Windows ServerにRDP接続する際、ユーザにパスワード変更を求めるようにしたくてハマったこと

コーヒーが好きな木谷映見です。

AWS環境でWindows Serverを構築してリモートデスクトップ接続（RDP接続）する際、初回ログイン時のパスワード変更がうまくいかなくてハマりました。本エントリでは原因と私が実施した対処法を記載します。

環境と構成図
発生した事象
原因
実施した対応
- NLAを完全に無効化する手順
終わりに

環境と構成図

今回RDP接続する先のWindows Serverのバージョンは以下になります。*1

Windows Server 2019 Datacenter
バージョン 1809 (OSビルド 17763.2565)

以下の図のように、パブリックサブネットに構築したLinuxサーバを踏み台にポートフォワードし、プライベートサブネットに構築したWindows Server 2019にRDP接続するという構成です。

発生した事象

Windows Serverで新たにRDP接続を許可したユーザを作成し、初回ログオン時にパスワードの変更を要求するよう設定します。
作成したユーザでRDP接続を試みると、以下のエラーが出て、新しく作成したユーザでパスワード変更することができません。

リモートデスクトップ接続
最初にログオンする前にパスワードを変更する必要があります。パスワードを更新するか、システム管理者またはテクニカルサポートに問い合わせてください。

原因

Windows XP SP3、Windows Server 2008 以降では、RDP接続にネットワークレベル認証 (NLA) が採用され、不用意にリモートデスクトップセッションを確立させないよう接続先のセキュリティレベルを高めています。

NLAでは、サーバーがユーザーとのセッションを確立する際に認証情報のやり取りをおこなうのですが、そのやり取りの中でパスワードの変更処理を受け渡す動作が含まれていないため、RDP接続ではログオン時にユーザのパスワード変更ができません。

Windows Server 2012、Windows 8 までは、リモートデスクトップ接続の設定でNLAを強制しないようチェックを外しておくことで、パスワードの変更ができていました。

Windows Server 2012 R2、Windows 8.1以降の場合、上記のチェックを外すだけではNLAが完全に無効化されないため、RDP接続でパスワード変更を実施することができません。
これはWindows OS のアップグレードに伴い、Windows Server 2012 R2 および Windows 8.1 以降でRDP接続の処理が変わったことが原因となります。

こちらのMicrosoftの記事に事象の原因と回避策が詳しく載っていますので、ご参照ください。

docs.microsoft.com