logonHoursが制限されているときに「ローカルセキュリティ機関にアクセスできません」というエラーメッセージが表示される

Windows Server 2012でリモートデスクトップユーザーのlogonHoursを定義しようとしています。リモート接続にはネットワークレベル認証が必要です。ログオン時間が制限されているアカウント（ActiveDirectoryで定義）が拒否された時間に接続しようとすると、クライアント（リモートデスクトップ接続）は次のように応答します。

An authentication error has occurred.
The Local Security Authority cannot be contacted.

アカウントが許可された時間にログインしようとした場合、すべてが正常に動作します。ネットワークレベル認証が不要な場合、クライアントはサーバーに接続します。これにより、ログオンは拒否されますが、「アカウントには時間制限があります...」というはるかに優れたエラーメッセージが表示されます。

それでもNLAを必要とする方法はありますが、時間制限についてわかりやすい通知を提示しますか？ポリシー設定やその他の構成がありませんか？

信頼する側のドメインに参加しているマシンからRDPクライアントを実行すると、RDPクライアントは使いやすいエラーメッセージを表示し、RDPクライアントはRDPサーバー（セッションホスト）のホスト名を解決できる必要があります。

• RDPクライアントは、RDPサーバーが存在するドメインを信頼するドメインに参加している必要があります
• 日付と時刻を同期する必要があります
• IPアドレスではなく、ホスト名またはFQDNを使用してRDPサーバーに接続する

このエラーは、上記の要件のいずれかが満たされていない場合に発生します。

この場合、これは実際にはNLAによって提供される追加のセキュリティが原因です。これが特徴です。RDPサーバーのドメインによって信頼されていないコンピューターは、使用されているアカウントに関するいかなる種類の情報も取得できません。

エラーメッセージ「ローカルセキュリティ機関にアクセスできません」は、ユーザーアカウントが無効、期限切れ、信頼できない、時間制限があるかどうか、またはRDPクライアントを実行している信頼できないコンピューターに、攻撃者が有効なアカウントを特定するために使用できる情報の漏洩を防ぎます。

アプリケーション層のエラーメッセージを要求していますが、ネットワーク層のセキュリティ機能が必要です。ケーキを食べて食べることはできません。

ネットワーク層はアプリケーション層に接続できません。したがって、受け取るメッセージは完全に正確です。

Win 2012 R2サーバーへの失敗したWin 7 RDP接続から同じメッセージが見つかりました。Royal TSX for RDPを使用してMacbookの同じアカウントを使用して同じサーバーへの接続をテストしましたが、パスワードの有効期限が切れているという警告が表示されました。パスワードをリセットすると、ユーザーはWindows 7 RDPセッションを介してログオンできました。

これは、ワークステーションサービスが無効になっていることを意味します。それを再度有効にすると、問題ありません。

管理者権限でコマンドラインを起動し、次のコマンドを実行します。

sc config LanmanWorkstation start= auto
sc start LanmanWorkstation

start = autoの後にスペースがあることに注意してください