Windows リモート管理のインストールと構成

[アーティクル]
07/15/2024

Windows リモート管理 (WinRM) スクリプトを実行し、Winrm コマンドラインツールでデータ操作を実行するには、WinRM のインストールと構成を両方とも実行する必要があります。

次の要素は、WinRM 構成にも依存します。

WinRM のインストール場所

WinRM は、現在サポートされているすべてのバージョンの Windows オペレーティングシステムと共に自動的にインストールされます。

WinRM と IPMI の構成

次の WinRM および Intelligent Platform Management Interface (IPMI) WMI プロバイダーコンポーネントは、オペレーティングシステムと共にインストールされます。

WinRM サービスは、Windows Server 2008 以降で自動的に開始されます。以前のバージョンの Windows (クライアントまたはサーバー) では、サービスを手動で開始する必要があります。
既定では、WinRM リスナーは構成されません。 WinRM サービスが実行されている場合でも、データを要求する WS-Management プロトコルメッセージを受信または送信することはできません。
インターネット接続ファイアウォール (ICF) は、ポートへのアクセスをブロックします。

winrm コマンドを使用し、コマンドプロンプトで次のコマンドを入力してリスナーとアドレスを検索します。

winrm enumerate winrm/config/listener

構成設定の状態を確認するには、次のコマンドを入力します。

winrm get winrm/config

既定のクイック構成

ローカルコンピューターで WS-Management プロトコルを有効にし、コマンド winrm quickconfig を使用してリモート管理の既定の構成をセットアップします。

winrm quickconfig コマンド (winrm qc に省略可能) は、次の操作を実行します。

WinRM サービスを開始し、サービスのスタートアップの種類を auto-start に設定します。
任意の IP アドレスで HTTP または HTTPS を使用して、WS-Management プロトコルメッセージを送受信するポート用リスナーを構成します。
WinRM サービスの ICF 例外を定義し、HTTP および HTTPS のポートを開きます。

Note

コマンド winrm quickconfig は、現在のユーザープロファイルに対してのみファイアウォールの例外を作成します。何らかの理由でファイアウォールプロファイルが変更された場合は、ファイアウォールの例外を有効にするために、winrm quickconfig を実行します (そうしなければ、例外が有効にならない可能性があります)。

構成のカスタマイズに関する情報を取得するには、コマンドプロンプトで次のコマンドを入力します。

winrm help config

既定の設定で WinRM を構成するには

ローカルコンピューターの管理者アカウントとして実行されているコマンドプロンプトで、次のコマンドを実行します。
```
winrm quickconfig
```
ローカルコンピューターの管理者として実行していない場合は、スタート メニューから [管理者として実行] を選択するか、コマンドプロンプトで Runas コマンドを使用します。

ツールで [これらの変更を行いますか [y/n]?] と表示されたら、「y」と入力します。

構成が成功すると、次の出力が表示されます。

WinRM has been updated for remote management.

WinRM service type changed to delayed auto start.
WinRM service started.
Created a WinRM listener on https://* to accept WS-Man requests to any IP on this machine.

WinRM のクライアントコンポーネントとサーバーコンポーネントの既定の設定をそのまま使用するか、カスタマイズします。たとえば、クライアント構成 TrustedHosts 一覧に特定のリモートコンピューターを追加する必要がある場合があります。

相互認証を確立できない場合は、信頼できるホスト一覧を設定します。 Kerberos では相互認証が可能です、ワークグループでは使用できません。ドメインのみです。ワークグループに信頼できるホストを設定する場合のベストプラクティスは、リストを可能な限り制限することです。
次のコマンドを入力して HTTPS リスナーを作成します。
```
winrm quickconfig -transport:https
```
Note

HTTPS トランスポートが機能するようにポート 5986 を開きます。

リスナーと WS-Management プロトコルの既定の設定

リスナー構成を取得するには、コマンドプロンプトで「winrm enumerate winrm/config/listener」と入力します。リスナーは、トランスポート (HTTP または HTTPS) と IPv4 または IPv6 アドレスによって定義されます。

winrm quickconfig コマンドは、リスナーに対して次の既定の設定を作成します。リスナーは複数作成できます。詳細を確認するには、コマンドプロンプトで「winrm help config」と入力してください。

番地

このリスナーが作成されるアドレスを指定します。

トランスポート

WS-Management プロトコルの要求と応答を送受信するためのトランスポートを指定します。値は HTTP または HTTPS のいずれかでなければなりません。既定値は HTTP です。

ポート

このリスナーが作成された TCP ポートを指定します。

WinRM 2.0: 既定の HTTP ポートは 5985 です。

hostname

WinRMサービスが実行されているコンピューターのホスト名を指定します。値は完全修飾ドメイン名、または IPv4 もしくは IPv6 のリテラル文字列、またはワイルドカード文字のいずれかにする必要があります。

Enabled

リスナーが有効であるか、無効であるかを指定します。デフォルト値は True です。

URLPrefix

HTTP 要求または HTTPS 要求を受け入れる URL プレフィックスを指定します。この文字列で使用できるのは、a から z、A から Z、9 から 0、アンダースコア (_)、スラッシュ (/) のみです。文字列の先頭と末尾をスラッシュ (/) にすることはできません。たとえば、コンピューター名が SampleMachine の場合、WinRM クライアントは宛先アドレスに https://SampleMachine/<URLPrefix> を指定します。既定の URL プレフィックスは wsman です。

CertificateThumbprint

サービス証明書の拇印を指定します。この値は、証明書の Thumbprint フィールドにある 2 桁の 16 進数の値の文字列を表します。この文字列には証明書の SHA-1 ハッシュが含まれています。証明書は、クライアント証明書ベースの認証で使用されます。証明書は、ローカルユーザーアカウントにのみマップできます。証明書はドメインアカウントでは機能しません。

ListeningOn

リスナーが使用する IPv4 アドレスと IPv6 アドレスを指定します。たとえば、111.0.0.1, 111.222.333.444, ::1, 1000:2000:2c:3:c19:9ec8:a715:5e24, 3ffe:8311:ffff:f70f:0:5efe:111.222.333.444, fe80::5efe:111.222.333.444%8, fe80::c19:9ec8:a715:5e24%6 のようにします。

プロトコルの既定の設定

MaxEnvelopeSizekb や SoapTraceEnabled などの構成設定の多くは、WinRM クライアントおよびサーバーコンポーネントと WS-Management プロトコルの対話方法を決定します。次のセクションでは、利用できる構成設定について説明します。

MaxEnvelopeSizekb

簡易オブジェクトアクセスプロトコル (SOAP) の最大データをキロバイト単位で指定します。既定値は 150 KB です。

Note

MaxEnvelopeSizekb が 1039440 よりも大きい値に設定されている場合、動作はサポートされません。

MaxTimeoutms

Pull 要求以外の要求に使用できる最大タイムアウト (ミリ秒単位) を指定します。既定値は 60000 です。

MaxBatchItems

Pull レスポンスで使用できる要素の最大数を指定します。既定値は 32000 です。

MaxProviderRequests

サービスで許可される同時要求の最大数を指定します。既定値は 25 です。

WinRM 2.0: この設定は非推奨であり、読み取り専用に設定されています。

WinRM クライアントの既定の構成設定

WinRM のクライアントバージョンには、次の既定の構成設定があります。

NetworkDelayms

ネットワーク遅延時間としてクライアントコンピューターが待機する延長時間をミリ秒で指定します。既定値は 5000 ミリ秒です。

URLPrefix

HTTP 要求または HTTPS 要求を受け入れる URL プレフィックスを指定します。既定の URL プレフィックスは wsman です。

AllowUnencrypted

暗号化されていないトラフィックの要求をクライアントコンピューターに許可します。既定では、クライアントコンピューターには暗号化されたネットワークトラフィックが必要であるため、この設定は False になります。

基本

Basic 認証の使用をクライアントコンピューターに許可します。 Basic 認証はユーザー名とパスワードが平文でサーバーまたはプロキシに送信されるスキームです。この手法は最も安全性が低い認証方法です。既定値は Trueです。

Digest

Digest 認証の使用をクライアントに許可します。 Digest 認証はサーバーで指定されたデータ文字列をチャレンジで使用するチャレンジ/レスポンススキームです。クライアントコンピューターだけが Digest 認証要求を開始できます。

クライアントコンピューターは認証要求をサーバーに送信し、サーバーからトークン文字列を受け取ります。次に、クライアントコンピューターは、ユーザー名、およびトークン文字列と組み合わせたパスワードの暗号化ハッシュを含むリソース要求を送信します。

Digest 認証は HTTP と HTTPS でサポートされます。 WinRM シェルのクライアントのスクリプトとアプリケーションではダイジェスト認証を指定できますが、WinRM サービスはダイジェスト認証を受け入れていません。既定値は、True です。

Note

HTTP のダイジェスト認証は安全であるとはみなされません。

[証明書]

クライアント証明書ベースの認証の使用をクライアントに許可します。証明書ベースの認証は、サーバーが X509 証明書によって識別されるクライアントを認証するスキームです。既定値は Trueです。

Kerberos

Kerberos 認証の使用をクライアントに許可します。 Kerberos 認証は、クライアントとサーバーが Kerberos 証明書を利用して互いに認証するスキームです。既定値は Trueです。

ネゴシエート

ネゴシエート認証の使用をクライアントに許可します。 Negotiate 認証は、クライアントがサーバーに要求を送信して認証するスキームです。

Kerberos プロトコルまたは NT LAN Manager (NTLM) のどちらを使用するかは、サーバーが決定します。ドメインアカウントを認証するために Kerberos プロトコルが選択されています。 NTLM は、ローカルコンピューターアカウントに対して選択されます。ドメインユーザーのユーザー名は、domain\user_name 形式で指定する必要があります。サーバーコンピューター上のローカルユーザーのユーザー名は、server_name\user_name 形式で指定する必要があります。既定値は、True です。

CredSSP

Credential Security Support Provider (CredSSP) 認証の使用をクライアントに許可します。 CredSSP を使用すると、アプリケーションはユーザーの資格情報をクライアントコンピューターからターゲットサーバーに委任できます。既定値は、False です。

DefaultPorts

クライアントが HTTP または HTTPS に使用するポートを指定します。

WinRM 2.0: 既定の HTTP ポートは 5985 で、既定の HTTPS ポートは 5986 です。

TrustedHosts

信頼できるリモートコンピューターの一覧を指定します。ワークグループ内の他のコンピューター、または別のドメイン内のコンピューターをこの一覧に追加する必要があります。

Note

信頼できるホスト一覧に含まれるコンピューターは認証されません。クライアントは、そうしたコンピューターに資格情報を送信する場合があります。

信頼できるホストに IPv6 アドレスが指定されている場合は、次の Winrm ユーティリティコマンドで示されているように、アドレスを角かっこで囲む必要があります。

winrm set winrm/config/client '@{TrustedHosts ="[0:0:0:0:0:0:0:0]"}'

コンピューターを TrustedHosts リストに追加する方法の詳細を確認するには、「winrm help config」と入力します。

WinRM サービスの既定の構成設定

WinRM のサービスバージョンには、次の既定の構成設定があります。

RootSDDL

リスナーへのリモートアクセスを制御するセキュリティ記述子を指定します。既定値は、O:NSG:BAD:P(A;;GA;;;BA)(A;;GR;;;ER)S:P(AU;FA;GA;;;WD)(AU;SA;GWGX;;;WD) です。

MaxConcurrentOperations

同時操作の最大数です。既定値は、100 です。

WinRM 2.0: MaxConcurrentOperations 設定は非推奨であり、読み取り専用に設定されています。この設定は、MaxConcurrentOperationsPerUserに置き換えられました。

MaxConcurrentOperationsPerUser

任意のユーザーが同じシステムでリモートで開くことができる同時操作の最大数を指定します。既定は 1500 です。

EnumerationTimeoutms

Pull メッセージ間のアイドルタイムアウトをミリ秒単位で指定します。既定値は 60000 です。

MaxConnections

サービスが同時に処理できるアクティブな要求の最大数を指定します。既定値は 300 です。

WinRM 2.0: 既定値は 25 です。

MaxPacketRetrievalTimeSeconds

WinRM サービスがパケットの取得に要する最大時間を秒単位で指定します。既定値は 120 秒です。

AllowUnencrypted

暗号化されていないトラフィックの要求をクライアントコンピューターに許可します。既定値は、False です。

基本

基本認証の使用を WinRM サービスに許可します。既定値は、False です。

[証明書]

クライアント証明書ベースの認証の使用を WinRM サービスに許可します。既定値は、False です。

Kerberos

Kerberos 認証の使用を WinRM サービスに許可します。既定値は、True です。

ネゴシエート

ネゴシエート認証の使用を WinRM サービスに許可します。既定値は、True です。

CredSSP

Credential Security Support Provider (CredSSP) 認証の使用を WinRM サービスに許可します。既定値は、False です。

CbtHardeningLevel

認証要求でチャネルバインディングトークン要件のポリシーを設定します。既定値は Relaxed です。

DefaultPorts

WinRM サービスが HTTP または HTTPS に使用するポートを指定します。

WinRM 2.0: 既定の HTTP ポートは 5985 です。既定の HTTPS ポートは 5986 です。

IPv4Filter と IPv6Filter

リスナーが使用できる IPv4 アドレスまたは IPv6 アドレスを指定します。既定値は IPv4Filter = * および IPv6Filter = * です。

IPv4: IPv4 リテラル文字列は、それぞれ 0 から 255 の範囲の 4 つのドット付き 10 進数で構成されます。例: 192.168.0.0
IPv6: IPv6 リテラル文字列は、角かっこで囲まれており、コロンで区切られた 16 進数が含まれています。例: [::1] または [3ffe:ffff::6ECB:0101]。

EnableCompatibilityHttpListener

互換性 HTTP リスナーが有効かどうかを指定します。この設定が True の場合、リスナーはポート 5985 に加えてポート 80 でリッスンします。既定値は、False です。

EnableCompatibilityHttpsListener

互換性 HTTPS リスナーが有効かどうかを指定します。この設定が True の場合、リスナーはポート 5986 に加えてポート 443 でリッスンします。既定値は、False です。

Winrs の既定の構成設定

winrm quickconfig コマンドでは、Winrs の既定の設定も構成されます。

AllowRemoteShellAccess

リモートシェルへのアクセスが有効になります。このパラメーターを False に設定すると、サーバーはサーバーによる新しいリモートシェル接続を拒否します。既定値は、True です。

IdleTimeout

リモートシェルでユーザーによる操作がない場合に、リモートシェルがオープンの状態を維持する最大時間をミリ秒単位で指定します。その時間を過ぎると、リモートシェルは削除されます。

WinRM 2.0: 既定値は 180000 です。最小値は 60000 です。この値を 60000 未満に設定しても、タイムアウト動作には影響しません。

MaxConcurrentUsers

リモートシェルを利用し、同じコンピューターでリモート操作を同時に実行できるユーザーの最大数を指定します。新しいリモートシェル接続が制限を超えると、コンピューターは接続を拒否します。既定値は 5 です。

MaxShellRunTime

リモートコマンドまたはスクリプトの実行が許可される最大時間をミリ秒単位で指定します。既定値は 28800000 です。

WinRM 2.0: MaxShellRunTime 設定は読み取り専用に設定されています。 MaxShellRunTime の値を変更しても、リモートシェルには影響しません。

MaxProcessesPerShell

シェル操作で起動できるプロセスの最大数を指定します。値が 0 の場合、プロセスの数は無制限になります。既定値は 15 です。

MaxMemoryPerShellMB

シェルの子プロセスを含め、シェルごとに割り当てられるメモリの最大量を指定します。既定値は 150 MB です。

MaxShellsPerUser

任意のユーザーが同じコンピューターでリモートで開くことができる同時シェルの最大数を指定します。このポリシー設定が有効になっている場合に、数が指定した制限を超えると、ユーザーは新しいリモートシェルを開くことができません。このポリシー設定が無効になっているか、構成されていない場合、制限は既定でユーザーあたり 5 つのリモートシェルに設定されます。

グループポリシーを使った WinRm の構成

グループポリシーエディターを使用して、企業内のコンピューター用に Windows リモートシェルと WinRM を構成します。

グループポリシーを使用して構成するには:

管理者としてコマンドプロンプトウィンドウを開きます。
コマンドプロンプトで、「gpedit.msc」と入力します。 [グループポリシーオブジェクトエディター] ウィンドウが開きます。
Computer Configuration\Administrative Templates\Windows Components で、[Windows リモート管理] と [Windows リモートシェル] のグループポリシーオブジェクト (GPO) を見つけます。
[拡張] タブで、設定を選択して説明を表示します。設定をダブルクリックして編集します。

Windows ファイアウォールと WinRM 2.0 ポート

WinRM 2.0 以降、Winrm quickconfig によって構成される既定のリスナーポートは、HTTP トランスポートの場合はポート 5985、HTTPS の場合はポート 5986 です。 WinRM リスナーは、任意のポートで構成できます。

コンピューターを WinRM 2.0 にアップグレードすると、以前に構成されたリスナーは移行されますが、それまでどおりにトラフィックは受信されます。

WinRM のインストールと構成に関する注意事項

WinRM は、他のサービス (WinHttp を除く) に依存しません。 IIS 管理サービスが同じコンピューターにインストールされている場合は、インターネットインフォメーションサービス (IIS) の前に WinRM を読み込めなかったことを示すメッセージが表示されることがあります。ただし、WinRM は実際には IIS に依存しません。これらのメッセージが表示されるのは、読み込み順序によって、HTTP サービスの前に IIS サービスが確実に開始されるためです。 WinRM では、WinHTTP.dll が登録されている必要があります。

ISA2004 ファイアウォールクライアントがコンピューターにインストールされている場合、Web Services for Management (WS-Management) クライアントが応答を停止する可能性があります。この問題を回避するには、ISA2004 ファイアウォール SP1 をインストールします。

異なる IP アドレスを持つ 2 つのリスナーサービスが、同じポート番号とコンピューター名を使用して構成されている場合、WinRM は 1 つのアドレスでのみメッセージをリッスンまたは受信します。 WS-Management プロトコルで使用される URL プレフィックスが同じであるため、このアプローチが使用されます。

IPMI ドライバーとプロバイダーのインストールに関する注意事項

ドライバーは、Microsoft 以外の IPMI ドライバーの存在を検出しない可能性があります。ドライバーが起動に失敗した場合は、場合によってはドライバーを無効にする必要があります。

ベースボード管理コントローラー (BMC) リソースがシステム BIOS に表示される場合、ACPI (プラグアンドプレイ) は BMC ハードウェアを検出し、IPMI ドライバーを自動的にインストールします。プラグアンドプレイのサポートは、すべての BMC に存在しない場合があります。 BMC がプラグアンドプレイによって検出されると、ハードウェア管理コンポーネントがインストールされる前に不明なデバイスがデバイスマネージャーに表示されます。ドライバーがインストールされると、新しいコンポーネントである Microsoft ACPI 汎用 IPMI 準拠デバイスがデバイスマネージャーに表示されます。

システムが BMC の検出とドライバーのインストールを自動的に行わないものの、セットアッププロセス中に BMC が検出された場合は、BMC デバイスを作成します。デバイスを作成するには、コマンドプロンプトで次のコマンドを入力します。

Rundll32 ipmisetp.dll, AddTheDevice

このコマンドを実行すると、IPMI デバイスが作成され、デバイスマネージャーに表示されます。ハードウェア管理コンポーネントをアンインストールすると、デバイスは削除されます。

詳細については、「ハードウェア管理の概要」を参照してください。

IPMI プロバイダーは、WMI の root\hardware namespace にハードウェアクラスを配置します。ハードウェアクラスの詳細については、「IPMI プロバイダー」を参照してください。 WMI 名前空間の詳細については、「WMI アーキテクチャ」を参照してください。

WMI プラグインの構成に関する注意事項

Windows 8 および Windows Server 2012 以降、WMI プラグインは独自のセキュリティ構成を備えています。管理者ではなく通常のユーザーまたはパワーユーザーが WMI プラグインを使用できるようにするには、リスナーが構成された後で、そのユーザーのアクセスを有効にします。次のいずれかの手順を使用して、WMI へのリモートアクセスをユーザーに設定します。

lusrmgr.msc を実行して、[ローカルユーザーとグループ] ウィンドウでユーザーを WinRMRemoteWMIUsers__ グループ追加します。
Winrm コマンドラインツールを使用して、WMI プラグインの名前空間のセキュリティ記述子を構成します。
```
winrm configSDDL http://schemas.microsoft.com/wbem/wsman/1/wmi/ WmiNamespace
```

ユーザーインターフェイスが表示されたら、ユーザーを追加します。

WMI へのリモートアクセスにユーザーを設定した後、WMI をセットアップしてプラグインへのアクセスをユーザーを許可する必要があります。アクセスを許可するには、wmimgmt.msc を実行して、[WMI コントロール] ウィンドウでアクセスする名前空間の WMI セキュリティを変更します。

管理用の WMI クラスのほとんどは、root\cimv2 namespace にあります。

次の方法で共有

Windows リモート管理のインストールと構成

WinRM のインストール場所

WinRM と IPMI の構成

既定のクイック構成

既定の設定で WinRM を構成するには

リスナーと WS-Management プロトコルの既定の設定

番地

トランスポート

ポート

hostname

Enabled

URLPrefix

CertificateThumbprint

ListeningOn

プロトコルの既定の設定

MaxEnvelopeSizekb

MaxTimeoutms

MaxBatchItems

MaxProviderRequests

WinRM クライアントの既定の構成設定

NetworkDelayms

URLPrefix

AllowUnencrypted

基本

Digest

[証明書]

Kerberos

ネゴシエート

CredSSP

DefaultPorts

TrustedHosts

WinRM サービスの既定の構成設定

RootSDDL

MaxConcurrentOperations

MaxConcurrentOperationsPerUser

EnumerationTimeoutms

MaxConnections

MaxPacketRetrievalTimeSeconds

AllowUnencrypted

基本

[証明書]

Kerberos

ネゴシエート

CredSSP

CbtHardeningLevel

DefaultPorts

IPv4Filter と IPv6Filter

EnableCompatibilityHttpListener

EnableCompatibilityHttpsListener

Winrs の既定の構成設定

AllowRemoteShellAccess

IdleTimeout

MaxConcurrentUsers

MaxShellRunTime

MaxProcessesPerShell

MaxMemoryPerShellMB

MaxShellsPerUser

グループ ポリシーを使った WinRm の構成

Windows ファイアウォールと WinRM 2.0 ポート

WinRM のインストールと構成に関する注意事項

IPMI ドライバーとプロバイダーのインストールに関する注意事項

WMI プラグインの構成に関する注意事項

フィードバック

その他のリソース

グループポリシーを使った WinRm の構成