WindowsサーバーへのRDPアクセスをセットアップする

リモートデスクトッププロトコル（RDP）を利用すると、ユーザーがRDPクライアントを使ってWindowsサーバーにアクセスできます。Windowsサーバーへの完全なアクセスを実現するために、RDPはGUIを使用します。

エンドユーザー向けにRDPクライアントをインストールする

RDPクライアントをインストールし、管理者から提供されるリンクを使ってチームのWindowsサーバーにアクセスします。

オペレーティングシステム

RDPクライアント
macOS プラットフォーム用のRDP実装をダウンロードしてインストールします。「MacFreeRDPまたは Royal TSX をご覧ください。「Okta Privileged Access向けにRoyal TSXを構成する」を参照してください。
Linux xfreerdpをインストールします：sudo apt install freerdp2-x11（UbuntuまたはDebian）またはsudo dnf install freerdp（RHELまたはFedora）。「Okta Privileged Access用のxfreerdpの構成」を 参照してください。
Windows リモートデスクトップをダウンロードしてインストールします。Microsoft Storeをご覧ください。

RDP接続のURLハンドラーを作成する

ユーザーがRDPを介してWindowsサーバーにアクセスできるように、グループのURLハンドラーリンクを作成します（URLハンドラーを参照）。ユーザーがsft rdp <server>コマンドを実行する方法もあります。

RDPファイルに署名する

Microsoftの2026年4月のWindowsアップデートにより、mstsc.exeが署名されていない.rdpファイルに対して「注意：不明なリモート接続」という警告を表示するようになりました。sftクライアントはRDP接続ごとに.rdpファイルを作成するため、接続のたびにこの警告がユーザーに表示されます。Microsoftドキュメントの 「セキュリティ警告について」を 参照してください。

RDP署名を有効にすると、Okta Privileged Accessがチーム固有の証明書を使って.rdpファイルに署名し、警告が「発行者の確認」プロンプトに変わります。このプロンプトを削除するには、証明書をインストールし、管理対象の各マシンの許可リストにそのサムプリントを追加します。

署名が利用できない場合、sftは署名されていない .rdpファイルを使用して接続が続行されます。

RDPファイルに署名するには、以下のタスクをすべて順番通りに完了する必要があります。タスクを省略した場合、接続する際にセキュリティプロンプトがユーザーに引き続き表示されます。

  1. sftdを更新する
  2. RDP署名を有効にする
  3. 署名証明書とサムプリントを取得する
  4. 証明書をインストールする
  5. サムプリントを許可リストに追加する

sftdを更新する

RDP署名には、Windowsターゲットのでsftdの最新バージョンが必要です。それ以前のバージョンはサポートされていません。通常のsftdのアップグレードプロセスを使用して、ユーザーがRDPを介して接続するすべてのWindowsサーバー上のsftdを更新します。

RDP署名を有効にする

RDP署名はデフォルトで無効になっています。オプトインするには、各クライアントマシンで次のコマンドを実行します。

sft config beta.rdp_signing true

RDP署名を有効にすると、sft rdpは署名済みの.rdpファイルを自動的にリクエストします。

署名証明書とサムプリントを取得する

次のコマンドを実行します。

sft rdp --certificate

このコマンドは、チームの署名証明書のサムプリントとPEMエンコードされた証明書を出力します。マシンには何もインストールや変更を加えません。例：

RDP signing certificate thumbprint:
sha256:<sha256_thumbprint>,<sha1_thumbprint>

RDP signing certificate (PEM):
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

このプロンプトを削除するには、証明書をインストールし、管理対象の各マシンの許可リストにサムプリントを追加します。これらの手順のいずれか1つしか完了していない場合、「発行者の確認」プロンプトが引き続き表示されます。どちらの手順も管理者アクセスが必要です。

証明書をインストールする

証明書をLocalMachine\Rootおよび LocalMachine\TrustedPublisherの証明書ストアにインストールすると、Windowsが発行者を信頼します。sft rdp --certificateのPEM出力をokta-rdp-signing.cerとして保存し、次のいずれかの方法を使用します。

グループポリシー（管理対象フリートに推奨）

  1. グループポリシーエディター（Group Policy Editor）で、コンピューター構成（Computer Configuration） > Windows設定（Windows Settings） > セキュリティ設定（Security Settings） > 公開鍵ポリシー（Public Key Policies）に移動します。
  2. okta-rdp-signing.cerを信頼されたルート認証局（Trusted Root Certification Authorities） と信頼された発行者（Trusted Publishers）の両方にインポートします。
  3. ターゲットマシンでgpupdate /forceを実行するか、次回のポリシー更新まで待ちます。

証明書マネージャー（単一マシン）

  1. Win + Rを押し、certlm.mscを実行します。
  2. 信頼されたルート認証局（Trusted Root Certification Authorities） > 証明書（Certificates）を右クリックし、全タスク（All tasks） > インポート（Import）を選択します。
  3. okta-rdp-signing.cerをインポートします。
  4. 信頼された発行者（Trusted Publishers） > 証明書（Certificates）のインポートを繰り返します。

PowerShell（単一マシン）

管理者として次のコマンドを実行します。

Import-Certificate -FilePath .\okta-rdp-signing.cer -CertStoreLocation Cert:\LocalMachine\Root
Import-Certificate -FilePath .\okta-rdp-signing.cer -CertStoreLocation Cert:\LocalMachine\TrustedPublisher

サムプリントを許可リストに追加する

TrustedCertThumbprintsポリシーにサムプリントを追加して、mstscがこの証明書の発行者の確認プロンプトをスキップできるようにします。

sft rdp --certificateのサムプリント文字列には、SHA-256サムプリント（sha256:のプレフィックス）とSHA-1サムプリントがカンマで区切って含まれます。文字列全体をコピーし、両方のハッシュを維持します。Windowsは、サポートするハッシュで照合します。KB5101650アップデート（2026年7月）以降を適用したマシンは、いずれかのハッシュを認識します。それ以前のマシンは、SHA-1サムプリントのみを認識します。

グループポリシー（管理対象フリートに推奨）

  1. グループポリシーエディター（Group Policy Editor）で、コンピューター構成（Computer Configuration） > 管理用テンプレート（Administrative Templates） > Windowsコンポーネント（Windows Components） > リモートデスクトップサービス（Remote Desktop Services） > リモートデスクトップ接続クライアント（Remote Desktop Connection Client）に移動します。
  2. 信頼された.rdp発行者を表す証明書のSHA1サムプリントを指定する（Specify SHA1 thumbprints of certificates representing trusted .rdp publishers）を有効にします。
  3. サムプリント文字列全体をリストに貼り付けます。
  4. ターゲットマシンでgpupdate /forceを実行するか、次回のポリシー更新まで待ちます。

レジストリエディター（単一マシン）

  1. Win + Rを押し、regeditを実行します。
  2. HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Servicesに進みます。Terminal Servicesキーが存在しない場合は、作成します。
  3. 名前がTrustedCertThumbprintsの文字列値を追加します。
  4. 値をサムプリント文字列全体に設定します。複数の証明書を信頼するには、同じ値内で各サムプリント文字列をカンマで区切ります。

PowerShell（単一マシン）

管理者として次のコマンドを実行します。$thumbprintの値をサムプリント文字列全体に置き換えます。

$thumbprint = "sha256:<sha256_thumbprint>,<sha1_thumbprint>"

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" `
  -Name "TrustedCertThumbprints" -Value $thumbprint

「発行者の確認」プロンプトのトラブルシューティング

「発行者の確認」プロンプトが引き続き表示される場合は、次の項目を確認してください。

  • beta.rdp_signingが有効になっていることを確認します。sft config beta.rdp_signingを実行して値を確認します。
  • 両方の証明書ストアに証明書をインストールしたことを確認します。
  • サムプリントポリシーが適用されていることを確認します。グループポリシーを使用する場合は、gpresult /rを実行するか、レジストリキーを確認します。
  • 2つのハッシュの1つではなく、サムプリント文字列全体をコピーしていることを確認します。