知識マップ: PowerShell Remoting(WinRM)入門 ── 複数台のWindowsを一括管理する

記事「PowerShell Remoting(WinRM)入門 ── 複数台のWindowsを一括管理する」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

この記事は、WinRM(WS-Managementの実装)の上で動くPowerShell Remotingの仕組みと安全な使い方を扱う。Enable-PSRemotingはWinRMサービスの起動・リスナー作成・ファイアウォール例外・セッション構成の有効化を自動化し、ドメイン環境はKerberosによる相互認証でそのまま接続できる一方、ワークグループ環境はNTLM認証となり接続側のTrustedHostsへの登録と明示的な資格情報が必要になるとしている。Invoke-Commandによる一括実行の結果はメソッドを持たないデシリアライズ済みオブジェクトであり、操作はリモート側のScriptBlockで完結させるべきだとする。接続先からさらに別サーバーへ届かないsecond hop問題には、$using:による資格情報の明示的な受け渡しを最も手軽な対処とし、リソースベースのKerberos制約付き委任やJEA、リスクの大きいCredSSPを状況に応じた選択肢として位置づけている。

flowchart LR
    accTitle: PowerShell Remoting(WinRM)の知識マップ
    accDescr: PowerShell RemotingがWinRM上でInvoke-CommandやPSSessionを動かし、ドメインのKerberosとワークグループのNTLM/TrustedHostsで認証経路が分かれ、second hop問題に対して明示的な資格情報渡し・委任・JEA・CredSSPという複数の対処が並ぶ関係を示す図。
    powershell_remoting["PowerShell Remoting"]
    winrm["WinRM(Windows Remote Management)"]
    invoke_command["Invoke-Command"]
    enter_pssession["Enter-PSSession"]
    new_pssession["New-PSSession"]
    ssh_remoting["SSHベースのPowerShell Remoting"]
    clixml_deserialization["CLIXMLシリアライズ/デシリアライズされたオブジェクト"]
    test_wsman["Test-WSMan"]
    kerberos["Kerberos"]
    ntlm["NTLM"]
    enable_psremoting["Enable-PSRemoting"]
    windows_firewall["Windowsファイアウォール"]
    get_netfirewallrule["Get-NetFirewallRule"]
    trustedhosts["TrustedHosts"]
    winrm_https_listener["WinRM HTTPS(5986)リスナー"]
    mutual_authentication["相互認証"]
    resource_based_kerberos_constrained_delegation["リソースベースのKerberos制約付き委任"]
    second_hop_problem["second hop(ダブルホップ)問題"]
    credssp["CredSSP"]
    account_takeover["アカウント乗っ取り"]
    jea["JEA(Just Enough Administration)"]
    using_scope_modifier["$using:スコープ修飾子"]
    powershell_remoting -.->|"利用する"| winrm
    powershell_remoting -->|"利用する"| invoke_command
    powershell_remoting -->|"利用する"| enter_pssession
    powershell_remoting -->|"利用する"| new_pssession
    powershell_remoting -.->|"利用する"| ssh_remoting
    powershell_remoting -->|"利用する"| clixml_deserialization
    powershell_remoting -.->|"で確認できる"| test_wsman
    powershell_remoting -.->|"利用する"| kerberos
    powershell_remoting -.->|"利用する"| ntlm
    enable_psremoting -->|"自動化する"| winrm
    windows_firewall -->|"で構成できる"| enable_psremoting
    windows_firewall -->|"で確認できる"| get_netfirewallrule
    winrm -.->|"で構成できる"| trustedhosts
    winrm -->|"で構成できる"| winrm_https_listener
    ntlm -.->|"前提とする"| trustedhosts
    kerberos -->|"実装を担う"| mutual_authentication
    resource_based_kerberos_constrained_delegation -.->|"軽減する"| second_hop_problem
    credssp -.->|"用いるのは非推奨"| second_hop_problem
    credssp -.->|"原因になり得る"| account_takeover
    jea -.->|"推奨される対応"| second_hop_problem
    using_scope_modifier -.->|"推奨される対応"| second_hop_problem
    invoke_command -.->|"利用する"| using_scope_modifier
    new_pssession -.->|"推奨される対応"| invoke_command
    ssh_remoting -->|"両立しない"| jea

概念間の関係(全24件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

PowerShell RemotingはWinRM(Windows Remote Management)を利用します。既定のトランスポートでは、PowerShell RemotingはWinRM(WS-Managementの実装)の上で動く(PowerShell 7ではSSHベースのRemotingという代替もある) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはInvoke-Commandを利用します。複数台への一括実行にはInvoke-Commandを使う / 確度: 確立した関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはEnter-PSSessionを利用します。1台を対話的に調べるにはEnter-PSSessionを使う / 確度: 確立した関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはNew-PSSessionを利用します。状態を保って何度も使うセッションにはNew-PSSessionを使う / 確度: 確立した関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはSSHベースのPowerShell Remotingを利用します。PowerShell 7で、WinRMの代わりにSSHベースのRemotingを選んだ場合はこちらを使う / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはCLIXMLシリアライズ/デシリアライズされたオブジェクトを利用します。リモートから返る結果はCLIXMLでシリアライズ/デシリアライズされたメソッドを持たないスナップショットになる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはTest-WSManで確認できます。WinRM経由のRemotingでは、疎通は接続する側からのTest-WSManで確認できる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはKerberosを利用します。ドメイン環境ではPowerShell RemotingはKerberos認証でそのまま接続できる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
PowerShell RemotingはNTLMを利用します。ワークグループ環境ではKerberosが使えずNTLM認証になる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Enable-PSRemotingはWinRM(Windows Remote Management)を自動化します。Enable-PSRemotingはWinRMサービスの開始・自動起動化・リスナー作成・セッション構成有効化を1つのコマンドで自動化する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
WindowsファイアウォールはEnable-PSRemotingで構成できます。WindowsファイアウォールのWS-Management通信の例外はEnable-PSRemotingの実行で有効化される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
WindowsファイアウォールはGet-NetFirewallRuleで確認できます。パブリックプロファイルでの規則の範囲などはGet-NetFirewallRuleで確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
WinRM(Windows Remote Management)はTrustedHostsで構成できます。ワークグループ環境では、接続する側のTrustedHostsに相手を登録してWinRM接続を構成する / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
WinRM(Windows Remote Management)はWinRM HTTPS(5986)リスナーで構成できます。WinRMはサーバー認証証明書を使ったHTTPS(5986)リスナーで構成できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
NTLMはTrustedHostsを前提とします。ワークグループでNTLM認証を使う場合、接続側でTrustedHostsへの登録が必要になる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Kerberosは相互認証の実装を担います。ドメイン環境のKerberos認証はクライアントとサーバーが互いを検証する相互認証を提供する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
リソースベースのKerberos制約付き委任はsecond hop(ダブルホップ)問題を軽減します。リソースベースのKerberos制約付き委任は、ドメイン管理者権限なしで構成でき、second hop問題への対処として安全性と手間のバランスが良い / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
CredSSPをsecond hop(ダブルホップ)問題に用いることは推奨されません。CredSSPはsecond hop問題を回避できるが、資格情報がリモートサーバーにキャッシュされ侵害時のリスクが大きいため、有効化は最も信頼できる環境に限定すべきとされる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
CredSSPはアカウント乗っ取りの原因になることがあります。CredSSPで資格情報がキャッシュされた中継サーバーが侵害されると、資格情報ごと盗まれてなりすましに使われうる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
JEA(Just Enough Administration)はsecond hop(ダブルホップ)問題に対する本記事の推奨です。中継サーバーに管理者資格情報を配る代わりに、Cへのアクセスを含む定型作業だけを許可した窓口をJEAで用意する対処が挙げられている / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
$using:スコープ修飾子はsecond hop(ダブルホップ)問題に対する本記事の推奨です。内側のInvoke-Commandへ$using:credで資格情報を渡すのは、サーバー側の構成変更が不要な最も手軽な回避策とされる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Invoke-Commandは$using:スコープ修飾子を利用します。Invoke-CommandのScriptBlockでローカル変数の値を使う2つの方法のうち、値をそのまま埋め込むには$using:スコープ修飾子を使う(もう一方は-ArgumentList) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
New-PSSessionはInvoke-Commandに対する本記事の推奨です。同じサーバー群に何度もコマンドを投げる調査作業では、都度接続するInvoke-Commandより、New-PSSessionでセッションを作って使い回す方が速いとされる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
SSHベースのPowerShell RemotingはJEA(Just Enough Administration)と両立しません。SSHベースのRemotingでは、WinRMベースにあるエンドポイント構成やJEAのような機能は現状サポートされない / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

PowerShell Remoting: リモートコンピューター上のPowerShellにコマンドを送り、複数台への同じ作業を一括で行う仕組み。既定のトランスポートはWinRM(WS-Managementの実装)だが、PowerShell 7ではSSHベースのRemotingも選べる。
WinRM(Windows Remote Management): 標準プロトコルWS-ManagementのMicrosoft実装で、既定でHTTP 5985番・HTTPS 5986番ポートを使うリモート管理の土台。
Enable-PSRemoting: 内部でSet-WSManQuickConfigを実行し、WinRMサービスの開始・自動起動化、リスナー作成、ファイアウォール例外の有効化、セッション構成の有効化をまとめて行うPowerShellのコマンドレット。
Windowsファイアウォール: 全エディションで既定有効の、Windows標準のホスト型ファイアウォール。
NTLM: パスワードの一方向ハッシュを使ったチャレンジ/レスポンス方式の認証プロトコル群(LANMAN・NTLMv1・NTLMv2を含む)。相互認証を持たず、サーバーが本物であると仮定できる環境向けに設計されている。
Kerberos: チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。
リソースベースのKerberos制約付き委任: 資格情報を保存せず、アクセス先のサーバー側で中継サーバーからの委任を受けると構成する、second hop問題への対処方式。
CredSSP: second hop問題への対処の1つで、資格情報をリモートサーバーにキャッシュすることで転送先へのアクセスを可能にする認証方式。既定で無効。
JEA(Just Enough Administration): 実行できるコマンドレット・関数・外部コマンドを限定した専用のセッション構成を用意し、管理者権限を委任する範囲を絞り込むPowerShellのセキュリティ技術。
$using:スコープ修飾子: コマンドレットを呼び出したスレッドから、実行中の各スクリプトブロックのスレッドへ変数を渡すための修飾子。同一プロセス内では参照が渡り、別プロセス・別マシンではシリアライズされたコピーが渡る。
Invoke-Command: 指定した複数のコンピューターに対してスクリプトブロックを並列に実行するPowerShellコマンドレット。WinRMによるリモート処理を前提とする。
New-PSSession: 持続的な接続(PSSession)を作成し、複数コマンドの実行で状態を共有できるようにするPowerShellのコマンドレット。
SSHベースのPowerShell Remoting: PowerShell 6以降で使える、WinRMの代わりにSSHで接続するRemoting。Invoke-Command/Enter-PSSession/New-PSSessionに-HostNameなどのSSH用パラメーターセットが追加されている。

機械可読データ

JSON-LD / Turtle ── この記事の知識グラフ全体
概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。