G-gen の今村です。当記事では、Google Cloud（旧称 GCP）の仮想マシンサービスである Compute Engine で Windows Server VM を起動し、リモートデスクトップでログインするまでの手順について解説します。
はじめに
Compute Engine の基本的な概念や操作方法、およびマシンタイプやネットワークなどのその他設定については、以下の記事を参照してください。当記事では Windows Server 固有の手順に絞って解説します。
VM の起動
新規 VM の設定画面へ遷移
Google Cloud コンソール上部の検索窓で「Compute Engine」を検索し、「VM インスタンス」をクリックします。 次に、遷移した先で「インスタンスを作成」をクリックします。
インスタンスの作成には、Compute インスタンス管理者（v1）（roles/compute.instanceAdmin.v1）の IAM 権限が必要です。作業するユーザーに対して、当該のロールが付与されていることを確認してください。
IAM については以下の記事を参照してください。
VM の設定
概要
VM インスタンスの設定画面は大きく、マシンの構成、OS とストレージ、データ保護、ネットワーキング、オブザーバビリティ、セキュリティ、詳細の7セクションに分かれています。
当記事では、それぞれのセクション内での設定項目については詳細な説明を割愛します。細かい設定や推奨される利用方法など、公式ドキュメントを参照しながら利用要件に合わせて適切な設定を行ってください。
なお、設定項目及び UI は2026年6月現在のものであり、当記事で解説する内容は変更される可能性がある点に留意してください。
マシンの構成
リージョンやゾーン、マシンタイプ等を設定します。
OS とストレージ
使用する OS やディスクサイズを設定します。
デフォルトでは Windows 以外の OS が選択されているため、以下の手順で「Windows Server」に切り替えます。使用するバージョンは、利用要件に合わせて適切なものを選択してください。
データの保護
バックアップのスケジュールやレプリケーションの設定を行います。
ネットワーキング
ファイアウォールルールや使用するネットワークを個別に設定できます。ただし、本来ネットワーク関連の権限を持たないユーザーが、個別のネットワーク設定を行えることはセキュリティ上の懸念となります。
そのため、通信を許可するファイアウォールルール等の設定は、後述の Virtual Private Cloud（以下、VPC）で一元的な管理を行うことが推奨されます。
オブザーバビリティ
ログや指標の収集、アプリケーション監視についての設定を行います。
セキュリティ
アタッチするサービスアカウントや VM の保護設定等を行います。
デフォルトのサービスアカウントには、編集者（roles/editor）という強力な権限が付与されています。セキュリティリスクを回避するため、必要なロールのみに絞ったサービスアカウントをアタッチすることが推奨されます。
Compute Engine にアタッチするサービスアカウントの考え方については、以下の記事を参照してください。
詳細
VM を削除から保護する設定や起動スクリプト、メタデータの設定を行います。
設定を確認して作成
セクション内の項目を一通り確認し、要件通りの設定になっているか、エラーがないか、などをチェックします。確認が終わったら画面下部の「作成」ボタンをクリックして、VM の作成処理を開始します。VM が完全に起動して接続可能になるまでは数分ほどかかります。
管理者アカウントとパスワード
初期パスワードの発行
Windows Server インスタンスの作成が完了した直後は、OS にログインするための管理者アカウント（Administrator）やパスワードが用意されていません。
ログインするためには、Google Cloud コンソールの VM インスタンス詳細画面から「Windows パスワードを設定」を実行する必要があります。この操作を行うことで、指定したユーザー名のアカウントが作成され、ランダムな初期パスワードが生成されて画面に表示されます。なお、VM の起動命令を出した直後はこの操作が行えない場合があります。数分後に再度、実施してください。
このパスワードは一度画面を閉じると再確認できないため、必ず安全な場所に控えてください。
初期パスワードの変更
Google Cloud コンソールで生成した初期パスワードも強力ですが、会社としてセキュリティガバナンスを定めている場合、その規定に沿ったパスワードへの変更を推奨します。ログイン後は Windows の管理機能を使用して変更できます。
リモートデスクトップ接続の設定
ファイアウォールルールの構成
Windows Server へログインするには、リモートデスクトッププロトコル（以下、RDP）を使用します。
RDP 接続を許可するために、対象の VPC ネットワークでポート番号「3389」（TCP）のインバウンド通信を許可するファイアウォールルールを追加してください。セキュリティリスクを低減するため、送信元 IP アドレス範囲はすべての通信（0.0.0.0/0）とはせず、接続元のオフィスや環境のグローバル IP アドレスのみに制限することを強く推奨します。
VPC ネットワークやファイアウォールルールの詳細については、以下の記事を参照してください。
RDP での接続確認
ファイアウォールルールの設定が完了したら、ローカル PC の RDP クライアントを起動します。
接続先として VM インスタンスの外部 IP アドレスを指定し、先ほど発行したユーザー名とパスワードを入力することで、Windows Server へログインできます。
操作方法や UI は、使用する RDP クライアントアプリケーションにより異なる点に留意してください。
接続経路の保護
前述のように、ファイアウォールルールによって外部からの RDP 接続を特定の IP アドレスに制限することは有効なアプローチであり、Google Cloud から非推奨とされているわけではありません。
しかし、インターネット経由の直接接続よりもさらにセキュリティを高めたい場合は、Identity-Aware Proxy（以下、IAP）という機能を使用して、よりセキュアな RDP 接続を構成できます。IAP の詳細や、RDP で利用する方法については、以下の記事を参照してください。
また、Cloud VPN を経由することで、自組織のネットワークと VPC ネットワークを接続し、内部 IP アドレスを使ったプライベート接続を確立することもできます。Cloud VPN については、以下の記事を参照してください。
- 参考 : Identity-Aware Proxy の概要
- 参考 : Cloud VPN の概要
その他の設定と Tips
Windows Server の日本語設定
起動した Windows Server のデフォルトの言語設定は英語となっています。言語設定を英語のまま運用した場合、導入したアプリケーションによっては文字化けや不整合が発生する可能性がある点に留意してください。
こうした意図しない挙動を防ぐため、Windows Server を日本語設定に変更する必要があります。Windows Server の日本語化手順については、以下の記事を参照してください。
Windows Server のライセンス費用
当記事の手順は、プレミアムイメージと呼ばれる、Google が用意したライセンス埋め込み型のイメージから Windows Server を起動する手順です。この場合、ライセンス費用は VM インスタンスの利用料金に含まれ、時間単位で課金されます。ライセンス費用は、VM インスタンスに割り当てられた vCPU 数に応じて変動します。
なお既に自組織で Windows Server の OS ライセンスを所有している場合は、ライセンスの持ち込み（BYOL）が可能な単一テナントノードを使用することもできます。大規模かつ長期の運用では独自のライセンスを使用することで費用を削減できる可能性がありますが、単一テナントノードの追加費用が発生します。また、ライセンスの持ち込み条件などについては、公式ドキュメントを十分に確認してください。
