Windows リモート管理のインストールと構成

[アーティクル]
06/03/2023

Windows リモート管理 (WinRM) スクリプトを実行し、 Winrm コマンドラインツールでデータ操作を実行するには、WinRM をインストールして構成する必要があります。

これらの要素は、WinRM の構成にも依存します。

Windows リモートシェルのコマンドラインツール Winrs。
イベント転送。
Windows PowerShell 2.0 リモート処理。

WinRM のインストール場所

WinRM は、現在サポートされているすべてのバージョンの Windows オペレーティングシステムと共に自動的にインストールされます。

WinRM と IPMI の構成

これらの WinRM およびインテリジェントプラットフォーム管理インターフェイス (IPMI)WMI プロバイダーコンポーネントは、オペレーティングシステムと共にインストールされます。

WinRM サービスは、Windows Server 2008 以降で自動的に開始されます。以前のバージョンの Windows (クライアントまたはサーバー) では、サービスを手動で開始する必要があります。
既定では、WinRM リスナーは構成されていません。 WinRM サービスが実行されている場合でも、データを要求するプロトコルメッセージ WS-Management受信または送信することはできません。
インターネット接続ファイアウォール (ICF) は、ポートへのアクセスをブロックします。

コマンドプロンプトで次の winrm コマンドを入力して、リスナーとアドレスを検索するには、コマンドを使用します。

winrm enumerate winrm/config/listener

構成設定の状態を確認するには、次のコマンドを入力します。

winrm get winrm/config

クイック既定の構成

ローカルコンピューターで WS-Management プロトコルを有効にし、コマンドを使用してリモート管理の既定の構成を設定します winrm quickconfig。

winrm quickconfigコマンド (省略winrm qc可能) は、次の操作を実行します。

WinRM サービスを開始し、サービスのスタートアップの種類を 自動開始に設定します。
任意の IP アドレスで HTTP または HTTPS を使用してWS-Managementプロトコルメッセージを送受信するポートのリスナーを構成します。
WinRM サービスの ICF 例外を定義し、HTTP と HTTPS のポートを開きます。

注意

コマンドは winrm quickconfig 、現在のユーザープロファイルに対してのみファイアウォール例外を作成します。何らかの理由でファイアウォールプロファイルが変更された場合は、を実行 winrm quickconfig して新しいプロファイルのファイアウォール例外を有効にします (それ以外の場合は例外が有効になっていない可能性があります)。

構成のカスタマイズに関する情報を取得するには、コマンドプロンプトで次のコマンドを入力します。

winrm help config

既定の設定で WinRM を構成するには

ローカルコンピューター管理者アカウントとして実行されているコマンドプロンプトで、次のコマンドを実行します。
```
winrm quickconfig
```
ローカルコンピューターの管理者として実行していない場合は、[スタート] メニューから [管理者として実行] を選択するか、コマンドプロンプトでコマンドを使用Runasします。

ツールに [ y/n] と表示されたら、「y」と入力 します。

構成が成功すると、次の出力が表示されます。

WinRM has been updated for remote management.

WinRM service type changed to delayed auto start.
WinRM service started.
Created a WinRM listener on https://* to accept WS-Man requests to any IP on this machine.

WinRM のクライアントコンポーネントとサーバーコンポーネントの既定の設定をそのまま使用するか、カスタマイズします。たとえば、特定のリモートコンピューターをクライアント構成 TrustedHosts リストに追加する必要がある場合があります。

相互認証を確立できない場合は、信頼できるホストの一覧を設定します。 Kerberos では相互認証が許可されますが、ワークグループでは使用できません。ドメインのみ。ワークグループに対して信頼できるホストを設定する場合のベストプラクティスは、リストを可能な限り制限することです。
次のコマンドを入力して、HTTPS リスナーを作成します。
```
winrm quickconfig -transport:https
```
注意

HTTPS トランスポートが機能するようにポート 5986 を開きます。

リスナーとWS-Management プロトコルの既定の設定

リスナーの構成を取得するには、コマンドプロンプトで「」と入力 winrm enumerate winrm/config/listener します。リスナーは、トランスポート (HTTP または HTTPS) と IPv4 または IPv6 アドレスによって定義されます。

コマンドは winrm quickconfig 、リスナーに対して次の既定の設定を作成します。複数のリスナーを作成できます。詳細については、コマンドプロンプトで「」と入力 winrm help config します。

住所

このリスナーを作成するアドレスを指定します。

トランスポート

WS-Management プロトコルの要求と応答を送受信するためのトランスポートを指定します。値は HTTP または HTTPS である必要があります。既定値は HTTP です。

Port

このリスナーが作成された TCP ポートを指定します。

WinRM 2.0: 既定の HTTP ポートは 5985 です。

hostname

WinRM サービスが実行されているコンピューターのホスト名を指定します。値は完全修飾ドメイン名である必要があります。IPv4 または IPv6 リテラル文字列。またはワイルドカード文字。

Enabled

リスナーが有効であるか、無効であるかを指定します。既定値は True です。

URLPrefix

HTTP または HTTPS 要求を受け入れる URL プレフィックスを指定します。この文字列には、a から z、A から Z、9 から 0、アンダースコア (_)、スラッシュ (/) の文字のみが含まれます。文字列は、スラッシュ (/) で始まるか末尾にすることはできません。たとえば、コンピューター名が SampleMachine の場合、WinRM クライアントは宛先アドレスにを指定 https://SampleMachine/<URLPrefix> します。既定の URL プレフィックスはです wsman。

CertificateThumbprint

サービス証明書の拇印を指定します。この値は、証明書の [拇印 ] フィールドにある 2 桁の 16 進値の文字列を表します。この文字列には、証明書の SHA-1 ハッシュが含まれています。証明書は、クライアント証明書ベースの認証で使用されます。証明書は、ローカルユーザーアカウントにのみマップできます。ドメインアカウントでは機能しません。

ListeningOn

リスナーが使用する IPv4 アドレスと IPv6 アドレスを指定します。 (例: 111.0.0.1, 111.222.333.444, ::1, 1000:2000:2c:3:c19:9ec8:a715:5e24, 3ffe:8311:ffff:f70f:0:5efe:111.222.333.444, fe80::5efe:111.222.333.444%8, fe80::c19:9ec8:a715:5e24%6)。

プロトコルの既定の設定

MaxEnvelopeSizekb や SoapTraceEnabled などの構成設定の多くは、WinRM クライアントとサーバーコンポーネントがWS-Management プロトコルとどのようにやり取りするかを決定します。次のセクションでは、使用可能な構成設定について説明します。

MaxEnvelopeSizekb

Simple Object Access Protocol (SOAP) の最大データをキロバイト単位で指定します。既定値は 150 キロバイトです。

注意

MaxEnvelopeSizekb が 1039440 より大きい値に設定されている場合、動作はサポートされません。

MaxTimeoutms

要求以外 Pull の要求に使用できる最大タイムアウトをミリ秒単位で指定します。既定値は 60000 です。

MaxBatchItems

応答で使用できる要素の最大数を Pull 指定します。既定値は 32000 です。

MaxProviderRequests

サービスで許可される同時要求の最大数を指定します。既定値は 25 です。

WinRM 2.0: この設定は非推奨であり、読み取り専用に設定されています。

WinRM クライアントの既定の構成設定

WinRM のクライアントバージョンには、次の既定の構成設定があります。

NetworkDelayms

ネットワーク遅延時間としてクライアントコンピューターが待機する延長時間をミリ秒で指定します。既定値は 5000 ミリ秒です。

URLPrefix

HTTP または HTTPS 要求を受け入れる URL プレフィックスを指定します。既定の URL プレフィックスは wsman です。

AllowUnencrypted

暗号化されていないトラフィックの要求をクライアントコンピューターに許可します。既定では、クライアントコンピューターには暗号化されたネットワークトラフィックが必要であり、この設定は False です。

Basic

Basic 認証の使用をクライアントコンピューターに許可します。 Basic 認証はユーザー名とパスワードが平文でサーバーまたはプロキシに送信されるスキームです。この手法は最も安全性が低い認証方法です。既定値は Trueです。

ダイジェスト

Digest 認証の使用をクライアントに許可します。 Digest 認証はサーバーで指定されたデータ文字列をチャレンジで使用するチャレンジ/レスポンススキームです。クライアントコンピューターだけが Digest 認証要求を開始できます。

クライアントコンピューターは、認証要求をサーバーに送信し、サーバーからトークン文字列を受け取ります。次に、クライアントコンピューターからリソース要求が送信されます。これには、ユーザー名と、トークン文字列と組み合わせたパスワードの暗号化ハッシュが含まれます。

Digest 認証は HTTP と HTTPS でサポートされます。 WinRM シェルクライアントスクリプトとアプリケーションではダイジェスト認証を指定できますが、WinRM サービスはダイジェスト認証を受け入れていません。既定値は、True です。

Note

HTTP 経由のダイジェスト認証は安全とは見なされません。

証明書

クライアントがクライアント証明書ベースの認証を使用できるようにします。証明書ベースの認証は、サーバーが X509 証明書によって識別されたクライアントを認証するスキームです。既定値は Trueです。

Kerberos

Kerberos 認証の使用をクライアントに許可します。 Kerberos 認証は、クライアントとサーバーが Kerberos 証明書を利用して互いに認証するスキームです。既定値は Trueです。

ネゴシエート

クライアントが ネゴシエート 認証を使用できるようにします。 Negotiate 認証は、クライアントがサーバーに要求を送信して認証するスキームです。

サーバーは、Kerberos プロトコルと NT LAN マネージャー (NTLM) のどちらを使用するかを決定します。 Kerberos プロトコルは、ドメインアカウントを認証するために選択されます。ローカルコンピューターアカウントに対して NTLM が選択されています。ユーザー名は、ドメインユーザーの domain\user_name 形式で指定する必要があります。ユーザー名は、サーバーコンピューター上のローカルユーザーの server_name\user_name 形式で指定する必要があります。既定値は、True です。

CredSSP

クライアントが資格情報セキュリティサポートプロバイダー (CredSSP) 認証を使用できるようにします。 CredSSP を使用すると、アプリケーションはクライアントコンピューターからターゲットサーバーにユーザーの資格情報を委任できます。既定値は、False です。

DefaultPorts

クライアントが HTTP または HTTPS に使用するポートを指定します。

WinRM 2.0: 既定の HTTP ポートは 5985、既定の HTTPS ポートは 5986 です。

TrustedHosts

信頼されているリモートコンピューターの一覧を指定します。ワークグループ内の他のコンピューター、または別のドメイン内のコンピューターをこの一覧に追加する必要があります。

注意

信頼されたホストの一覧のコンピューターは認証されません。クライアントは、これらのコンピューターに資格情報を送信する場合があります。

信頼されたホストに IPv6 アドレスを指定する場合は、次 Winrm のユーティリティコマンドで示すように、アドレスを角かっこで囲む必要があります。

winrm set winrm/config/client '@{TrustedHosts ="[0:0:0:0:0:0:0:0]"}'

一覧にコンピューターを追加する方法の TrustedHosts 詳細については、「」と入力します winrm help config。

WinRM サービスの既定の構成設定

WinRM のサービスバージョンには、次の既定の構成設定があります。

RootSDDL

リスナーへのリモートアクセスを制御するセキュリティ記述子を指定します。既定値は、O:NSG:BAD:P(A;;GA;;;BA)(A;;GR;;;ER)S:P(AU;FA;GA;;;WD)(AU;SA;GWGX;;;WD) です。

MaxConcurrentOperations

同時実行操作の最大数。既定値は、100 です。

WinRM 2.0: この設定は MaxConcurrentOperations 非推奨であり、読み取り専用に設定されています。この設定はに MaxConcurrentOperationsPerUser置き換えられました。

MaxConcurrentOperationsPerUser

任意のユーザーが同じシステムでリモートで開くことができる同時実行操作の最大数を指定します。既定は 1500 です。

EnumerationTimeoutms

メッセージ間 Pull のアイドルタイムアウトをミリ秒単位で指定します。既定値は 60000 です。

MaxConnections

サービスが同時に処理できるアクティブな要求の最大数を指定します。既定値は 300 です。

WinRM 2.0: 既定値は 25 です。

MaxPacketRetrievalTimeSeconds

WinRM サービスがパケットの取得に要する最大時間を秒単位で指定します。既定値は 120 秒です。

AllowUnencrypted

暗号化されていないトラフィックの要求をクライアントコンピューターに許可します。既定値は、False です。

Basic

WinRM サービスで基本認証を使用できるようにします。既定値は、False です。

証明書

WinRM サービスでクライアント証明書ベースの認証を使用できるようにします。既定値は、False です。

Kerberos

WinRM サービスで Kerberos 認証を使用できるようにします。既定値は、True です。

ネゴシエート

WinRM サービスでネゴシエート認証を使用できるようにします。既定値は、True です。

CredSSP

WinRM サービスで資格情報セキュリティサポートプロバイダー (CredSSP) 認証を使用できるようにします。既定値は、False です。

CbtHardeningLevel

認証要求でチャネルバインディングトークン要件のポリシーを設定します。既定値は [リラックス] です。

DefaultPorts

WinRM サービスが HTTP または HTTPS に使用するポートを指定します。

WinRM 2.0: 既定の HTTP ポートは 5985 です。既定の HTTPS ポートは 5986 です。

IPv4Filter と IPv6Filter

リスナーが使用できる IPv4 または IPv6 アドレスを指定します。既定値はと IPv6Filter = *ですIPv4Filter = *。

IPv4: IPv4 リテラル文字列は、それぞれ 0 ~ 255 の範囲の 4 つのドット付き 10 進数で構成されます。例: 192.168.0.0
IPv6: IPv6 リテラル文字列は角かっこで囲まれており、コロンで区切られた 16 進数が含まれています。例: [::1] または [3ffe:ffff::6ECB:0101]。

EnableCompatibilityHttpListener

互換性 HTTP リスナーを有効にするかどうかを指定します。この設定がの場合、リスナーは Trueポート 5985 に加えてポート 80 でリッスンします。既定値は、False です。

EnableCompatibilityHttpsListener

互換性 HTTPS リスナーを有効にするかどうかを指定します。この設定がの場合、リスナーは Trueポート 5986 に加えてポート 443 でリッスンします。既定値は、False です。

Winrs の既定の構成設定

このコマンドでは winrm quickconfig 、Winrs の既定の設定も構成されます。

AllowRemoteShellAccess

リモートシェルへのアクセスが有効になります。このパラメーターをに False設定すると、サーバーはサーバーによる新しいリモートシェル接続を拒否します。既定値は、True です。

IdleTimeout

リモートシェルにユーザーアクティビティがない場合にリモートシェルが開いたままの最大時間をミリ秒単位で指定します。その後、リモートシェルが削除されます。

WinRM 2.0: 既定値は 180000 です。最小値は 60000 です。この値を 60000 未満に設定しても、タイムアウト動作には影響しません。

MaxConcurrentUsers

リモートシェルを利用し、同じコンピューターでリモート操作を同時に実行できるユーザーの最大数を指定します。新しいリモートシェル接続が制限を超えた場合、コンピューターはそれらを拒否します。既定値は 5 です。

MaxShellRunTime

リモートコマンドまたはスクリプトの実行が許可される最大時間をミリ秒単位で指定します。既定値は 28800000 です。

WinRM 2.0: 設定は MaxShellRunTime 読み取り専用に設定されています。の値 MaxShellRunTime を変更しても、リモートシェルには影響しません。

MaxProcessesPerShell

シェル操作で起動できるプロセスの最大数を指定します。値が 0 の場合、プロセスの数は無制限になります。既定値は 15 です。

MaxMemoryPerShellMB

シェルの子プロセスを含む、シェルごとに割り当てられるメモリの最大量を指定します。既定値は 150 MB です。

MaxShellsPerUser

ユーザーが同じコンピューターで同時に開くことのできるリモートシェルの最大数を指定します。このポリシー設定が有効になっている場合、カウントが指定した制限を超えた場合、ユーザーは新しいリモートシェルを開くことができません。このポリシー設定が無効になっているか、構成されていない場合、制限は既定でユーザーごとに 5 つのリモートシェルに設定されます。

グループポリシーを使用した WinRM の構成

グループポリシーエディターを使用して、企業内のコンピューター用に Windows リモートシェルと WinRM を構成します。

グループポリシーを使用して構成するには:

管理者としてコマンドプロンプトウィンドウを開きます。
コマンドプロンプトで、「gpedit.msc」と入力します。 [グループポリシーオブジェクトエディター] ウィンドウが開きます。
[コンピューターの構成]\[管理用テンプレート]\[Windows コンポーネント] で、Windows リモート管理と Windows リモートシェル グループポリシーオブジェクト (GPO) を見つけます。
[ 拡張 ] タブで、設定を選択して説明を表示します。設定をダブルクリックして編集します。

Windows ファイアウォールと WinRM 2.0 ポート

WinRM 2.0 以降では、で Winrm quickconfig 構成される既定のリスナーポートは、HTTP トランスポートの場合はポート 5985、HTTPS の場合はポート 5986 です。 WinRM リスナーは、任意のポートで構成できます。

コンピューターを WinRM 2.0 にアップグレードすると、以前に構成されたリスナーが移行され、トラフィックが引き続き受信されます。

WinRM のインストールと構成に関する注意事項

WinRM はを除く WinHttp他のサービスに依存しません。 IIS 管理サービスが同じコンピューターにインストールされている場合は、インターネットインフォメーションサービス (IIS) の前に WinRM を読み込めなかったことを示すメッセージが表示されることがあります。ただし、WinRM は実際には IIS に依存しません。これらのメッセージは、読み込み順序によって、HTTP サービスの前に IIS サービスが確実に開始されるために発生します。 WinRM では、が WinHTTP.dll 登録されている必要があります。

ISA2004 ファイアウォールクライアントがコンピューターにインストールされている場合、Web Services for Management (WS-Management) クライアントが応答を停止する可能性があります。この問題を回避するには、ISA2004 Firewall SP1 をインストールします。

異なる IP アドレスを持つ 2 つのリスナーサービスが同じポート番号とコンピューター名で構成されている場合、WinRM は 1 つのアドレスでのみメッセージをリッスンまたは受信します。この方法は、WS-Management プロトコルで使用される URL プレフィックスが同じであるためです。

IPMI ドライバーとプロバイダーのインストールに関する注意事項

ドライバーは、Microsoft 以外の IPMI ドライバーの存在を検出しない可能性があります。ドライバーの起動に失敗した場合は、無効にする必要がある場合があります。

ベースボード管理コントローラー (BMC) リソースがシステム BIOS に表示される場合は、ACPI (プラグアンドプレイ) によって BMC ハードウェアが検出され、IPMI ドライバーが自動的にインストールされます。プラグアンドプレイサポートはすべての BMC に存在しない場合があります。プラグアンドプレイによって BMC が検出された場合、ハードウェア管理コンポーネントがインストールされる前に、デバイスマネージャーに不明なデバイスが表示されます。ドライバーがインストールされると、新しいコンポーネントである Microsoft ACPI 汎用 IPMI 準拠デバイスがデバイスマネージャーに表示されます。

システムが BMC を自動的に検出してドライバーをインストールしないが、セットアッププロセス中に BMC が検出された場合は、BMC デバイスを作成します。デバイスを作成するには、コマンドプロンプトで次のコマンドを入力します。

Rundll32 ipmisetp.dll, AddTheDevice

このコマンドを実行すると、IPMI デバイスが作成され、デバイスマネージャーに表示されます。ハードウェア管理コンポーネントをアンインストールすると、デバイスは削除されます。

詳細については、「ハードウェア管理の概要」を参照してください。

IPMI プロバイダーは、WMI の root\hardware名前空間にハードウェアクラスを配置します。ハードウェアクラスの詳細については、「 IPMI プロバイダー」を参照してください。 WMI 名前空間の詳細については、「WMI アーキテクチャ」を参照してください。

WMI プラグインの構成に関する注意事項

Windows 8とWindows Server 2012以降、WMI プラグインには独自のセキュリティ構成があります。管理者ではなく通常のユーザーまたは電源ユーザーが WMI プラグインを使用できるようにするには、リスナーの構成後にそのユーザーのアクセスを有効にします。次のいずれかの手順を使用して、WMI へのリモートアクセス用にユーザーを設定します。

を実行 lusrmgr.msc して、[ローカルユーザーとグループ] ウィンドウの WinRMRemoteWMIUsers__ グループに ユーザーを 追加します。
Winrm コマンドラインツールを使用して、WMI プラグインの名前空間のセキュリティ記述子を構成します。
```
winrm configSDDL http://schemas.microsoft.com/wbem/wsman/1/wmi/ WmiNamespace
```

ユーザーインターフェイスが表示されたら、ユーザーを追加します。

WMI へのリモートアクセス用にユーザーを設定したら、ユーザーがプラグインにアクセスできるように WMI を設定する必要があります。アクセスを許可するには、 wmimgmt.msc を実行して、WMI コントロールウィンドウでアクセスする名前空間の WMI セキュリティを変更します。

管理用の WMI クラスのほとんどは、 root\cimv2 名前空間にあります。

Windows リモート管理のインストールと構成

WinRM のインストール場所

WinRM と IPMI の構成

クイック既定の構成

既定の設定で WinRM を構成するには

リスナーとWS-Management プロトコルの既定の設定

住所

トランスポート

Port

hostname

Enabled

URLPrefix

CertificateThumbprint

ListeningOn

プロトコルの既定の設定

MaxEnvelopeSizekb

MaxTimeoutms

MaxBatchItems

MaxProviderRequests

WinRM クライアントの既定の構成設定

NetworkDelayms

URLPrefix

AllowUnencrypted

Basic

ダイジェスト

証明書

Kerberos

ネゴシエート

CredSSP

DefaultPorts

TrustedHosts

WinRM サービスの既定の構成設定

RootSDDL

MaxConcurrentOperations

MaxConcurrentOperationsPerUser

EnumerationTimeoutms

MaxConnections

MaxPacketRetrievalTimeSeconds

AllowUnencrypted

Basic

証明書

Kerberos

ネゴシエート

CredSSP

CbtHardeningLevel

DefaultPorts

IPv4Filter と IPv6Filter

EnableCompatibilityHttpListener

EnableCompatibilityHttpsListener

Winrs の既定の構成設定

AllowRemoteShellAccess

IdleTimeout

MaxConcurrentUsers

MaxShellRunTime

MaxProcessesPerShell

MaxMemoryPerShellMB

MaxShellsPerUser

グループ ポリシーを使用した WinRM の構成

Windows ファイアウォールと WinRM 2.0 ポート

WinRM のインストールと構成に関する注意事項

IPMI ドライバーとプロバイダーのインストールに関する注意事項

WMI プラグインの構成に関する注意事項

フィードバック

フィードバック

その他のリソース

グループポリシーを使用した WinRM の構成