Mac が RDP で誤った Windows アカウントを送信している

トンネルは再接続し、Mac は再びオフィスのネットワークに到達しているのに、リモート デスクトップは依然としてログオン失敗を返します。このエラーは VPN のものではありません。トンネルは Mac を承認済みネットワークに載せるだけです。リモート コンピューターにサインインするのは Windows アカウントであり、接続エントリは数か月前に使わなくなったアカウントを送り続けることがあります。

キーチェーンに触れる前に、エントリを確認してください。

VPN アカウントと Windows アカウントは別物です

VPN の ID は、デバイスまたは人をトンネルのゲートウェイに対して認証します。リモート ホストがどの Windows アカウントを受け入れるかは何も語らず、その代わりにもなりません。トンネルが正常でデスクトップがログオンを拒否する場合、問題はすでにネットワーク層を越えています。二つの認証を、別々のログを持つ別々のイベントとして扱ってください。ゲートウェイがクリーンなセッションを示す一方で、Windows のセキュリティ ログがまったく別の理由でログオン失敗を記録していることがあります。

管理者から EXAMPLE\alex を使うように言われたのに、保存されたエントリが今も裸の alex を選んでいるとします。これらは別のアカウントです。修飾のない名前はリモート コンピューターのローカル アカウントに対して解決され、ドメイン参加マシンではドメイン ID にまったく解決されないこともあります。

したがって、ドメイン プレフィックスを外すことは一般的な修復ではありません。要求するアカウントが変わり、パスワードが問題ではなかったのにパスワード問題のように見える拒否を生むことがあります。

キーチェーン全体ではなく、接続エントリを開く

現在の macOS 版 Windows App で、デバイスの下にあるリモート PC を見つけ、その編集アクションを開き、その特定のエントリに紐づいたアカウントを確認します。アプリは保存済み資格情報のコントロールを提供し、別の保存済みアカウントを選ぶか、古いものを削除できます。選択を修正するためのサポートされた場所はここです。一度に一つのプロパティだけを変更し、どの編集が実際に重要だったかを分かるようにしてください。資格情報の変更とホスト名の変更を同時に行うと、誰も原因を特定できない結果になります。

名前がサーバー名を含むキーチェーン項目をすべて削除することから始めないでください。キーチェーン項目はアプリケーション間で共有されており、広範な削除は Windows 側を何も変えずに関係のないアクセスを奪うことがあります。本当の問題がホスト名、ルート、または RDP サービスだった場合に必要になる証拠も破壊します。

保存済みの資格情報が複数のリモート PC で使われている場合は、削除する前にそれらの依存関係を確認してください。一台の PC のエントリを編集するのは元に戻せますが、共有された資格情報を削除するのは影響範囲が広く、監査証跡も悪い変更です。

管理者が指定したアカウント形式を使う

アカウントは発行されたとおりに、環境が期待する形式で入力してください。NetBIOS 形式のドメインなら DOMAIN\user、ディレクトリがそうなら user principal name です。その後、この PC に対して保存し、意図した接続を一度だけ試みます。

サインイン プロンプトがどのアカウントを表示しているか確認してください。すでに別の名前が入っているプロンプトは、保存された選択が置き換えられておらず、今行った試行が再び古い資格情報を試したことを意味します。

パスワードはメモ、チケット、スクリーンショットから遠ざけてください。代わりにアカウント名と正確なエラー コードを記録します。コードは、資格情報の誤りと、ポリシーによる拒否、期限切れのパスワード、RDP をまったく受け付けないマシンを区別するからです。

サインイン前の接続失敗は別の障害です

Windows のログオンが表示される前にビューアーが失敗するなら、資格情報は容疑者ではありません。ホスト名が解決すること、トンネル経由でホストへのルートが存在すること、RDP サービスが待ち受けていることを確認してください。一度も確立しない TCP 接続はアカウント層に到達しません。

逆に、明示的なアカウント拒否は、DNS が壊れているとか、証明書検証を緩めるべきだという証拠ではありません。そうした変更は接続を弱め、通常は拒否をそのままの場所に残します。

可能な限り小さな手順でテストします。ポートに到達できること、サインイン プロンプトが表示されること、表示されたアカウントが意図したものであることを確認し、それからパスワードを入力します。各手順には異なる失敗と異なる修正があります。

自動再接続はそのままにしておく

自動再接続は既存のエントリを、保存されたアカウントも含めて再利用します。これは利便性であり資格情報の修復ではないので、オフにしても誤った選択は直らず、オンにしても選択が作られるわけではありません。エントリに正しいアカウントが入っていれば、再接続はそれを使います。

修正したエントリを保存し、一度手動で接続し、どのアカウントが機能したかを記録してください。その一行があるからこそ、次の人の診断は午後いっぱいのキーチェーン考古学ではなく五分で済みます。