はじめに

"パスワードレスなアカウント" でドメインに参加したホストへ RDP 接続を行う際に、SSO を実現することができる Remote Credential Guard を試してみました。
単なる接続だけでなく、いくつかのシーンと組み合わせて利用できるのかどうかも、検証しており、推奨する設定例や手順まで紹介しています。
※パスワードレスなアカウントとは、Windows Hello for Business や FIDO2 を使ってログオンしたユーザーのことです。

検証済みのシナリオ

パスワードレスでドメインログオン (FIDO2 or WHfB) した物理マシンからの SSO
Windows Server 2016 に対してのパスワードレス (FIDO2 or WHfB) ログオン SSO
パスワードレスログオンした AVD からのダブルホップ SSO
Microsoft Entra Join したマシンからの SSO（要：Microsoft Entra Kerberos）
Remote Credential Guard でログオンしたマシンから、別のマシンへダブルホップ SSO

上記のシナリオが全部実現できます。

公開情報：Remote Credential Guard
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/remote-credential-guard?wt.mc_id=mvp_407731

ポイント
RDP で SSO を実現する方法として有名な "既定の資格情報の委任を許可する" がありますが、パスワードレスの場合は、これを実施しても SSO できずに、パスワードの入力を求められてしまいます。

以下の記事も参考にしてみてください。
RDP & SSO ができる "資格情報の委任" について深堀
https://qiita.com/carol0226/private/500f5c5a7ed51c699a55

パスワードレスなユーザーの場合は、Remote Credential Guard を使うことで、RDP で SSO を利用することができるようになります。

SSO ではなく、別のユーザーに切り替えたい場合は？
SSO ではなく、2 枚目の FIDO2 キーを使って別のユーザーへ切り替えてログオンしたい場合は、以下の記事の方法を活用してください。

1. Remote Credential Guard の動作イメージ

まず、Remote Credential Guard があると、どのような動作になるのかを理解しましょう。

Remote Credential Guard は、リモートクライアント側（接続元）とリモートホスト側（接続先）の設定の組み合わせによって機能します。

リモートホスト ▶ ▼ リモートクライアント	(a) Remote Credential Guard 無効	(b) Remote Credential Guard 有効
(1) Remote Credential Guard 無効	（通常の RDP 動作）ユーザー切り替え可パスワード入力	（通常の RDP 動作）ユーザー切り替え可パスワード入力
(2) Remote Credential Guard 有効	エラー	SSO で接続

上記の設定を組み合わせた際の動作イメージは、以下の通りです。

1-1. 動作イメージ：(1)+(a) & (1)+(b) Remote Credential Guard を使わない場合

通常のリモートデスクトップの動作と一緒です。

上記の画面で、接続を押すと、以下のとおり、パスワードの入力を求められます。
正しいパスワードを入力すれば、RDP の接続が可能です。

※この場合、パスワードレスのユーザーは、パスワードを知らないので先へ進むことができません。

リモートクライアント側の Remote Credential Guard が無効の場合は、リモートホスト側の Remote Credential Guard の設定にかかわらず、正しいパスワードを入力すれば、RDP の接続が可能です。

1-2. 動作イメージ：(2) クライアント側の Remote Credential Guard 有効

ユーザー名の欄は、リモートクライアントにログオンした際のアカウントで固定化されていて、その他のユーザーに切り替えることはできません。

1-2-1. 動作イメージ：(2)+(a) リモートホスト側の Remote Credential Guard 無効

リモートクライアント側で Remote Credential Guard が有効であっても、リモートホスト側で Remote Credential Guard が無効の場合は、以下のエラーが発生して接続が拒否されます。
エラーメッセージ："アカウントの制限により、このユーザーはサインインできません。空のパスワードが許可されていない、サインイン時間が制限されている、またはポリシーによる制限が使用されたなどの理由が考えられます。"

※このあと、パスワードの入力画面へ遷移するので、パスワードの入力によって RDP 接続することは可能です。

1-2-2. 動作イメージ：(2)+(b) リモートホスト側の Remote Credential Guard 有効

クライアントとホストが共に Remote Credential Guard が有効の場合に SSO が機能します。
その結果、パスワードレスのユーザーでも RDP を行うことができます。

認証が不要になるので、接続ボタンを押したあとにすぐにリモートホストの画面が表示されるので、お見せできる画面キャプチャがありません・・・

動作イメージは、以下の公開情報の動画を参照してください。ホントに一瞬でつながります。

公開情報：ユーザーエクスペリエンス
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/remote-credential-guard?wt.mc_id=mvp_407731&tabs=gpo#user-experience

2. Remote Credential Guard の活用シーン

RDP 接続の際に、資格情報の入力を省略したい（OS の資格情報をつかって SSO させたい）
ユーザーがパスワードを持っていない（FIDO2 や WHfB、スマートカードログオンを使っている）

結果として、冒頭でも紹介していますが、以下のようなシーンに適用することができます。

検証済みのシナリオ（再掲）

パスワードレスでドメインログオン (FIDO2 or WHfB) した物理マシンからの SSO
Windows Server 2016 に対してのパスワードレス (FIDO2 or WHfB) ログオン SSO
AVD からのダブルホップ SSO
Microsoft Entra Join したマシンからの SSO（要：Microsoft Entra Kerberos）
Remote Credential Guard でログオンしたマシンから、別のマシンへダブルホップ SSO

上記のようなニーズがある場合に、Remote Credential Guard は、強力なソリューションです。

しかしながら、後述する制限事項を理解しておく必要があります。

制限事項

Remote Credential Guard に関する注意点があります。
代表的な２点の注意点を挙げておきます。

RD ゲートウェイ、RD コネクションブローカーには対応していない
冗長構成の RDS 環境を運用する場合、RD ゲートウェイや RD コネクションブローカーが使われることが多いですが、このような環境の場合は Remote Credential Guard は使えません。とても残念です。

Kerberos 認証を必要とする点
Kerberos 認証が必要であるため、RDP 接続時にホスト名を使う必要があります。
通常の RDP では、IP アドレスを使った場合、通常は NTLM 認証へ切り替わって接続が成功するのですが、Remote Credential Guard が有効な場合は、Kerberos が強制されるため、IP アドレスでの接続ができません。

※Remote Credential Guard が有効なクライアントから、IP アドレスで接続しようとした場合

その他も含めた詳細は、以下の公開情報に記載されています。

考慮事項
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/remote-credential-guard?wt.mc_id=mvp_407731&tabs=gpo#considerations

3. 構成手順

3-1. リモートホスト側

3-1-1. リモートホスト側のおススメ構成

リモートホスト側の Remote Credential Guard は、有効になっていても害は無いと思います。そのため、ドメイン内の全ホストに対して、GPO で有効化しましょう。

※Intune でも設定は可能なのですが、ドメイン環境が前提ですし、Windows Server にも適用させることを考えると、GPO 一択なのかなと思います。

3-1-2. リモートホスト側の設定手順

以下の公開情報の内容をキャプチャで紹介します。

公開情報：リモートホストで nonexportable 資格情報の委任を有効にする
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/remote-credential-guard?wt.mc_id=mvp_407731&tabs=gpo#enable-delegation-of-nonexportable-credentials-on-the-remote-hosts

ポリシーをドメイン全体に適用するか、一部のコンピューターのみに適用するかを決めてください。
→　一部のコンピューターに適用する場合は、事前に OU を作成しておきます。
　
グループポリシー管理エディターを開き、ドメイン名または、事前に作成した OU を右クリックして、このドメインに GPO を作成し、このコンテナーにリンクする を選択します。
　
GPO には、任意の名前を付けてください。
今回の手順用のキャプチャでは RemoteCredentialGuard_Host という名称をつけました。
　
作成された GPO を右クリックして開きます。
　
　
左ペインから、コンピューターの構成 - ポリシー - 管理用テンプレート - システム - 資格情報の委任 を開きます。
　
　
続いて リモートホストでエクスポート不可の資格情報の委任を許可する を開きます。

　
値を有効に変更します。
　
　
ポリシーを保存したら、ドメコン上で Gpupdate /force を実行したあと、リモートホスト側でも Gpupdate /force を実行してください。

注意点：Windows Server 2016 の場合
Windows Server 2016 には、GPO を適用しても、機能しませんでした。
試しに、ローカルのポリシーエディタを開いてみてみると、該当の項目（Remote host allows delegation of nonexportable credentials) がありませんでした。

解決策
仕方がないので、以下の通りレジストリで設定したところ、期待通りに動きました。

3-2. リモートクライアント側

3-2-1. リモートクライアント側のおススメ構成

リモートクライアント側の Remote Credential Guard は、有効になっている場合、必ず SSO の動作になり、ユーザーの切り替えができなくなります。
Remote Credential Guard の設定は、GPO で一律で有効化もできますが、コマンド起動時のパラメーターで制御することも可能です。

ユーザー切り替えを必要（または許容）とするシステムの場合は、GPO で設定してしまうと融通が利かなくなります。
そのため、コマンド起動時のパラメーターを使って、都度リモートクライアントを起動するようにすることをおススメします。

ドメイン内の全ホストで、ユーザー切り替えを禁止して一律で SSO をさせるような運用シーンでは、GPO で構成するのが良いと思います。

3-2-2. リモートクライアント側の設定手順

以下の公開情報の内容をキャプチャで紹介します。

公開情報：クライアントでの資格情報の委任を構成する
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/remote-credential-guard?wt.mc_id=mvp_407731&tabs=gpo#configure-delegation-of-credentials-on-the-clients

① コマンドで都度指定する場合

用途に応じて、以下のように起動方法を切り替えてください。

ユーザー切り替え＆パスワード認証を使う場合は、mstsc.exe
SSO を行いたい場合は、mstsc.exe /remoteguard

指定した起動方法に応じて、冒頭の 動作イメージ で紹介した通りのリモートデスクトップ画面が表示されます。

② GPO で一律 Remote Credential Guard を有効化する場合

ドメイン全体に GPO を適用する場合の注意
リモートホスト側が無効の状態で、リモートクライアント側の有効を GPO でドメイン全体に適用すると、RDP で接続できなくなってしまうので、注意してください。

ポリシーをドメイン全体に適用するか、一部のコンピューターのみに適用するかを決めてください。
→　一部のコンピューターに適用する場合は、事前に OU を作成しておきます。
　
グループポリシー管理エディターを開き、ドメイン名または、事前に作成した OU を右クリックして、このドメインに GPO を作成し、このコンテナーにリンクする　を選択します。
　
GPO には、任意の名前を付けてください。
今回の手順用のキャプチャでは RemoteCredentialGuard_Client という名称をつけました。
　
作成された GPO を右クリックして開きます。
　
　
左ペインから、コンピューターの構成 - ポリシー - 管理用テンプレート - システム - 資格情報の委任 を開きます。
　
　
続いて リモートサーバーへの資格情報の委任を制限する を開きます。

　
値を有効にし Remote Credential Guard が必要 を選択して OK を押します。
　
　
ポリシーを保存したら、ドメコン上で Gpupdate /force を実行したあと、リモートホスト側でも Gpupdate /force を実行してください。

以上の設定で、Remote Credential Guard が動作するようになりました。

4. 動作確認

クライアント側の構成を GPO で設定した場合は、いつもの通りに、リモートデスクトップ接続 のアプリ (mstsc.exe) を起動します。

クライアント側の構成を GPO で設定しなかった場合は、以下のコマンドを使って起動します。
mstsc.exe /remoteguard

以下のウィンドウが開けば OK です。

Remote Credential Guard が有効なリモートデスクトップ接続

（赤下線）コンピューター名は、かならず ホスト名 で指定してください。
（緑枠）　グレーアウトされており、変更することはできません。
（青下線）「Windows ログオン資格情報は、接続に使用されます」と書かれており、ログオンアカウントの認証がそのまま引き継がれるようになります。

動作イメージは、以下の公開情報の動画を参照してください。ホントに一瞬でつながります。

公開情報：ユーザーエクスペリエンス
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/remote-credential-guard?wt.mc_id=mvp_407731&tabs=gpo#user-experience

うまく接続できない場合は、１章の動作イメージで紹介した設定の組み合わせやエラー画面を再確認してください。