1.はじめに

AWS Systems Manager Fleet Manager（以下、Fleet Manager）とは、AWS やオンプレミスで実行されているサーバーをリモートで管理できる機能です。
マネジメントコンソール画面からリモートデスクトッププロトコル（RDP）を使用した Windows Server への接続、フォルダやファイルのコンテンツ表示、Windows レジストリの管理、OS ユーザーやグループの管理といった各種運用・保守タスクをブラウザ経由で実行できます。

Windows Server を運用するにあたって、作業者向けに一時的な OS ユーザーを発行したいケースや、既存のユーザーを特定のローカルグループ（Remote Desktop Users など）へ追加・削除したい場面があるかと思います。
その際、GUI の「コンピューターの管理」や PowerShell コマンドを用いて作業を行うことが多いかと思いますが、Fleet Manager にはマネジメントコンソール上から OS ユーザーやグループを直接管理できる機能が用意されています。
公式ドキュメントですと Fleet Manager を使用してマネージドノード上の OS ユーザーアカウントとグループを管理する に機能の概要と各操作の手順が記載されています。

マネジメントコンソール上の操作だけでユーザー作成からグループ所属の制御、そしてリモートデスクトップ接続まで完結できるのか、挙動が気になったので、Fleet Manager の OS ユーザー・グループ管理機能を実際に試してみました。

2.検証構成について

システム構成の概要

リージョンは東京リージョン（ap-northeast-1）です。
インターネットへのアウトバウンド通信が可能なネットワーク環境にて、Windows Server 2025 の EC2 インスタンスを 1 台配置しています。
利用 AMI は Windows_Server-2025-Japanese-Full-Base-2026.09.17 です。

セキュリティグループのインバウンドルールは設定していません。
EC2 インスタンスの IAM ロールには、AmazonSSMManagedInstanceCore ポリシーをアタッチしています。

全体の構成イメージは以下の通りです。

[管理者 / 作業者] (マネジメントコンソール)
      │
      │ HTTPS
      ▼
[AWS Systems Manager Fleet Manager]
      │
      │ SSM エージェント経由（インバウンド通信不要）
      ▼
[EC2 インスタンス (Windows Server 2025)]
  ├─ ローカルユーザー (test-fleet-user 等)
  └─ ローカルグループ (Remote Desktop Users 等)

起動した EC2 インスタンスは以下となります。

AWS Systems Manager から「フリートマネージャー」の「マネージドノード」画面を確認します。
対象のインスタンスがマネージドノードとして登録されていることが確認できます。

3.ユーザーおよびグループ管理画面の確認

Fleet Manager 上で Windows Server のローカルユーザーおよびグループがどのように表示されるかを確認してみます。

マネージドノード一覧から対象のインスタンスを選択し、「ノードアクション」メニューから「ツール」→「ユーザーとグループを管理」を選択します。

管理画面が開くと、「ユーザー」タブにインスタンス内のローカルユーザー一覧が表示されます。
OS の初期状態で存在する Administrator や Guest、DefaultAccount などが確認できます。

続いて「グループ」タブを選択してみます。
Administrators や Remote Desktop Users など、Windows Server に組み込まれているローカルグループの一覧が表示されます。

このように、サーバーにログオンすることなく、コンソール上から既存のユーザーやグループの構成状況を把握できます。

4.OS ユーザーの新規作成

Fleet Manager から新しい OS ユーザーを作成してみます。

「ユーザー」タブの右上にある「新しいユーザーの作成」ボタンを選択します。

ユーザー作成のダイアログが表示されます。
今回は、名前と説明に「test-fleet-user」を入力し、「パスワードを設定する」にチェックを入れます。
パスワード設定用のターミナル領域が表示されるため、設定したいパスワードを入力します。

パスワードの確認入力欄が表示されるため、再度パスワードを入力します。

入力内容を確認し、「新しいユーザーの作成」ボタンを選択します。

処理が完了すると、ユーザー一覧に「test-fleet-user」が追加されていることが確認できます。

コンソール上での作成操作が実際の Windows Server 側に正しく反映されているかを確認してみます。
サーバーに Administrator でリモートデスクトップ接続し、「コンピューターの管理」から「ローカル ユーザーとグループ」→「ユーザー」を確認しました。

サーバー上にも期待通り「test-fleet-user」が作成されていることが確認できました。

5.作成したユーザーでの RDP ログオンと Remote Desktop Users グループへの追加

作成したユーザーを用いて、Fleet Manager のリモートデスクトップ接続機能からサーバーへログオンできるか試してみます。

Fleet Manager のノードアクションから「リモートデスクトップで接続」を選択し、リモートデスクトップ接続用の画面に遷移した後、認証タイプに「ユーザー認証情報」が指定された状態で、作成したユーザー名（test-fleet-user）とパスワードを入力します。

「接続」を実行したところ、以下の画面が表示されました。

画面上部に「リモートデスクトップ接続を確立できません。有効な認証情報が入力されていることと、リモートデスクトップを通じてログインするための許可が指定したユーザーに付与されていることを確認してください。」というエラーメッセージが表示され、接続できませんでした。

OS ユーザーを作成しただけではリモートデスクトップ経由でのログオン権限が付与されないため、接続が拒否されます。
リモートデスクトップ接続を許可するため、今回は「Remote Desktop Users」グループへユーザーを追加してみます。

このグループ所属の変更作業も、Fleet Manager 上から行ってみます。

「グループ」タブを開き、一覧から「Remote Desktop Users」を選択し、「アクション」メニューから「グループを変更」を選択します。

グループメンバーの選択ダイアログが表示されます。
先ほど作成した「test-fleet-user」を選択して「グループの変更」を実行します。

グループ一覧画面に戻ると、Remote Desktop Users のメンバー数が「1」に更新されていることが確認できます。

グループへの追加が完了したため、再度 Fleet Manager から「test-fleet-user」でリモートデスクトップ接続を試してみます。

「接続」を実行したところ、期待通りログオン処理が進み、Windows Server のデスクトップ画面が表示されました。

実機側での設定状態も確認してみます。
Windows Server の「コンピューターの管理」から「ローカル ユーザーとグループ」→「グループ」を開き、「Remote Desktop Users」のプロパティを確認しました。

実機側でも「test-fleet-user」が正常にグループのメンバーとして登録されていることが確認できました。

6.グループ所属の解除と挙動確認

続いて、グループからユーザーを除外した場合の挙動を確認してみます。
ユーザーのリモートデスクトップでのログオン権限を剥奪したいケースを想定しています。

Fleet Manager の「グループ」タブから「Remote Desktop Users」を選択し、「アクション」→「グループを変更」を開きます。

登録されているメンバー一覧が表示されます。

「test-fleet-user」の横にある「×」アイコンを選択してメンバーから外し、「グループの変更」を実行します。

グループ一覧画面を確認すると、Remote Desktop Users のメンバー数が「0」に戻っていることが確認できます。

この状態で、再度「test-fleet-user」を用いてリモートデスクトップ接続を試行してみます。

リモートデスクトップでのログオン権限がない旨のエラーが発生し、ログオンできなくなっていることが確認できました。

念のため、Windows Server 実機側のグループ情報も確認してみます。

サーバー上でも Remote Desktop Users グループからユーザーが除外されていることが確認できました。

7.作成した OS ユーザーの削除

最後に、作成した OS ユーザーそのものを Fleet Manager を使って削除してみます。

「ユーザー」タブの一覧から「test-fleet-user」を選択し、「アクション」メニューから「ユーザーの削除」を選択します。

確認ダイアログが表示されます。
テキスト入力フィールドにユーザー名を入力し、削除を実行します。

削除処理が完了すると、Fleet Manager のユーザー一覧に「test-fleet-user」が表示されなくなりました。

Windows Server 実機の「コンピューターの管理」からも確認してみます。

実機側でも「test-fleet-user」が削除されていることが確認できました。

8.おわりに

Fleet Manager の機能を用いることで、Windows Server に直接ログオンすることなく、マネジメントコンソール上から OS ユーザーの作成・削除、およびグループ所属の追加・解除が実施できることを確認しました。

ユーザーを作成した直後の状態ではリモートデスクトップ接続の権限が付与されておらず、例えば Remote Desktop Users グループへの追加が必要であるという権限制御も機能していることが分かりました。
一時的な調査・保守作業用のユーザーを発行したい場合や、作業完了後に権限の剥奪を速やかに行いたい場面において、サーバーへ直接ログオンする手間を抑えてブラウザ上から作業ができる点は便利なところかと思います。

Fleet Manager を活用した Windows Server の運用管理を検討されている方の参考になれば幸いです。