Configuration Manager のリモート接続プロファイル

Configuration Manager (現在のブランチ) に適用

Configuration Manager のリモート接続プロファイルを使用して、ユーザーが職場のコンピューターにリモート接続できるようにします。 これらのプロファイルを使用すると、階層内のユーザーにリモート デスクトップ接続設定を展開できます。 ユーザーは、VPN 接続経由でリモート デスクトップを介して、プライマリ作業用コンピューターにアクセスできます。

Configuration Manager は、クライアント、リモート PC 接続にセキュリティ グループを作成します。 リモート接続プロファイルを展開すると、クライアントはコンピューターのプライマリ ユーザーをこのグループに追加します。 ローカル管理者は手動でこのグループにユーザーを追加または削除できますが、Configuration Manager は次にプロファイルのコンプライアンスを評価するときにメンバーシップを更新します。

前提条件

外部依存関係

• ユーザーがインターネットから接続できるようにする場合は、リモート デスクトップ ゲートウェイ サーバーをインストールして構成します。 リモート デスクトップ ゲートウェイ サーバーをインストールして構成する方法の詳細については、「 リモート デスクトップ サービス - どこからでもアクセス」を参照してください。

• クライアントがホスト ベースのファイアウォールを実行している場合は、mstsc.exe プログラムを有効にする必要があります。 リモート接続プロファイルを構成するときは、[ Windows ドメインとプライベート ネットワーク上の接続に対して Windows ファイアウォールの例外を許可する] の設定を有効にします。 この設定により、Configuration Manager は Windows ファイアウォールを自動的に構成できます。

  ヒント

  Windows ファイアウォールを構成するためのグループ ポリシー設定は、Configuration Manager で設定した構成を上書きできます。 グループ ポリシー を使用して Windows ファイアウォールを構成する場合は、グループ ポリシー設定が mstsc.exe をブロックしないようにします。

  クライアントが別のホスト ベースのファイアウォールを実行している場合は、このファイアウォールの依存関係を手動で構成します。

Configuration Manager の依存関係

• ユーザーが作業用コンピューターに接続するには、そのコンピューターがユーザーのプライマリ デバイスである必要があります。 詳細については、「 ユーザー デバイス アフィニティを使用してユーザーとデバイスをリンクする」を参照してください。

• リモート接続プロファイルを管理するには、ユーザー アカウントに Configuration Manager での特定のアクセス許可が必要です。 コンプライアンス設定マネージャーの組み込みロールには、これらのプロファイルを管理するために必要なアクセス許可が含まれています。 詳細については、「 ロールベースの管理の構成」を参照してください。

セキュリティとプライバシーの考慮事項

セキュリティに関する考慮事項

• ユーザーがプライマリ デバイスを識別できるようにするのではなく、ユーザー デバイスのアフィニティを手動で指定します。 使用量ベースの構成を有効にしないでください。

  • リモート接続プロファイルを展開する前に、[ 作業コンピューターのすべてのプライマリ ユーザーにリモート接続を許可する] オプションを有効にする必要があります。 この構成では、常にユーザー デバイスのアフィニティを手動で指定する必要があります。 Configuration Manager がユーザーまたはデバイスから収集する情報が信頼できるとは考えないでください。 プロファイルを展開し、信頼された管理ユーザーがユーザー デバイスのアフィニティを指定していない場合、承認されていないユーザーが昇格された特権を受け取り、コンピューターにリモート接続できる可能性があります。

  • Configuration Manager は、状態メッセージを介して使用状況ベースの情報を収集します。これは高速ではあるが安全でない通信チャネルです。 この脅威を軽減するには、クライアント コンピューターと管理ポイントの間でサーバー メッセージ ブロック (SMB) 署名またはインターネット プロトコル セキュリティ (IPsec) を使用します。

• サイト サーバー コンピューターのローカル管理者権限を制限します。 サイト サーバーのローカル管理者は、Configuration Manager によって自動的に作成および管理されるリモート PC 接続セキュリティ グループにメンバーを手動で追加できます。 メンバーはリモート デスクトップのアクセス許可を受け取るため、この操作により特権が昇格される可能性があります。

プライバシーに関する考慮事項

ユーザーが作業用コンピュータにリモート接続すると、.wsrdp ファイルがダウンロードされます。 このファイルには、デバイス名とリモート デスクトップ ゲートウェイ サーバー名が含まれています。 これらの値は、リモート デスクトップ セッションを作成するために必要です。 .wsrdp ファイルがダウンロードされ、ローカルに自動的に保存されます。 このファイルは、次回ユーザーがリモート デスクトップ セッションを実行したときに上書きされます。

プロファイルの作成

1. Configuration Manager コンソールで、[資産とコンプライアンス] ワークスペースに移動し、[コンプライアンス設定] を展開して、[リモート接続プロファイル] を選択します。

2. リボンの [ ホーム ] タブの [ 作成 ] グループで、[ リモート接続プロファイルの作成] を選択します。

3. リモート接続プロファイルの作成ウィザードの [全般] ページで、プロファイルの名前とオプションの説明を指定します。 どちらの文字数も上限は 256 文字です。

4. [ プロファイルの設定 ] ページで、次の設定を指定します。

   • リモート デスクトップ ゲートウェイ サーバーの完全な名前とポート (省略可能): 接続に使用するリモート デスクトップ ゲートウェイ サーバーの名前を指定します。 この値には次の要件があります。

     • サーバー名は 256 文字以下にする必要があります。
     • 大文字、小文字、および数字を含めることができます。
     • セグメント間のピリオド (.) と、ポートの前のコロン (:) を除き、特殊文字はダッシュ (–) とアンダースコア (_) のみです。
     • Configuration Manager では、この値に国際化されたドメイン名を使用することはサポートされていません。

   • ネットワーク レベル認証を使用してリモート デスクトップを実行するコンピューターからの接続のみを許可する: 既定では有効になっているこの設定により、接続のセキュリティ レベルが追加されます。 詳細については、「 リモート デスクトップ アクセスの許可」を参照してください。

   • 次の接続設定を有効にします。

     • 作業用コンピューターへのリモート接続を許可する

     • 作業用コンピューターのすべてのプライマリ ユーザーにリモート接続を許可する

     • Windows ドメインとプライベート ネットワーク上の接続に対して Windows ファイアウォールの例外を許可する

     重要

     続行する前に、3 つの設定すべてが同じである必要があります。

     これらの設定は、リモート接続を無効にするプロファイルを展開する場合にのみ無効にしてください。

5. ウィザードを終了します。

新しいプロファイルは、[資産とコンプライアンス] ワークスペースの [リモート接続プロファイル] ノードに表示されます。

展開

1. Configuration Manager コンソールで、[資産とコンプライアンス] ワークスペースに移動し、[コンプライアンス設定] を展開して、[リモート接続プロファイル] を選択します。

2. [リモート接続プロファイル] の一覧で、展開するプロファイルを選択します。 リボンの [ ホーム ] タブの [展開 ] グループで、[ 展開] を選択します。

3. [ リモート接続プロファイルの展開 ] ウィンドウで、次の情報を指定します。

   • コレクション: プロファイルを展開するデバイス コレクションを参照して選択します。

   • サポートされている場合は、準拠していないルールを修復する: この設定を有効にすると、デバイスでプロファイル設定が非対応の場合に、プロファイル設定が自動的に修復されます。 プロファイルが存在しない場合、非準拠のプロファイルになることができます。

   • メンテナンス期間外での修復を許可する: プロファイルを展開するコレクションにメンテナンス期間を構成する場合は、このオプションを有効にして、Configuration Manager がメンテナンス期間外で修復できるようにします。 詳細については、「 メンテナンス期間の使用方法」を参照してください。

   • アラートの生成: コンプライアンス アラートを構成するには、このオプションを有効にします。

   • この構成ベースラインのコンプライアンス評価スケジュールを指定します: クライアントがプロファイルを評価するための単純なスケジュールまたはカスタムのスケジュールを指定します。

4. [ OK ] を選択してウィンドウを閉じ、デプロイを作成します。

クライアント評価

クライアントは、ユーザーがサインインするとプロファイルを評価します。

リモート接続プロファイルを展開したコレクションからデバイスが離れると、Configuration Manager はデバイスの設定を無効にします。 ただし、このプロセスを正しく行うには、少なくとも 1 つの構成アイテム、またはサイトから構成アイテムを含む構成ベースラインを既にデプロイしておく必要があります。

競合の解決

競合する設定を持つ複数のリモート接続プロファイルを同じデバイスに展開しないでください。 たとえば、設定が異なる 2 つのプロファイルを同じコレクションに展開します。 サポートされている場合は、1 つのプロファイル展開のみを構成して 、準拠していない規則を修復します。 このデプロイは、他のプロファイルの設定を上書きする可能性があります。 Configuration Manager では、この種類のリモート接続プロファイルの展開はサポートされていません。

監視する

Configuration Manager コンソールで、[監視] ワークスペースに移動し、[展開] を選択します。 [ 展開] リストで、リモート接続プロファイルの展開を選択します。

リモート接続プロファイルの展開のコンプライアンスに関する概要情報は、メイン ページで確認できます。 詳細情報を表示するには、プロファイルの展開を選択します。 次に、リボンの [ ホーム ] タブの [展開 ] グループで、[ 状態の表示] を選択します。 このアクションにより、[ デプロイ ステータス] ページが開きます。

[ Deployment Status] ページには、次のタブがあります。

• 準拠: 影響を受ける資産の数に基づいたリモート接続プロファイルの準拠を表示します。

  重要

  該当しない場合、クライアントはリモート接続プロファイルを評価しません。 ただし、引き続き準拠しています。

• エラー: 影響を受ける資産の数に基づいて、選択したリモート接続プロファイルのデプロイに関するすべてのエラーの一覧を表示します。

• 非準拠: 影響を受ける資産の数に基づいて、リモート接続プロファイル内のすべての非準拠ルールの一覧を表示します。

• 不明: 選択したリモート接続プロファイル展開のコンプライアンスを報告しなかったすべてのデバイスの一覧と、デバイスの現在のクライアント状態が表示されます。

任意のタブで、ルールを開き、[資産とコンプライアンス] ワークスペースの [ユーザー] ノードの下に一時サブノードを作成します。 このサブノードには、選択したタブのコンプライアンス状態を持つすべてのデバイスが含まれます。

[ 資産の詳細 ] ウィンドウには、このプロファイルに対して選択したコンプライアンス状態のデバイスが表示されます。 一覧でデバイスを開き、追加情報を表示します。

レポート

Configuration Manager には、リモート接続プロファイルに関する情報を監視するために使用できる組み込みのレポートが含まれています。 これらのレポートのレポート カテゴリは "コンプライアンス" と "設定管理" です。

Configuration Manager でレポートを構成する方法の詳細については、「レポートの概要」を参照してください。