mstscコマンド：スイッチ、ショートカット、および.rdpファイル設定

MSTSC、RDP、RDS、およびTermServiceは異なるものです

用語は関連していますが、リモートアクセス展開の異なる部分を説明しています。それらを混同すると、特に誰かが「MSTSCサービス」を検索したり、MSTSCスイッチがサーバーを変更すると仮定した場合に、トラブルシューティングが誤った方向に進む可能性があります。

用語	それは何ですか	どこで実行されるか
mstsc.exe	マイクロソフトのクラシックリモートデスクトップ接続クライアント	Windowsクライアントデバイス
RDP	ディスプレイ、入力、およびリダイレクトされたリソースを運ぶリモートデスクトッププロトコル	クライアントとリモートシステムの間
RDS	リモートデスクトップサービス、MicrosoftのWindows Serverのリモートセッション、アプリケーション配信、ゲートウェイおよび関連サービス	Windows Server インフラストラクチャ
タームサービス	サーバー側のRDP接続に関連するリモートデスクトップサービス	Windowsホスト

mstsc.exeが何をするか

マイクロソフトの文書 mstsc.exe クライアントがリモートデスクトップセッションホストサーバーまたは別のリモートコンピューターに接続するために使用されます。実行、コマンドプロンプト、PowerShell、またはショートカットから、コマンドラインオプションの有無にかかわらず開くことができます。

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

最初の2つのコマンドは、グラフィカルクライアントを開きます。 mstsc /? インストールされたクライアントのコマンド構文を表示します。接続ファイルを渡すと、そのファイルに保存されたプロファイルが開きます。

MSTSCはクライアントであり、プロトコルやサービスではありません。

マイクロソフトのリモートデスクトッププロトコルのドキュメント RDPをクライアント-サーバープロトコルとして説明します。ホスト上で、管理者が通常「MSTSCサービス」と呼ぶサービスは タームサービス リモートデスクトップサービスユーザーモードポートリダイレクターサービス、 UmRdpService ホスト側の診断中にも表示されることがあります。

次のPowerShellコマンドは、Windowsホスト上のこれらのサービスをチェックします。MSTSCサービスは存在しないため、チェックしません。

Get-Service TermService, UmRdpService

MSTSCは、リモートアクセスクライアントでもあり、対応型ヘルプデスクワークフローではありません。技術者がサポートのためにユーザー自身のデバイスを表示または制御する必要がある場合は、使用してください。 リモートサポートソフトウェア 同意、技術者のワークフローおよびセッション管理のために設計されています。

Windows 10、Windows 11 および古い Windows リリース

マイクロソフトの現在のMSTSCコマンドリファレンスには、適用されるリリースの中でWindows 10、Windows 11、Windows Server 2016から2025がリストされています。Windows 8は歴史的な検索や古い環境にまだ表示される可能性がありますが、マイクロソフトの適用リストでは現在の展開対象ではありません。確認してください。 mstsc /? 実際のクライアント上で、利用可能な動作はそのWindowsビルドやポリシーにも依存する可能性があります。

MSTSC コマンドラインスイッチリファレンス

次の表は、Microsoftの現在のMSTSCコマンド契約に従っています。意図的に文書化されていないスイッチを除外しています。 /migrate 現在のMicrosoftコマンドリファレンスには表示されていません。

スイッチ	目的	重要な制約	例
	保存された .rdp 接続ファイルを開きます	スペースを含む引用パス	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	リモートホストとオプションのリスナーポートを指定します	宛先を選択しますが、RDPを有効にしたりホストポートを変更したりはしません。	mstsc /v:server01
/g:	RDゲートウェイを指定します	Microsoftは、/vが宛先を供給する際にそれが読み取られていると文書化しています。	mstsc /v:server01 /g:gateway.example.com
/admin	サーバーを管理するためのセッションをリクエストします	管理者権限を付与したり、認証やライセンスを回避したりすることはありません。	mstsc /v:server01 /admin
/f または /フルスクリーン	セッションをフルスクリーンモードで開始します	Ctrl+Alt+Breakを使用して、セッション中に表示モードを切り替えます。	mstsc /v:server01 /f
/w:	初期ウィンドウ幅を設定します	通常は /h と組み合わせて使用されます	mstsc /v:server01 /w:1920 /h:1080
/h:	初期ウィンドウの高さを設定します	通常は/wと組み合わせて使用されます	mstsc /v:server01 /w:1920 /h:1080
/public	パブリックモードでリモートデスクトップ接続を実行します	接続のためのパスワードとビットマップキャッシュを防止しますが、完全な共有デバイスのセキュリティポリシーではありません。	mstsc /v:server01 /public
/span	互換性のあるローカルモニターにわたって1つのリモートデスクトップを展開します	Microsoftは同じ解像度の水平に配置されたモニターを必要とします。	mstsc /v:server01 /span
/multimon	リモートセッションでクライアントモニターの配置を使用します	ホストの機能とポリシーは引き続き適用されます	mstsc /v:server01 /multimon
/l	ローカルモニターとそのIDのリスト	選択したモニターのプロパティを持つIDを使用してください	mstsc /l
/編集	保存された接続ファイルを編集のために開きます	パスは既存の .rdp ファイルを特定する必要があります。	mstsc /edit "C:\Connections\Sales.rdp"
/制限された管理者	リモートホストに再利用可能な資格情報を送信しないために、制限付き管理者モードを使用します。	/adminを意味し、リモートセッションから他のネットワークリソースへのアクセスに影響を与える可能性があります。	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Windows Defender リモート資格情報ガードを使用します	認証要求はクライアントにリダイレクトされます。互換性とポリシーの前提条件が適用されます。	mstsc /v:server01 /remoteGuard
/prompt	資格情報のプロンプトを強制します	保存された資格情報が問題を引き起こしているかどうかをテストする際に便利です。	mstsc /v:server01 /prompt
/shadow:	既存のRDSセッションをシャドウイングする	有効なセッションID、認証、およびサポートポリシーが必要です	mstsc /shadow:3
/制御	シャドウイング中のリクエスト制御	/s shadowを使用しました	mstsc /shadow:3 /control
/noConsentPrompt	セッションユーザーの同意を求めずにリクエストをシャドウイングする	承認とポリシーサポートが必要です。監査された管理プロセス内でのみ使用してください。	mstsc /shadow:3 /control /noConsentPrompt
/?	コマンドヘルプを表示	インストールされたWindowsビルドで利用可能な構文を確認するのに便利です	mstsc /?

組み合わせ可能なスイッチ

接続に必要な動作を追加する前に、まず宛先から始めてください。読みやすいコマンドは、いくつかの不要なオプションを含むショートカットよりもトラブルシューティングが容易です。

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

これらの例では内部サーバー名を使用しています。接続がインターネットを越える場合、宛先のRDPリスナーは公開アドレスに直接公開されるべきではありません。

/adminが行わないこと

/admin 管理サーバーセッションを要求します。接続アカウントを管理者にすることはなく、接続するための追加の権限を作成せず、ネットワークレベル認証をバイパスしたり、ホストポリシーを上書きしたりすることはありません。

ライセンス境界： /admin シャドウイング、MSTSC コマンドおよび保存されたファイルは、Microsoft のライセンス義務を解除しません。Microsoft は次のように述べています。 RDS CALsが必要です 適用可能なRDS環境で。Windows Server、RDS CAL、OfficeおよびMicrosoft 365のライセンスは、オペレーティングシステム、展開モデル、ユーザーまたはデバイス、アプリケーションの使用に依存します。Microsoftまたは資格のあるライセンスパートナーに構成を確認してください。

制限付き管理者とリモートガード

Restricted AdminとRemote Credential Guardは、完全なアクセスセキュリティアーキテクチャではなく、資格情報保護モードです。MicrosoftはそれらをMSTSC構文の代替として文書化しているため、同じ接続に対して両方を指定しないでください。

モード	資格情報の動作	運用上の考慮事項
制限付き管理者	リモートホストに再利用可能な資格情報を送信するのを避けます	/admin; リモートセッションからのアクセスは、ユーザーの資格情報がそこに利用できないために失敗する可能性があります。
リモート資格情報ガード	クライアントに認証要求をリダイレクトします	互換性のあるWindows、ドメイン、およびポリシーの設定が必要です

どちらのモードも、パッチ適用、最小特権、MFA、セグメンテーション、ロックアウト制御、または監視を置き換えるものではありません。リモートセッションから管理者がアクセスする必要があるサービスとの互換性をテストしてください。

一般的なタスクのための実用的なMSTSCコマンド

全画面または固定サイズのセッションを開始する

使用 /f または /フルスクリーン 全画面用。使用してください /w そして /h 予測可能なウィンドウサイズがより便利な場合。

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoftは200から8192ピクセルの範囲を文書化しています。 対応するために デスクトップ幅 そして デスクトップの高さ RDPのプロパティ。この文書化されたプロパティ範囲は、すべての解像度がすべてのクライアント、ホスト、またはモニターの構成で実用的であるという保証として扱われるべきではありません。

RDPファイルを開くか編集する

ファイルパスを渡すと接続が開きます。追加しています。 /編集 リモートデスクトップ接続でセッションをすぐに開始するのではなく、その設定を開きます。

mstsc "C:\Connections\Accounting Department.rdp" mstsc /edit "C:\Connections\Accounting Department.rdp"

RDゲートウェイを通じて接続する

The /v 値は宛先を特定しますが、 /g それに到達するために使用されるRDゲートウェイを特定します。Microsoftの文書 /g 読まれているとき /v も供給されています。

mstsc /v:server01.internal /g:gateway.example.com /prompt

インターネットアクセスルール： インターネットを介して目的地に到達する必要がある場合は、目的地のRDPリスナーを転送するのではなく、保護されたゲートウェイ、HTTPSエントリーポイント、リバースプロキシ、またはプライベートアクセスパスを使用してください。構文的に正しい /g または /v コマンドはクライアントが接続手順を持っていることのみを証明します。アクセスパスが安全に設計されていることを証明するものではありません。

既存のセッションをシャドウする

シャドウイングには既存のセッションのIDが必要です。 /制御 そのセッションとのインタラクションを要求しながら /noConsentPrompt MSTSCがセッションユーザーに同意を求めないように要求します。

mstsc /shadow:3 /control

認証、ポリシー、セッション状態および監査は引き続き適用されます。シャドウイングは管理者向けのRDS機能であり、技術者キュー、ユーザー向けの同意、およびヘルプデスク記録を持つ対面のリモートサポート製品の代替品ではありません。

複数のモニター: /multimon, /span, /l と selectedmonitors

4つのオプションは異なる問題を解決します。再利用可能なプロファイルにモニター設定を追加する前にモードを選択してください。

オプション	行動	要件または使用例
/multimon	モニターを認識するリモートセッションを作成し、ローカルの配置に従います。	アプリケーションが別々のリモートモニターを認識する必要がある場合に使用します
/span	モニターを跨いだ1つのオーバーサイズデスクトップを作成します	同じ解像度の水平に配置されたモニターが必要です
/l	モニターIDとジオメトリをリストします	モニターのサブセットを選択する前に実行してください
選択したモニター:s:	RDPファイル内の特定のモニターIDを選択します	マルチモニターモードと互換性のあるモニターレイアウトが必要です

/multimonを使用して、モニターを認識するリモートセッションを行います

/multimon リモートセッションでクライアント側のモニター配置を再現し、1つの大きな画面を表示するのではありません。リモート環境は、ホストの機能とポリシーに従って、ディスプレイを別々のモニターとして扱うことができます。

mstsc /v:server01 /multimon

互換性のある横レイアウトには/spanのみを使用してください

/span エイリアスではありません /multimon Microsoftは、モニターが同じ解像度を使用し、水平方向に整列することを要求します。ディスプレイの解像度が異なる場合や垂直オフセットがある場合は、代わりにマルチモニターモードを使用してください。

モニターIDを見つけて特定のモニターを選択する

最初にMSTSCが認識するモニターIDをリストします。その後、必要なIDを保存されたRDPファイルに配置します。

mstsc /l

multimon:i:1 選択されたモニター:s:0,2

Microsoftは、選択したモニターに対して追加のレイアウト制約を文書化しており、選択したセットが有効な長方形の配置を形成する必要があります。ディスプレイ、ドック、またはグラフィックス設定が変更されるとモニターの番号が変わる可能性があるため、意図したワークステーションでプロファイルをテストしてください。

リモートデスクトップキーボードショートカット

使用 Ctrl+Alt+End リモートの同等物を送信するために Ctrl+Alt+Del Windowsがインターセプトします Ctrl+Alt+Del ローカルで、MSTSCがリモートセッションのために異なる組み合わせを使用する理由です。

ローカルキーの組み合わせ	リモートアクション	制限
Ctrl+Alt+End	リモートのCtrl+Alt+Delの同等物	ネストされたセッションとRemoteAppは、コマンドが処理される場所を変更できます。
Ctrl+Alt+Break	ウィンドウ表示とフルスクリーン表示を切り替えます	一部のキーボードは、キーにPauseと表示されているか、Fnの組み合わせを必要とします。
Alt+Page Up	リモートアプリケーションを左から右に切り替えます	Alt+Tabのリモート対向
Alt+Page Down	リモートアプリケーションを右から左に切り替えます	リモートカウンターパートによるアプリケーション切り替えの逆転
Alt+Home	リモートスタートメニューを開く	リモートデスクトップセッションに適用されます
Ctrl+Alt+Plus	リモートセッションウィンドウ全体の画像をクリップボードにコピーします	マイクロソフトはテンキーのプラスキーを文書化しています
Ctrl+Alt+マイナス	アクティブなリモートウィンドウの画像をクリップボードにコピーします	Microsoftはテンキーのマイナスキーを文書化しています
Ctrl+Alt+Home	全画面モードで接続バーを有効にします	接続バーが隠れている場合に関連します

ウィンドウ表示、フルスクリーン、ネストされたセッションおよび RemoteApp セッションにおけるキーボードの動作

The キーボードフック RDPプロパティは、Windowsキーの組み合わせがローカル、リモート、またはフルスクリーンモードのリモートセッションのみに適用されるかどうかを制御します。ネストされたセッションはショートカットの別の可能な宛先を追加し、RemoteAppはすべてのフルデスクトップキーボード動作を再現しません。

誤ったコンピュータにキーの組み合わせが到達した場合は、まず単一のネストされていないセッションをテストし、確認してください。 キーボードフック 認証やホストのセキュリティ設定を弱めて、入力ルーティングの問題を解決しないでください。

デフォルト.rdpおよび再利用可能な.rdpファイル

MSTSCは、ユーザーごとのクライアント設定を隠しファイルに保存します。 Default.rdp 別々に名前を付けたRDPファイルは、特定の宛先、ゲートウェイ、モニターのレイアウト、およびリダイレクションルールのために他の場所に保存できます。

%USERPROFILE%\Documents\Default.rdp

Default.rdpとは何ですか

マイクロソフトの文書 Default.rdp ユーザーのドキュメントフォルダー内でリモートデスクトップ接続によって作成または更新された隠しファイルとして。これはそのユーザーのクライアント設定に影響します。名前を変更したりリセットしたりしても、リモートデスクトップを有効にしたり、リスナーを変更したり、リモートホストのポリシーを変更したりすることはできません。

古いクライアント設定が関与しているかどうかをテストするには：

1. すべてのリモートデスクトップ接続ウィンドウを閉じます。
2. バックアップまたは名前を変更 Default.rdp .
3. MSTSCを再度開いて、記憶されたクライアントの設定を再作成できるようにします。
4. 接続を再テストしてから、古い設定を新しいファイルにコピーしてください。

RDPファイル構文

RDPファイルはテキストベースの設定です。典型的な行は次のようになります。 プロパティ:タイプ:値 、どこ i 整数を特定し s 文字列を特定します。

フルアドレス:s:server01.internal  
スクリーンモードID:i:2  
マルチモニター使用:i:1  
クリップボードリダイレクト:i:1  

Microsoftによって文書化されたすべてのプロパティが、すべてのリモートPC、RDS、Azure Virtual Desktop、またはTSplus接続で同様に機能するとは限らないと仮定しないでください。MicrosoftのサポートされているRDPプロパティページは、いくつかのRDP製品をカバーし、プロパティごとに適用性を割り当てています。クライアントバージョン、ターゲットタイプ、サーバーポリシー、接続方法はすべて重要です。

スイッチ、ファイル設定、GUIの選択肢とポリシーがどのように相互作用するか

Microsoftは、すべてのコマンドスイッチ、RDPファイルプロパティ、グラフィック設定、グループポリシー、およびホストポリシーをカバーする普遍的な優先順位階層を公開していません。複数の場所で同じ動作を異なる方法で設定することは避けてください。

テストルール: 衝突を調査する必要がある場合は、一時的なプロファイルを使用し、Windowsビルド、クライアントバージョン、ターゲットタイプ、および有効なポリシーを記録します。一度に1つの値を変更します。クライアント設定は、要求された動作を禁止するホストまたはコレクションポリシーを上書きすることはできません。

RDPファイルパラメータリファレンス

以下の表は、MSTSCで特に便利なプロパティをカバーしています。値はMicrosoftがサポートするRDPプロパティのドキュメントを反映していますが、Microsoftの適用性ラベルは各接続製品に対して権威があります。あるMicrosoft RDP製品に対して文書化されているプロパティが、他のすべてのターゲットとの互換性を確立するわけではありません。

宛先、アイデンティティおよび認証プロパティ

プロパティとタイプ	受け入れられた値	目的	セキュリティまたは適用性に関する注意事項
フルアドレス:s:	ホスト名またはアドレス（ポートを含めることも可）	主要な目的地を特定します	ファイルを配布する前に本人確認を行ってください。
代替の完全な住所:s:	代替ホスト名またはアドレス	サポートされている場合、代替接続アドレスを提供します。	RDP製品によって適用性が異なります
ユーザー名:s:	必要なアカウント形式のユーザー名	アカウント名を事前入力します	保存された名前を安全な資格情報ストレージと混同しないでください
ドメイン:s:	ドメイン名	認証ドメインを事前に入力します	アカウント形式とアイデンティティプロバイダーは、サインインを引き続き制御します。
資格情報を入力してください:i:	0または1	ユーザーに資格情報の入力を求めるかどうかを制御します。	ポリシーは依然としてプロンプトを要求することがあります。
プロンプト資格情報一度:i:	0または1	ゲートウェイと宛先の認証情報がサポートされている場合に、一度だけ要求されるかどうかを制御します。	ゲートウェイとターゲットの認証方法は互換性がなければなりません
認証レベル:i:	0、1または2	サーバー認証の失敗を無視するか、接続をブロックするか、警告を生成するかを選択します。	管理された環境に適した厳格な設定を使用してください。アイデンティティ警告を日常的に抑制しないでください。
enablecredsspsupport:i:	0または1	資格情報セキュリティサポートプロバイダーの使用を適用可能な場合に制御します	変更すると認証およびネットワークレベル認証の互換性に影響します
セキュリティレイヤーを交渉する:i:	0または1	サポートされている場合、セキュリティレイヤーの交渉を制御します	交渉をルーチンのトラブルシューティング手順として無効にしないでください

再利用可能なファイルには埋め込まれた平文のパスワードを含めるべきではありません。接続プロファイル内に秘密を配布するのではなく、承認された資格情報ストレージと認証コントロールを使用してください。

表示および監視プロパティ

プロパティとタイプ	受け入れ可能な値または範囲	目的	対照または注記
画面モード id:i:	1 ウィンドウ表示, 2 フルスクリーン	初期表示モードを設定します	/fおよび/fullscreenに関連する
デスクトップ幅:i:	200から8192ピクセル	リモートデスクトップの幅を設定します	関連する /w
desktopheight:i:	200から8192ピクセル	リモートデスクトップの高さを設定します	/hに関連する
セッション bpp:i:	15, 16, 24 または 32	セッションの色深度を設定	ホストサポートとポリシーがそれを制約する可能性があります
マルチモニターを使用する:i:	0または1	モニター認識マルチモニターセッションを有効にします	/multimonに関連する
選択したモニター:s:	カンマ区切りのモニターID	ローカルモニターのサブセットを選択します	mstsc /lを使用してIDを見つけます; マルチモニタモードが必要です
スパンモニター:i:	0または1	モニターにまたがる1つのデスクトップ	関連する /span; 同じ解像度の水平レイアウトが必要です
スマートサイズ:i:	0または1	クライアントウィンドウに表示されるリモートデスクトップのサイズを調整します	スケーリングはリモート解像度を動的に変更しません。
動的解像度:i:	0または1	クライアントウィンドウのサイズが変更されると、リモート解像度を調整します。	サポートはクライアントとターゲットに依存します
desktopscalefactor:i:	Microsoftが文書化したスケーリングパーセンテージ	デスクトップスケールを適用可能な場所で設定します	デプロイ前にプロパティの製品適用性を確認してください
デバイススケールファクター:i:	Microsoftが文書化したデバイススケール値	デバイス関連のスケーリングを適用可能な場合に制御します	すべてのターゲットタイプに共通のMSTSC設定ではありません

キーボード、オーディオ、ローカルリソースのリダイレクション

プロパティとタイプ	受け入れられた値	目的	ポリシーの考慮
キーボードフック:i:	0 ローカル, 1 リモート, 2 フルスクリーンのリモート	Windowsキーの組み合わせが適用される場所を制御します	ネストされたセッションとRemoteAppセッションは異なる動作をすることがあります
オーディオモード:i:	0 ローカルでプレイ, 1 リモートでプレイ, 2 無効化	オーディオ再生を制御する	ホストポリシーはオーディオリダイレクションを制限できます
オーディオキャプチャモード:i:	0または1	マイクロフォンキャプチャリダイレクションを無効または有効にします	ワークフローが必要なときのみ有効にしてください
リダイレクトクリップボード:i:	0または1	クリップボードリダイレクションを制御する	データをどちらの方向にも移動できます; ホストポリシーがそれをブロックすることがあります
リダイレクトプリンター:i:	0または1	プリンタのリダイレクションを制御する	ドライバーおよびホストポリシーの要件は引き続き適用されます
リダイレクトドライブ:i:	0または1	ドライブのリダイレクション動作を広範囲に制御する	ユーザーがローカルファイル転送を必要としない場合はアクセスを制限します。
drivestoredirect:s:	特定のドライブリスト、*はすべて、またはサポートされている動的ドライブ値	リモートで利用可能なドライブを選択します	タスクをサポートする最も狭いリストを使用してください
リダイレクトコンポート:i:	0または1	シリアルポートのリダイレクションを制御します	クライアント、ホスト、およびポリシーに依存します
リダイレクトスマートカード:i:	0または1	スマートカードリダイレクションを制御する	認証アーキテクチャとポリシーがそれが機能するかどうかを決定します

一般的な間違い： リダイレクションプロパティを設定することにより 1 クライアント側からのみ機能を要求します。ホスト、RDS コレクション、またはグループ ポリシーがそれを許可していることを証明するものではありません。デバイス、USB、および WebAuthn プロパティは接続固有の適用性も持っているため、組織プロファイルに追加する前に現在の Microsoft プロパティ ページを確認してください。

ゲートウェイのプロパティ

プロパティとタイプ	受け入れられた値	目的	運用ノート
gatewayhostname:s:	ゲートウェイホスト名	RDゲートウェイを識別します	ゲートウェイ証明書と一致する必要があります
ゲートウェイ使用方法:i:	Microsoftが文書化したコード0から4	ゲートウェイを選択しない、必要な使用、条件付き使用、または構成されたデフォルトの動作	MSTSCゲートウェイインターフェースを使用して、可能な場合は意図した値を生成します。
gatewaycredentialssource:i:	パスワード、スマートカード、後の選択またはサポートされているウェブ認証のための文書化されたコード	ゲートウェイ認証情報ソースを選択します	ゲートウェイ認証設定に依存します
gatewayprofileusagemethod:i:	0または1	デフォルトまたは明示的なゲートウェイプロファイル設定が使用されるかどうかを制御します	GUI生成の値は、展開ドキュメントに別途指定されていない限り保持してください。
プロンプト資格情報一度:i:	0または1	ゲートウェイと宛先認証のための1つのプロンプトの再利用を制御します	互換性のないアイデンティティシステムを統合しません

ゲートウェイプロファイルは、内部の宛先を特定する必要があります。宛先を公開RDPリスナーとして露出させたままゲートウェイホスト名を追加することは、保護されたエントリーパスを使用する目的に反します。

パフォーマンスと接続体験の特性

プロパティとタイプ	受け入れられた値	目的	ガイダンス
ネットワーク自動検出:i:	0または1	自動ネットワーク検出を有効にします	通常、接続に関する固定的な仮定よりも好ましい
帯域幅自動検出:i:	0または1	帯域幅検出を有効にします	互換性のあるネットワーク検出動作が必要です
接続タイプ:i:	1から7	低速接続をLAN経由で分類するか、自動検出します。	自動検出により、多くの環境で手動調整が二次的なものになります。
圧縮:i:	0または1	RDPデータ圧縮を制御する	古い調整アドバイスに基づいて無効にしないでください
壁紙を無効にする:i:	0または1	デスクトップの壁紙が抑制されるかどうかを制御します	不要な視覚データを削減できます。
フォントスムージングを許可する:i:	0または1	フォントスムージングを制御	テキストの外観と接続コストのバランスを取ります
デスクトップ合成を許可する:i:	0または1	サポートされている場合、デスクトップ合成を制御します	適用性はクライアントとターゲットによります。

RemoteAppのプロパティ

RDPファイルは個別に公開されたアプリケーションを要求できますが、そのファイル自体がそのアプリケーションを公開することはできません。サーバー側の環境がプログラムを公開し、ユーザーを認証する必要があります。

プロパティとタイプ	受け入れられた値	目的	要件
リモートアプリケーションモード:i:	0または1	リモートアプリモードを有効にします	互換性のある出版環境が必要です
リモートアプリケーションプログラム:s:	公開アプリケーション識別子	プログラムを特定して開始します	サーバー公開アプリケーションと一致する必要があります
リモートアプリケーション名:s:	表示名	ユーザーに表示されるアプリケーション名を提供します	アクセスを許可しません
リモートアプリケーションコマンドライン:s:	サポートされているコマンドラインパラメータ	アプリケーションに許可された引数を渡します	サーバーポリシーとアプリケーション設定は引数を制限できます

.rdpファイルを無害なショートカットではなく、設定として扱います。

RDPファイルは、ユーザーを宛先に誘導し、ゲートウェイの動作を要求し、クリップボード、ドライブ、プリンター、またはスマートカードなどの転送パスを有効にすることができます。これにより、単なるデスクトップアイコンではなく、セキュリティ上の影響を伴う運用構成となります。

• ファイルを承認する前に、宛先とゲートウェイを確認してください。
• クリップボード、ドライブ、プリンター、スマートカード、オーディオおよび資格情報関連の設定を確認してください。
• 環境が発行者の検証を必要とする場合、組織ファイルに署名します。
• グループポリシーを使用して、署名されていないファイル、署名されたファイル、および信頼されていないファイルの取り扱いを定義します。

署名されたファイルと信頼できる発行者

マイクロソフトのRDPファイルセキュリティガイダンス 2026年7月14日付けで、Remote Desktop ConnectionがRDPファイルを処理する方法を制御する3つのグループポリシー領域について説明しています：署名されていないファイルのルール、署名されたファイルのルール、および明示的に信頼された発行者リスト。ガイダンスには、2026年に導入されたSHA-2証明書のサムプリントとセキュリティダイアログの変更も含まれています。

マイクロソフトの高セキュリティ環境における立場は、ユーザーが明示的に信頼された発行者によって署名されたRDPファイルに制限され、他のファイルはブロックされる可能性があるということです。

組織のリスクレベルに正確に一致するポリシーであるべきであり、すべてのユーザーが警告を正しく解釈することに依存すべきではありません。

ポート、カスタムポートおよびポートフォワーディング

MSTSCコマンドのポートは、クライアントに接続先を指示します。サーバーのリスナー、ファイアウォール、証明書、ゲートウェイ、またはネットワークアドレス変換の設定は変更されません。

ポートと輸送	役割	接続コンテキスト
TCPおよびUDP 3389	標準直接RDPポート	クライアントからホストへ、一般的には内部または保護されたネットワーク上で
TCP 443	RD Gatewayへの外部HTTPSトラフィック	クライアントからゲートウェイへ
UDP 3391	RDゲートウェイを介したUDP上のRDP	クライアントからゲートウェイへ（有効な場合）

これら RDP ポート 来る マイクロソフトの2026年2月のRDSポートリファレンス それらはネットワークの事実であり、TCPまたはUDP 3389を公開することを推奨するものではありません。

非デフォルトポートに接続する

宛先にコロンの後にポートを追加します。これは、ホストがすでにそのポートでリッスンしており、保護されたネットワークパスがそれを許可している場合にのみ機能します。

mstsc /v:server01.internal:3390

MSTSCはホストのリスニングポートを変更できません

リスナーの変更は、Windowsの設定、Remote Desktop Services、ファイアウォールルール、および上流ネットワーク制御を含むホスト側の調整された操作です。 MicrosoftはRDSが別のポートを使用できると述べていますが、ポートの変更は推奨していません。 通常のアプローチとして。

カスタムポートは自動化されたノイズを減少させる可能性がありますが、それ自体はセキュリティ制御ではありません。リスナーを変更する必要がある場合は、専用のポート変更ガイドを使用し、クライアントコマンドを変更手順として扱うのではなく、検証とロールバックを計画してください。

生のRDPポートを公開インターネットに転送しないでください

決定ルール： 内部アクセスまたはすでにプライベートネットワークによって保護されている場合は、内部ホストおよびリスナーに接続します。アクセスがインターネットを越える場合は、HTTPS、RD Gateway、リバースプロキシ、またはMFAおよびアクセス制御を備えた別の保護されたエントリーポイントを使用してください。ポート3389やカスタムRDPリスナーポートを直接インターネットに公開しないでください。

RDPは設計上不安全ではありません。RDPリスナーが公に公開されている場合、資格情報が弱いまたは再利用されている場合、システムがパッチ適用されていない場合、アクセス試行が監視されていない場合にリスクが増加します。 CISA、FBI、オーストラリア信号局が推奨しました 2024年11月20日のBianLianアップデートでは、組織がRDPを厳しく制限し、未使用のポートを閉じ、ロックアウトを強制し、フィッシング耐性のあるMFAを使用し、アクセス試行を記録することが求められています。

MSTSCが動作しない: 障害のあるレイヤーを特定する

失敗したMSTSC接続は、クライアントプロファイル、DNS、ネットワークパス、ホストリスナー、認証、承認、ゲートウェイ、または表示設定に起因する可能性があります。エラーが変わるまでセキュリティ設定を弱めるのではなく、これらのレイヤーを順番にテストしてください。

1. クライアントとプロファイルを確認する

実行 mstsc /? クライアントが起動することを確認し、利用可能な構文を検査します。保存されたRDPファイルなしで宛先をテストします。クリーン接続が機能する場合は、ファイルを新しく作成したプロファイルと比較するか、リセットしてテストします。 Default.rdp .

DNSとポートの到達可能性を確認する

宛先名を解決し、クライアントネットワークからリスナーポートをテストします。実際の内部ホストと設定されたポートを使用してください。

Resolve-DnsName server01.internal  
Test-NetConnection server01.internal -Port 3389

失敗したDNSルックアップは、ポートがブロックされた解決済みホストとは異なります。成功したポートテストは基本的な到達可能性のみを証明します。それは、アカウントが認証されていることや認証が成功することを証明するものではありません。

3. ホストサービスとリスナーを確認する

ホストで、リモートデスクトップが有効になっていることを確認し、関連するサービスを検査します。Microsoftのトラブルシューティングドキュメントでは、特定されています。 タームサービス そして UmRdpService ホスト側コンポーネントとしてチェックするために。

Get-Service TermService, UmRdpService

リスナーの状態、ポートの競合、ファイアウォールのルール、およびホストの設定はMSTSCクライアントによって制御されません。これらの項目をホスト上または適用されるサーバー管理プロセスを通じて調査してください。

4. 身元、認証、NLA、およびポリシーを確認する

到達可能なリスナーは接続を拒否することができます。アカウント形式、パスワードの状態、アカウントのロックアウト、Remote Desktopのサインイン権限、グループメンバーシップ、ネットワークレベル認証の要件、および有効なグループポリシーを確認してください。

使用しないでください /admin 拒否された資格情報に対する応答として。要求されたセッションタイプを変更しますが、ユーザーのアイデンティティや権限は変更しません。

5. ゲートウェイと証明書のエラーを別々に確認する

ゲートウェイ認証、ゲートウェイ到達性、ゲートウェイからターゲットへの到達性およびターゲット認証は別々の段階です。証明書の警告もアイデンティティの問題であり、「RDPがダウンしている」という一般的な証拠ではありません。要求された名前が証明書と一致し、発行チェーンが信頼されていることを確認してください。

6. 表示およびリダイレクション変数を削除する

1つのモニターと最小限のローカルリソースのリダイレクションで再テストします。それが機能する場合は、モニター、クリップボード、ドライブ、プリンター、およびオーディオ設定を1つずつ戻します。

NLA、証明書の検証、または暗号化をルーチンの最初の応答として無効にしないでください。 専用のリモートデスクトップトラブルシューティングガイドは、これらの制限されたテストが失敗している層を特定する際に、診断をさらに進めることができますが、その原因は特定できません。

Linuxクライアント、接続マネージャーおよびMSTSCの代替品

実際の仕事に基づいて代替案を選択してください。Linux RDPの実装、Windows接続マネージャー、中央集権的なアプリケーション公開、およびリモートサポート製品は、異なる問題を解決します。

必要	適切なカテゴリ	例と主な制限
従来のWindows RDP接続	組み込みのWindowsクライアント	MSTSC; Windows専用で、パブリッシングシステムではありません
多くの保存されたWindows RDPエンドポイント	接続マネージャー	Microsoft Sysinternals RDCMan; 接続を整理しますが、アクセスアーキテクチャは作成しません。
LinuxからのRDP	クロスプラットフォームRDP実装	FreeRDP; 構文はインストールされたバージョンに対して確認する必要があります
割り当てられたWindowsアプリケーションまたはデスクトップ	集中型リモートアクセス配信	アプリケーション配信システム; サーバー側の展開と認証が必要です
ユーザーのデバイスのヘルプデスク管理	リモートサポートソフトウェア	技術者およびサポートワークフロー向けに設計されていますが、中央アプリケーション配信ではありません。

mstsc.exeのLinux版はありません

mstsc.exe はWindows実行可能ファイルです。 FreeRDP メンテナンスされたオープンソースのクロスプラットフォームRDP実装であり、 xfreerdp プロジェクトに関連する一般的なLinuxクライアントです。

FreeRDPのコマンド構文はメジャーバージョン間で変更される可能性があります。インストールされたクライアントを確認してください。 --ヘルプ 出力と現在のFreeRDPドキュメントを確認せずに古いコマンドをコピーする代わりに。

多くの保存されたWindows接続のためにリモートデスクトップ接続マネージャーを使用してください。

Microsoft Sysinternalsはリモートデスクトップ接続マネージャーのポジションを提供しています。 RDCManや多くのRemote Desktop接続の管理者として。マイクロソフトは2026年10月15日にRDCManバージョン3.22を文書化しました。

RDCManは、サーバーグループ、継承された設定、サムネイル、資格情報ストア、および接続グループに適用されるアクションをサポートしています。管理用のRDPセッションを整理しますが、アプリケーションを公開したり、RDゲートウェイを置き換えたり、リモートサポートのワークフローを提供したり、アクセスパスのセキュリティを決定したりすることはありません。

実際の仕事によって代替案を選択してください

• Windowsから個別の従来のRDP接続にMSTSCを使用します。
• Windows管理者が多くのRDPエンドポイントを整理する必要があるときは、RDCManを使用してください。
• LinuxでFreeRDPなどのメンテナンスされたRDPクライアントを使用してください。
• リモートサポートソフトウェアを使用して、有人または無人のヘルプデスクコントロールを行います。
• ユーザーが中央で割り当てられたWindowsアプリケーションやデスクトップを必要とする場合は、アプリケーション配信システムを使用してください。

MSTSCを使用したTSplus Remote Access

TSplus Remote Accessは、Microsoft MSTSC、別のRDP互換クライアント、生成されたクライアント、またはブラウザアクセスを通じて、割り当てられたWindowsアプリケーションやフルデスクトップを提供できます。MSTSCはサポートされている接続方法の1つであり、製品アーキテクチャ全体ではありません。

MSTSCは一つの接続方法です

と共に 文書化されたMSTSCメソッド ユーザーは、TSplus Remote Accessによって提供されるリソースに標準のRemote Desktopウィンドウを介して接続します。このMSTSC接続方法では、Universal Printerはサポートされていません。

ブラウザアクセスは別の接続体験であり、TSplus Remote Access Web Mobile Edition以上が必要です。生成されたクライアントは別のオプションであり、サポートできます。 文書化されたモニター選択 選択した接続タイプに対して互換性を確認する必要があり、すべてのMicrosoft RDPプロパティがTSplus Remote Accessで検証されていると仮定するべきではありません。

中央集権的な公開がより多くの .rdp ファイルよりも便利な場合

MSTSCを保持してください。要求が既知のエンドポイントのための単純なRDPクライアントである場合。考慮してください。 TSplus リモートアクセス ユーザーやサーバーごとに孤立したRDPファイルを維持するのではなく、Windowsアプリケーションやデスクトップを中央で公開して割り当てることが本当のタスクです。

多くの展開は1台のサーバーを使用できます。ゲートウェイ、ファーム、負荷分散機能にはTSplus Remote Access Enterprise Editionが必要であり、ファームは必須条件ではなくオプションです。TSplus Remote Accessは完全なVDIではなく、顧客のインフラストラクチャをホストしません。

ユーザーが個別のRDPファイルの増加ではなく、中央で割り当てられたWindowsアプリケーションやデスクトップを必要とする場合は、TSplus Remote Accessのエディションと接続方法を比較してください。

TSplusの2FA制限とMSTSC

接続方法の制限： TSplus 二要素認証 有料のアドオンで、TSplus Remote Access Web MobileまたはEnterprise Editionが必要です。Microsoftでは動作しません。 mstsc.exe 直接RDP接続は、TSplus 2FAが有効なユーザーには拒否されるため、そのユーザーはサポートされているウェブポータルまたは互換性のある生成クライアントを通じて接続する必要があります。

MFAはリモートおよび管理アクセスの基本基準であるべきですが、それは一つの層に過ぎません。パッチ適用、ロックアウト、ブルートフォース保護、最小特権、セグメンテーション、監視と組み合わせる必要があります。

制限されたセキュリティとライセンスのチェックリスト

MSTSCはクライアント接続を制御します。そのスイッチと保存された設定は、全体の展開を保護またはライセンスすることはできません。接続を本番環境に投入する前に、周囲のアーキテクチャを確認してください。

• パブリックインターネット上で生のRDPリスナーをオフにしてください。
• ゲートウェイ、HTTPSエントリーポイント、リバースプロキシ、または保護されたプライベートパスを使用してください。
• ウェブおよびゲートウェイのエントリーポイントには有効な証明書を使用してください。
• MFAをサポートする接続方法を通じて要求します。
• 最小特権の強制、アカウントロックアウトおよび RDPブルートフォース保護 .
• ユーザーベースが許可する場合、ソースIPアドレス、国、または信頼できるデバイスを制限します。
• ワークフローに必要のないクリップボード、ドライブ、プリンター、およびデバイスのリダイレクションを無効にします。
• パッチWindows、リモートアクセスソフトウェアおよびセキュリティツール。
• 使用 TSplusサーバーモニタリング アクティブセッションとサーバーの健康を監視するために。
• ネットワークをセグメント化し、未使用のポートとサービスを無効にします。
• 管理者アカウントを日常のユーザーアカウントから分離してください。
• アクセス設定をバックアップし、復元をテストします。
• Windows Server、RDS CAL、Office、および Microsoft 365 のライセンスを Microsoft または資格のあるライセンスパートナーと確認してください。

MSTSCはアクセスパスのクライアントの一つです。正しいコマンドまたはRDPファイルは接続を確立できますが、それが展開が安全で、適切に認可され、適切にライセンスされていることを確立するわけではありません。

あなたは始めることができます TSplus Remote Accessの無料15日間トライアル 自分のWindowsインフラストラクチャでアプリケーションとデスクトップ配信をテストし、その構成に必要なMicrosoftライセンスを確認してください。