Tutorial: RDP Windows Server接続ログのチェック方法

RDP接続のためのログファイルはありますか？

RDP接続のためにログファイルは保持されていますか？もちろん、着信および発信のRDP接続を監視することができます。これらのイベントに関する情報は、ユーザーがリモートデスクトップホストに接続した際に保存されます。それらを見つける方法を知っているだけです。

RDP Windows Server接続ログの確認方法

以下には、着信および発信のRDP Windows Server接続ログを確認するための3つの方法がリストされています。これらの方法は、Windows Server 2022/2019/2016/2012 R2およびデスクトップエディション（Windows 11、10、8.1、8、および7）のRDPログの解析に適用されます。

パート1. 着信RDP Windows Server接続ログの確認方法

着信RDP Windows Server接続ログを確認するための3つの方法があります。

方法1. イベントビューアを使用して着信RDP接続ログを確認する

Windows Serverで着信RDP接続ログを確認する最初の方法は、イベントビューアを使用する方法です。

ステップ1. Win Rを押して、実行ダイアログボックスを呼び出し、「eventvwr.msc」と入力してOKを押してイベントビューアを開きます。

ステップ2. ここをたどります：Applications and Services Logs > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Operational。 Operationalを右クリックし、Filter Current Logを選択します。

ステップ3. リモートデスクトップサービスのイベントIDは1149です。ログをフィルタするために1149を入力してください。

ステップ4. その後、このサーバーへのすべてのRDP接続の履歴を含むイベントリストが表示されます。

ステップ5. それらのうちの1つをクリックすると、IPアドレス、コンピュータ名、ログイン時刻など、RDP接続の詳細が表示されます。

方法2. レジストリを通じて着信RDP接続ログを確認する

レジストリを使って着信のRDP接続ログを確認することもできます。

ステップ1. Win Rを押すと、実行ダイアログボックスが表示されます。その後、"regedit"と入力してOKを押してレジストリを開きます。

ステップ2. ここに移動します：HKEY_CURRENT_USER > SOFTWARE > Microsoft > Terminal Server Client。 Defaultキーを展開すると、過去10回分のRDP接続履歴が格納されています。

ステップ3. Serversキーも展開することができます。これには、以前のログインに使用されたすべてのRDPサーバーおよびユーザー名のリストが含まれています。 RDP接続履歴をクリアしたい場合は、右クリックして削除できます。

方法3. PowerShellを通じて着信RDP接続ログを確認する

以下に示すPowerShellスクリプトは、Windows Server 2012 R2/2016/2019/2022のターミナルRDSサーバーのイベントログからリモートデスクトップ接続の履歴を調べる別の方法です。 表には、接続時刻、クライアントのIPアドレス、リモートユーザー名、およびログオンタイプが表示されます。

ステップ1. スタートを右クリックし、Windows PowerShell (管理者)を選択します。

,上記のコンテンツを日本語に翻訳してください。「a」タグの「href」属性の値や「img」タグの「src」属性の値は翻訳しないでください。
{{}}の中のコンテンツは翻訳する必要はありません。
Unicode文字は翻訳しないでください。
HTMLの構造と属性を変更したり翻訳したりしないでください。

ステップ2. 以下のスクリプトを入力すると、受信RDP接続ログが表示されます。

Get-EventLog -LogName Security -after (Get-date -hour 0 -minute 0 -second 0)| ?{(4624,4778) -contains $_.EventID -and $_.Message -match "logon type:\s (10)\s"}| %{ (new-object -Type PSObject -Property @{ TimeGenerated = $_.TimeGenerated ClientIP = $_.Message -replace "(?smi).*Source Network Address:\s ([^\s] )\s .*","$1" UserName = $_.Message -replace "(?smi).*\s\sAccount Name:\s ([^\s] )\s .*","$1" UserDomain = $_.Message -replace "(?smi).*\s\sAccount Domain:\s ([^\s] )\s .*","$1" LogonType = $_.Message -replace "(?smi).*Logon Type:\s ([^\s] )\s .*","$1" }) } | sort TimeGenerated -Descending | Select TimeGenerated, ClientIP ` , @{N="Username";E={"{0}\{1}" -f $_.UserDomain,$_.UserName}} ` , @{N="LogType";E={ switch ($_.LogonType) { 2 {"対話 - ローカル接続"} 3 {"ネットワーク接続 (共有フォルダ)"} 4 {"バッチ"} 5 {"サービス"} 7 {"ロック解除 (スクリーンセーバー後)"} 8 {"NetworkCleartext"} 9 {"NewCredentials (既存接続の下でのローカルな模倣プロセス)"} 10 {"RDP"} 11 {"CachedInteractive"} default {"ログタイプが認識されていません: $($_.LogonType)"} } }}

Part 2. 送信RDP Windows Server接続ログの確認方法

送信RDP接続ログは、クライアント側でも表示することができます。2つのオプションがあります。

方法1. イベントビューアを使用して送信RDP接続ログを確認する

次のイベントログには、送信RDP接続ログが含まれています: Application and Services Logs > Microsoft > Windows > TerminalServices-ClientActiveXCore > Microsoft-Windows-TerminalServices-RDPClient > Operational。ユーザーがリモートのWindows Server RDSホストまたはWindows 10/11コンピュータに接続する場合、例えば、イベントID 1102が発生します。

方法2. PowerShellを使用して送信RDP接続ログを確認する

,HTML タグ a の href 属性の値や img タグの src 属性の値は翻訳しないでください。{{}} 内の内容は翻訳しなくても構いません。Unicode 文字は翻訳しないでください。HTML の構造と属性を変更や修正しないでください。

現在のコンピュータでRDPクライアント接続の履歴を表示するためのPowerShellスクリプトがあります。このスクリプトは、このコンピュータでRDP接続を開始したユーザーのSID、およびユーザーが接続したリモートデスクトップホストのDNS名/IPアドレスを返します。

$properties = @(@{n="TimeStamp";e={$_.TimeCreated}} @{n="LocalUser";e={$_.UserID}} @{n="Target RDP host";e={$_.Properties[1].Value}} ) Get-WinEvent -FilterHashTable @{LogName="Microsoft-Windows-TerminalServices-RDPClient/Operational";ID="1102"} | Select-Object $properties

AnyViewer：簡単にWindowsで外部接続ログを確認する

無料のリモートデスクトップソフトウェアAnyViewerを使用すると、コンピュータから行った外部リモート接続を簡単に確認できます。AnyViewerはWindows ServerとWindowsオペレーティングシステムの両方をサポートしています。以下に詳細な手順をご確認ください。

ステップ1. AnyViewerをコンピュータにダウンロードし、インストールして起動します。

ステップ2. すでにAnyViewerアカウントをお持ちの場合は、直接ログインすることができます。そうでない場合は、サインアップ情報を入力し、サインアップをクリックしてAnyViewerアカウントを作成します。

ステップ3. これでAnyViewerに正常にログインしたことが確認できます。 Device タブに移動し、Currently connectedリストを確認します。ここには、最後に行った10件のリモート接続がリストされています。

ステップ4. 特定のデバイスを選択して、Propertiesをクリックすると、接続先コンピュータのIPアドレスと具体的な接続時間が表示されます。

Conclusion

This post mainly introduces the ways to check RDP Windows Server connection logs. It would be very helpful if you want to know the incoming and outgoing RDP connection on your Windows Server. If you use AnyViewer, it will be easier for you to check the remote connection you have made.