知識マップ: Windowsのセッション分離をどう理解するか ── Session 0・RDP・複数ユーザー同時実行

記事「Windowsのセッション分離をどう理解するか ── Session 0・RDP・複数ユーザー同時実行」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

Windowsのサービスはセッション0という隔離されたセッションで動作し、この分離がウィンドウメッセージ経由の権限昇格を構造的に遮断する一方、サービスは直接UIを出せないためUIが必要な場合はプロセス間通信で別プロセスに分離するか、タスクスケジューラの昇格タスクモデルで対話ユーザー側にUIを持たせる。Remote Desktop Services(RDS)はRDPを使って複数ユーザーの同時セッションを提供するが、通常のクライアントOSは単一セッションが基本で、Windows Enterpriseマルチセッションのみが例外となる。Mutexなどの名前付きカーネルオブジェクトはセッションごとに独立した名前空間を持つため、マシン全体で1つに絞りたい場合はGlobal\プレフィックスを明示しないと意図しない多重起動を招く。共有PCやRDS環境では、一時フォルダーやHKCUの扱いを誤ると複数ユーザー間で状態が意図せず共有される。

flowchart LR
    accTitle: Windowsのセッション分離の知識マップ
    accDescr: サービスが動くセッション0による権限昇格の遮断、RDSとRDPによる複数同時セッション、名前付きカーネルオブジェクトのセッション名前空間とGlobalプレフィックスの関係を示す図
    session_zero["セッション0"]
    rds["Remote Desktop Services(RDS)"]
    kernel_object_session_namespace["名前付きカーネルオブジェクトのセッション名前空間"]
    windows_service["Windowsサービス"]
    window_message_privilege_escalation["ウィンドウメッセージ経由の権限昇格"]
    ipc["プロセス間通信(IPC)"]
    named_pipe["名前付きパイプ"]
    elevated_task_model["Elevated Task Model"]
    task_scheduler["タスクスケジューラの無人実行"]
    admin_rights["管理者権限"]
    named_mutex["名前付きMutex"]
    global_namespace_prefix["Global\プレフィックス"]
    unintended_multi_instance["意図しない多重起動"]
    single_instance_enforcement["多重起動防止(シングルインスタンス化)"]
    rdp["RDP(リモートデスクトッププロトコル)"]
    rds_cal["RDS CAL(クライアントアクセスライセンス)"]
    wtsgetactiveconsolesessionid["WTSGetActiveConsoleSessionId"]
    sm_remotesession["GetSystemMetrics(SM_REMOTESESSION)"]
    processidtosessionid["ProcessIdToSessionId"]
    temp_folder_per_session["セッションごとの一時フォルダー"]
    device_redirection["デバイスリダイレクション"]
    hkcu["HKEY_CURRENT_USER(HKCU)"]
    cross_session_state_leak["セッション間の意図しない状態共有"]
    windows_service -->|"前提とする"| session_zero
    session_zero -->|"防止する"| window_message_privilege_escalation
    windows_service -.->|"前提とする"| ipc
    ipc -.->|"利用する"| named_pipe
    elevated_task_model -->|"前提とする"| task_scheduler
    elevated_task_model -->|"前提とする"| admin_rights
    named_mutex -->|"に保存される"| kernel_object_session_namespace
    named_mutex -->|"で構成できる"| global_namespace_prefix
    kernel_object_session_namespace -.->|"原因になり得る"| unintended_multi_instance
    single_instance_enforcement -->|"防止する"| unintended_multi_instance
    rds -->|"利用する"| rdp
    rds -.->|"前提とする"| rds_cal
    wtsgetactiveconsolesessionid -->|"用いるのは非推奨"| rds
    rdp -->|"で確認できる"| sm_remotesession
    rds -->|"で確認できる"| processidtosessionid
    rds -->|"利用する"| temp_folder_per_session
    rds -->|"利用する"| device_redirection
    hkcu -.->|"原因になり得る"| cross_session_state_leak
    elevated_task_model -.->|"推奨される対応"| session_zero
    rds -.->|"原因になり得る"| cross_session_state_leak

概念間の関係(全20件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• Windowsサービスはセッション0を前提とします。Windowsサービスはセッション0という隔離されたセッションで実行され、ユーザーと直接対話できない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• セッション0はウィンドウメッセージ経由の権限昇格を防ぎます。サービスとユーザーセッションをセッション0で分離したことで、標準権限のプロセスがサービスのウィンドウへ直接メッセージを送り込む権限昇格の経路が構造的に塞がれた / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Windowsサービスはプロセス間通信(IPC)を前提とします。UIが必要な場合はサービスとUIアプリをプロセス分離し、プロセス間通信で会話する構成にする / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• プロセス間通信(IPC)は名前付きパイプを利用します。サービスとUIアプリ間で通信する場合、その手段の一つとして名前付きパイプなどが案内されている / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Elevated Task Modelはタスクスケジューラの無人実行を前提とします。昇格タスクモデルは、標準ユーザーが起動できるセキュリティ記述子を持つSYSTEMタスクをタスクスケジューラに登録することを前提とする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Elevated Task Modelは管理者権限を前提とします。SYSTEM権限で実行されるタスクの登録には管理者権限が必要で、SYSTEMアカウント自体には対話的なログオン権がない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 名前付きMutexは名前付きカーネルオブジェクトのセッション名前空間に保存されます。プレフィックスを付けずに作成した名前付きMutexは、既定でそのセッション専用のLocal名前空間に配置される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 名前付きMutexはGlobal\プレフィックスで構成できます。マシン全体で1つのMutexに絞りたい場合は、名前の先頭にGlobal\を付けてグローバル名前空間へ明示的に配置する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 名前付きカーネルオブジェクトのセッション名前空間は意図しない多重起動の原因になることがあります。セッションごとに独立した名前空間があるため、既定の名前のままだと別ユーザーのセッションでは別のMutexとして扱われ、ユーザーごとに1つずつ起動できてしまう / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 多重起動防止(シングルインスタンス化)は意図しない多重起動を防ぎます。名前付きMutexをGlobal\付きで作成したうえで、自分が先に作成できたか(createdNew)を確かめ、既に別のインスタンスが所有していれば終了する — この判定まで含めて初めて、RDS環境で複数ユーザーが同時ログオンしていてもマシン全体でインスタンスを1つに絞れる。Global\を付けるだけでは名前空間がマシン全体になるだけで、どのプロセスもそのMutexを開けてそのまま動き続けてしまう / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Remote Desktop Services(RDS)はRDP(リモートデスクトッププロトコル)を利用します。RDSはRDP接続を介して複数ユーザーの同時セッションを提供するマルチセッション型の基盤である / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Remote Desktop Services(RDS)はRDS CAL(クライアントアクセスライセンス)を前提とします。2つの管理接続を超える利用にはRD Session Hostロールの導入と適切なRDS CALが必要になる(2つまでの管理用リモート接続はRDS CALなしで利用できる) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• WTSGetActiveConsoleSessionIdをRemote Desktop Services(RDS)に用いることは推奨されません。WTSGetActiveConsoleSessionIdが返すのは物理コンソールに接続されたセッションだけで、RDP経由でログオンしている複数ユーザーのセッション特定には使うべきでない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• RDP(リモートデスクトッププロトコル)はGetSystemMetrics(SM_REMOTESESSION)で確認できます。自プロセスがリモートセッションに紐付いているかはGetSystemMetrics(SM_REMOTESESSION)で確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Remote Desktop Services(RDS)はProcessIdToSessionIdで確認できます。同じマシンからの複数セッションを区別したいサーバー側は、ProcessIdToSessionIdでセッションを識別できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Remote Desktop Services(RDS)はセッションごとの一時フォルダーを利用します。RDSは既定でセッションごとに個別の一時フォルダーを作成し、アプリが%TEMP%を使っていればこの分離の恩恵を受けられる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Remote Desktop Services(RDS)はデバイスリダイレクションを利用します。RDSセッションからクライアント側のローカルデバイスへアクセスするにはリダイレクション機構を経由する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• HKEY_CURRENT_USER(HKCU)はセッション間の意図しない状態共有の原因になることがあります。HKCUはセッションではなくログオンユーザーに紐付くため、同一ユーザーが複数セッションを持つ構成ではセッションごとに独立させたい状態をHKCUに置くと他セッションへ意図せず影響する / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Elevated Task Modelはセッション0に対する本記事の推奨です。セッション0で動くサービスがUIを必要とする場合、IPCでの分離に加え、タスクスケジューラの昇格タスクモデルで対話ユーザー側にUIを持たせる方法も選択肢となる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Remote Desktop Services(RDS)はセッション間の意図しない状態共有の原因になることがあります。RDSで同一ユーザーアカウントを複数セッションで共有している構成では、セッションごとに独立させたい状態をHKCUなどユーザー単位の場所に置くと他セッションへ意図せず影響する / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典

主要概念の定義

セッション0

Windows Vista以降、サービスなど対話的ユーザーに関わらないプロセス専用に予約された、ユーザーの対話的セッションとは分離されたセッション。

Remote Desktop Services(RDS)

1台のWindows Serverに複数ユーザーが同時にログオンし、それぞれ独立したセッションでデスクトップやアプリを使えるようにするサーバーの役割・機能群。

名前付きカーネルオブジェクトのセッション名前空間

Mutex・イベント・セマフォなどの名前付きカーネルオブジェクトが、プレフィックスを付けない限りセッションごとに独立して配置される名前空間。

Windowsサービス

ユーザーのサインインと無関係にバックグラウンドで動くWindowsのプロセス。

プロセス間通信(IPC)

別プロセスとデータや合図をやり取りする仕組みの総称。

Elevated Task Model

標準ユーザーのUIアプリから、管理者権限で動くスケジュールタスクを起動して短い定型処理を行わせる権限分離モデルである。

名前付きMutex

名前を指定して作成し、その名前を知っている他のプロセスからも同じインスタンスを参照できる、相互排他用のWindowsカーネルオブジェクト。

多重起動防止(シングルインスタンス化)

同一アプリケーションの起動を、セッション・ユーザー・マシンなど選んだ単位で1つに制限する設計。

WTSGetActiveConsoleSessionId

物理コンソールに接続されているセッションIDを取得するWin32 APIで、RDP経由のセッションは対象に含まない。

RDP(リモートデスクトッププロトコル)

Windowsのリモートデスクトップ接続で、画面表示や入力をネットワーク越しにやり取りするプロトコル。

HKEY_CURRENT_USER(HKCU)

セッションではなくログオンユーザーに紐付くレジストリのルートキーで、同一ユーザーの複数セッション間で値が共有される。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。