リモートデスクトップサービスの公開アプリケーションを起動した際、接続が拒否される

Question

【背景】

APサーバ（WindowsServer2022）のリモートデスクトップサービスのコレクションにドメインユーザのグループ（グループA）を接続ユーザとしてというアプリケーション（アプリB）を公開しました。

また、「グループA」に属するユーザが「アプリB」を起動した際、以下のメッセージが表示されて起動できない状況です。

「このユーザーアカウントはリモートログインを許可されていないため、接続は拒否されました。」

なお、APサーバの「Remote Desktop Users」グループに「グループA」を登録した際はエラーなく「アプリB」が起動されます。

【質問】

１．リモートデスクトップサービスへのユーザ設定

リモートデスクトップサービスをアプリケーションで利用する際に「Remote Desktop Users」グループへの登録は必須でしょうか。

なお、登録必須による以下の対応についてご教授いただけますと幸いです

①「Remote Desktop Users」グループへの登録が不要な場合

上記環境での設定が不十分である認識ですが、不足している設定または誤った設定がされている場合、どこに原因があるかご教授いただけないでしょうか。

②「Remote Desktop Users」グループへの登録が必要な場合

「グループA」のユーザはAPサーバでは一般ユーザとしての扱いのため、セキュリティを考慮してサーバ操作をさせたくありません。アプリケーションの利用ユーザである「グループA」に登録されたユーザがAPサーバにリモート接続させないようにする設定をご教授いただけないでしょうか。

Answer 1

リモートデスクトップ接続が許可されるのは、ログオン際のサーバーに適用されるセキュリティポリシーで [ユーザー権利の割り当て] - [リモートデスクトップ サービスを使ったログオンを許可] で許可されているユーザー/グループです。

スクリーンショットのように既定では Administrators と Remote Desktop Users が登録されているので、Remote App を含むリモートデスクトップ接続にはこのいずれかのグループに所属している必要があります。

[リモートデスクトップ サービスを使ったログオンを許可] の権利があれば Remote App とデスクトップの両方でアクセスできますが、サーバーの操作を行わせたくなければそのサーバーでの（ローカルの）アクセス権をポリシーで制限することは可能でしょう。

また以下のような方法もあるようです（未検証）。

https://orebibou.com/ja/home/201503/20150327_002/