ワークグループで運用されている環境にCD・DVDサーバを組み込むとどのようになるのでしょうか？ 結論から言いますと全く現状と変わりません。アクティブディレクトリがそこに存在しても、ワークグループはワークグループとして独立して存在しているからです。
　では、CD・DVDサーバへのアクセスはどうなるのでしょう。現在のマシン内からCD・DVDサーバが管理するドメインに「別の」ユーザとしてログオンすることになります。例えばワークグループ内ではマシン「PC01」にユーザ「山田太郎」でログオンしているときに、CD・DVDサーバのADドメイン「Rexasthinclient」へユーザ「Visitor1」で同時にログオンすることになります。ディスプレイに2つのWindowsデスクトップが表示されますが、これは2つのマシンを独立して動かしているのだと考えればわかりやすいのではないでしょうか。

　実際にワークグループとADドメインとは別々のネットワークと判断されますので、相互に影響を及ぼすことはありません。

　既にアクティブディレクトリを導入されているケースではどうでしょうか？ 現在あるADドメインと共存できるのでしょうか？ こちらも結論から言いますと、全く現状と変わりません。アクティブディレクトリが相互に独立した (名前空間を共有していない)状態であれば、結局ワークグループの場合と同じだからです。もちろんADドメイン間で相互信頼関係を結ぶこともできますが、CD・DVDサーバで管理しているリソースは他のADドメインから明確に独立しているので、敢えて相互信頼関係を結ぶ必要はありません。
　では、CD・DVDサーバへのアクセスはどうなるのでしょう。例えばADドメイン「Domain_Lib」内でユーザ「山田太郎」でログオンしているときに、CD・DVDサーバのADドメイン「Rexasthinclient」にはユーザ「Visitor1」で同時にログオンすることになります。

　実際にADドメイン同士は別々のネットワークと判断されますので、信頼関係を結ばない限り、相互に影響を及ぼすことはありません。

　ある規模以上のネットワークでは複数のADドメインを階層的に配置することで連続した名前空間を共有し、管理の効率化を図ります。これら階層的に配置されたADドメインを「ツリー」と呼びます(ADドメインが単独で存在していても便宜上ツリーと呼びます)。それらのツリーを複数まとめたものを「フォレスト」と呼びますが、CD・DVDサーバはフォレストに含めるべきでしょうか？ フォレストに含めると自動的に相互信頼関係が結ばれてしまいます。「複数のADドメインの共存」で考察したとおり、CD・DVDサーバで管理しているリソースは他のADドメインから明確に独立しており、敢えて相互信頼関係を結ぶ必要はないと考えられますので、CD・DVDサーバはフォレストには含めない方が管理しやすいでしょう。ただし組織のポリシーとしてフォレストに含める必要がある場合はこの限りではありません。

　RDPでは結果として得られたデータが、LAN上を流れていきます。このデータは暗号化されていますが、その暗号を破られればデータを盗み見ることができます。現在ではRDPも改良が進み、以前(RSA RC4 56bit)に比べて格段に強力な暗号(RSA RC4 128bit)が使えるので、その危険性はほとんどありません。

　RDPを放置すると全てのWindows PCに対して乗っ取りの可能性が発生します。特に今までこのことを特に意識していなかった場合は、より危険度が増します。必ず何らかの対策が必要です。
　対象PCのリモートデスクトップが有効である場合、ユーザ名とパスワードの組み合わせが知られると簡単にPCに侵入されます(成りすまし)。侵入されるとそのユーザで行える事はすべて実行することができてしまいます。データの持ち出し・改竄、破壊はもちろん、踏み台として他のシステムへの侵入・攻撃用マシンとして用いられることもあります。パスワードを変更されれば、本来のユーザが使用できなくなり、乗っ取られてしまいます。

　PC・サーバで、リモートデスクトップを使用しない設定にすれば乗っ取られることはありません(同時にリモートアシスタンスも使用しない設定にしましょう)。ネットワーク内のリモートデスクトップを用いないPC・サーバは全てこの設定にするべきです。こうすれば言わば鍵穴ごと扉を塞いでしまうようなものなので、ここから侵入されることは絶対にありません。ただ、この設定が管理者の知らない間に変更されてしまうこともありますので、必ずここでの対策だけではなく他の対策と併せて実施してください。

　パスワードはなるべく複雑にするべきです。また、頻繁にパスワードを変えるのも有効です。

　特定のIPアドレス(複数設定可能)からのみRDPを受け付けるように設定できます。こうすることで定められたPC以外からではRDPでの接続ができなくなります。

　乗っ取られると被害の大きい高権限グループのRDP接続を「ローカル セキュリティの設定」で禁止することができます。こうすれば、万が一ユーザ名とパスワードを盗まれても侵入されず、したがって乗っ取られることはありません。権限の低いユーザの場合、ユーザ名とパスワードを盗まれて侵入されても、サーバの設定等を変更することはできません。REXASシンクライアント方式CD・DVDサーバで用意されている、一般閲覧者が利用するユーザ権限では、プログラムのインストールはおろか、サーバのシャットダウンさえ行うことはできません。

　通常、RDPで使用されるポート番号は3389ですが、これを変更しておくことで、接続の試みを最初の段階できャンセルすることができます。例えばポート番号を49152などに変更するだけで、侵入されるリスクを大きく減じることができます。

　サーバ認証にTLS(Transport Layer Security)を使用し、通信を暗号化するように構成することで、セキュリティを強化できます。

　パケットフィルタ機能を用いてRDPをブロック、特定IP間でのRDPだけ通すように設定します。なお、ルータやスイッチ(ハブ)等によって細部の機能は異なります。特定IP(クライアント)からの特定IP(サーバ)へのRDPだけを通し、それ以外のRDPは全てブロックする設定にすれば、安全性がより増します。