート の設定を開きます。

　
有効を選択し、証明書テンプレート名には、前章で作成したテンプレート名 を入力してから OK ボタンをクリックします。

注意
上記で指定する 証明書テンプレート名 の欄は、必ず、前章で設定した下図の緑枠内の文字列と一字一句間違わずに指定する必要があります。

※スペルが間違えていると、証明書が発行されません。

6．下図のように有効となっていれば、OK です。

7．コマンドプロンプトを開き、gpupdate /force を実行し、保存したポリシーを適用させます。その後、リモートデスクトップ接続を行う PC 上でも、gpupdate /force を実行してください。

リモートデスクトップ接続を実行して確認する

1．リモートデスクトップ接続 (mstsc) を起動し、接続先のコンピューター名を入力して接続ボタンをクリックします。
この欄には、IP アドレスではなく、ホスト名を入力してください。
※証明書のチェックの際に、ホスト名との照合が行われるため。

2．ユーザー名とパスワードで認証を行ったあと、直ちに以下のように RDP が接続されれば OK です。バーの 鍵マーク をクリックすることで下記のウィンドウが表示されます。

エラー
引き続き、以下のように証明書の確認画面が出てしまう場合は、証明書が正しく発行されているか、次章のトラブルシューティングの章を参考に再度確認してください。

　　　　　　　　　↓　　↓　　↓　　↓　　↓　　↓　　↓　　↓
IPアドレスが表示され、鍵マークが無い状態

トラブルシューティング

ドメイン内のホストには、ルート証明書とサーバー証明書が配布されているハズです。
ルート証明書は、接続元で必要です。
サーバー証明書は、受け側で必要です。

両方の証明書が、各ホストに配布されていることで、ドメイン内のホスト同士が相互にリモートデスクトップ接続をおこなう際に証明書が利用されることになります。

証明書の確認ウィンドウが表示されてしまう場合は、この証明書の配布がうまくいっていないか、証明書がリモートデスクトップサービスにバインドされていないか・・・が主な原因です。

証明書の配布状態を確認する

接続元、接続先のホストで、ローカルコンピューターの証明書ストアを確認します。
certlm.msc を検索して、実行します。

ドメイン内の各ホストには、以下のように 信頼されたルート証明機関 のストアに、ルート証明書 が配布されています。
この証明書は、リモートデスクトップの接続元になる場合に必要です。

ドメイン内の各ホストには、以下のように リモートデスクトップ のストアに各ホストのコンピューター名（緑下線）の サーバー証明書 が配布されています。
この証明書は、リモートデスクトップ接続を受ける側として必要です。

詳細タブで、証明書の詳細な値が確認できます。拇印もココに記載されています。

証明書のバインド状態を確認する

以下の PowerShell コマンドを実行する事でリモートデスクトップサービスにバインドされた証明書を確認できます。

Get-WmiObject -Class "Win32_TSGeneralSetting" -Namespace Root\cimv2\Terminalservices

前章で証明書の拇印欄に表示されていた値と、下図の SSLCertificateSHA1Hash が同一の値であれば、証明書がリモートデスクトップサービスに正しくバインドされています。

もし、拇印と SSLCertificateSHA1Hash の値に差異があった場合は問題です。
以下の公開情報に、バインドの確認方法や変更方法も記載されているため、問題解決して一致させましょう。

公開情報：リモートデスクトップリスナー証明書の構成
https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/remote/remote-desktop-listener-certificate-configurations?wt.mc_id=mvp_407731

ポイント
オブジェクト識別子 (OID) が、1.3.6.1.4.1.311.54.1.2 という証明書が配布されていると、自動的にリモートデスクトップのストアに配置されます。
このストアに配置されていると、リモートデスクトップのサービスに自動的にバインドされるようです。

参考

以下の記事も参考にしました。
内容を分析した結果、冒頭（はじめに）で紹介した記事がベストであると判断して、検証し本記事を執筆しています。各記事を比較して、なぜそういう設定にしているのかを検討してみると、より深い理解が得られます。