リモートデスクトップを有効にしたサーバーやPCには、「誰が接続できるか」の設定があります。何も設定していなくても、そのPCの管理者（Administratorsグループ）は全員が接続できます。「保守業者用に作ったアカウント」「前任者が追加したまま残っているユーザー」など、いつの間にか接続できる人が増えていることは珍しくありません。この記事では、いま誰が接続できるかを確かめ、必要な人だけに絞る手順を説明します。
接続できる人を決めている3つの設定
| 設定 | 役割 |
|---|---|
| Administrators / Remote Desktop Users グループ | 既定では、この2つのグループのメンバーが接続できる |
| ユーザー権利「リモート デスクトップ サービスを使ったログオンを許可」 | 接続を認めるグループを決める（既定は上の2グループ） |
| ユーザー権利「リモート デスクトップ サービスを使ったログオンを拒否」 | ここに入れた人は、許可されていても接続できない（拒否が優先） |
実際の判断は「許可」に入っていて、かつ「拒否」に入っていない人だけが接続できる、という順で決まります。
いま誰が接続できるかを確認する
接続される側のPC・サーバーで、コマンドプロンプトまたはPowerShellを開き、2つのグループのメンバーを表示します。
net localgroup "Remote Desktop Users"
net localgroup Administrators表示された全員が、リモートデスクトップで接続できる候補です。ドメインのグループ（例：「Domain Admins」「Domain Users」）が入っている場合は、そのグループのメンバー全員が対象になります。特に「Domain Users」や「Everyone」が入っていると、社内の全員が接続できる状態です。ドメインのグループの中身は Get-ADGroupMember -Identity "グループ名" で確認できます。管理者の洗い出し方はWindowsの管理者ユーザーを一覧にする方法で詳しく扱っています。
見落としやすい点
1台ずつ絞る
- 接続が必要な人を書き出す — 「誰が・どの業務で・いつまで」を決めます。保守業者は担当者ごとに分けたアカウントにします
- 不要な人をRemote Desktop Usersから外す
Remove-LocalGroupMember -Group "Remote Desktop Users" -Member "ユーザー名" - 必要な人だけを追加する
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "ユーザー名" - 管理者のうち、リモート接続が不要な人を「拒否」に入れる — Windowsキー + R → 「secpol.msc」 → ローカル ポリシー → ユーザー権利の割り当て → 「リモート デスクトップ サービスを使ったログオンを拒否」に追加します
- 外した人で接続できないことを確かめる — 「接続が拒否されました」の表示になれば設定が効いています
普段の作業に管理者権限が不要な人は、Administratorsグループから外し、Remote Desktop Usersだけに入れるのが基本です。管理者のまま接続させると、接続した先で何でもできる状態になります。
全社でそろえる（グループポリシー）
台数が多い場合は、1台ずつ設定するとすぐに食い違いが出ます。ドメイン環境では、グループポリシーで次の2つを配ります。
- ユーザー権利：コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → ローカル ポリシー → ユーザー権利の割り当て → 「リモート デスクトップ サービスを使ったログオンを許可」に、接続を認めるドメインのグループだけを指定します（例：「RDP-サーバー管理」のような専用グループを作る）
- グループのメンバー：コンピューターの構成 → 基本設定 → コントロール パネルの設定 → ローカル ユーザーとグループ で、Remote Desktop Usersのメンバーを指定します。各PCで誰かが足したメンバーも、ポリシーの内容で上書きされます。
専用グループにしておくと、退職・異動のときはドメインのグループから外すだけで、全台の接続権がまとめて外れます。退職時のアカウントの止め方は退職者アカウントの削除・無効化の手順で扱っています。反映は gpupdate /force のあと、gpresult /h report.html で確認できます。
接続元のIPアドレスを絞る
人だけでなく、どこから接続できるかも絞れます。
- Windowsキー + R → 「wf.msc」（セキュリティが強化された Windows Defender ファイアウォール）を開きます
- 受信の規則で「リモート デスクトップ - ユーザー モード (TCP 受信)」を開きます
- スコープタブの「リモート IP アドレス」で「これらの IP アドレス」を選び、管理用のPCやVPNの範囲だけを追加します
リモートデスクトップの入口（TCP 3389）をインターネットにそのまま出すのは避けてください。社外から使う場合は、VPNなどを経由させたうえで、接続元をその範囲に限ります。VPN機器そのものの弱点はVPN機器の脆弱性で扱っています。
あわせて確認したい設定
- ネットワークレベル認証（NLA）を必須にする — 設定 → システム → リモート デスクトップ の詳細設定で「ネットワーク レベル認証を使用してデバイスに接続することを求める」を有効にします。ログオン画面を表示する前に認証を求めるため、相手に余計な情報を見せずに済みます。
- ロックアウトを設定する — 何回失敗したら止めるかを決めていないと、パスワードを何度でも試せます。ADのない環境での設定はADなしのPCでアカウントロックアウトを設定する方法で扱っています。
- 使わないPCではリモートデスクトップ自体を無効にする — グループポリシーでは「コンピューターの構成 → 管理用テンプレート → Windows コンポーネント → リモート デスクトップ サービス → リモート デスクトップ セッション ホスト → 接続 → リモート デスクトップ サービスを使用したリモート接続をユーザーに許可する」を無効にします。
絞ったあとに残る課題
接続できる人を絞っても、次の状態が残っていると、実際に誰が接続したかは記録から分かりません。
- 許可したアカウントを複数人で使っている（例：「保守用」1つを業者の全員が使う）
- パスワードだけで接続できる（パスワードを知っている人なら誰でも本人として入れる）
接続の記録の見方はリモートデスクトップの接続履歴を確認する方法、パスワードに加えて別の要素を求める方法はリモートデスクトップ(RDP)の2要素認証で扱っています。
リモートデスクトップのログインを、パスワードを知っている人ではなく本人のスマホでのワンタッチ承認でしか通らないようにしたい場合は、PCとWindows Serverの両方に対応したアプリップリキーという選択肢もあります。製品サイトを見る（アプリップリキー）よくある質問
リモートデスクトップで接続できるユーザーはどこで確認できますか
接続される側のPCで net localgroup "Remote Desktop Users" と net localgroup Administrators を実行します。既定ではこの2つのグループのメンバーが接続できます。設定画面の「リモート デスクトップ ユーザー」にはAdministratorsのメンバーが表示されない点に注意してください。
管理者だけはリモート接続させない設定はできますか
ユーザー権利の「リモート デスクトップ サービスを使ったログオンを拒否」に対象のアカウントやグループを追加します。拒否は許可より優先されるため、管理者でも接続できなくなります。作業用の管理者アカウントまで拒否して締め出されないよう、先に接続できるアカウントを1つ確保してから設定してください。
Windows Home エディションでも設定できますか
Home エディションは、リモートデスクトップで接続される側になれません。接続される側として使うのはPro以上のエディションとWindows Serverです。
いまの運用を棚卸ししてみる
接続できる人を絞る作業は、一度やっても退職・異動・業者の入れ替わりのたびに崩れていきます。applippliの無料棚卸しでは、10問・約3分で、リモート接続を含むPCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年10月時点の一般的な解説です。設定項目の名称や配置は、Windowsのバージョン・エディションによって異なる場合があります。設定を変える前に、接続できるアカウントを1つ確保しておいてください。