Инструмент за свързване на потребителски RDP сесии без администратори в WinServer 2012R2

Проблемата по време на карантинната работа на предприятието стана следната: наистина трябва да се минимизира броят на посещенията на кабинетите от специалистите, които обслужват и консултират по приложен софтуер, и да кажем откровено, потребителите често злоупотребяват с помощта на специалистите, не желеейки да навлязат в самия въпрос, казвайки "ще дойдат — ще помогнат — ще направят, а аз докато пуша/пия кафе и т.н.". Консултацията по телефона при съвместен достъп до сървъра е по-ефективна, когато гледаме отдалечения екран.

Веднага след "изобретяването" на нашия велосипед се появи разумна информация по темата на статията: RDS Shadow – тенево свързване към RDP сесиите на потребители в Windows Server 2012 R2 или Режим shadow непривилегирован потребител в Windows Server или Делегиране на управлението на RDP сесиите. Всички те предвиждат използването на конзолата, дори с елементи на прост диалог.

Всичката изложена по-долу информация е предназначена за тези, които нормално понасят ненормални извратености за получаване на желания резултат, измисляйки ненужни методи.
За да не "влача котката за опашката", ще започна от последното: велосипедът работи при обикновения потребител с помощта на утилитата AdmiLink, за което благодаря на автора й.

I. Конзола и shadow RDP.

Тъй като използването на администраторските права на конзолата Server Manager -> QuickSessionCollection -> щраквайки върху сесията на интересуващия потребител и избирайки от контекстното меню Shadow (Теневата копия) за персонала, който обучава за работа с ПО, — не е вариант, беше разгледан друг "дървен" метод, а именно:

1. Разучаваме RDP id на сесията:

query user | findstr Administrator

или:

qwinsta | findstr Administrator 

Като "| findstr Administrator" беше удобно само когато знаеш, че точно Administrator ти е нужен, или да използваш само първата част, за да видиш всички логнати на сървера.

2. Свързваме се с тази сесия, при условие че в доменните групови политики параметър "Установява правила за отдалечено управление на потребителските сесии на услугите за отдалечени работни плотове" е избран параметър поне "Наблюдение на сесията с разрешение от потребителя" (подробности):

mstsc /shadow:127

Моля, обърнете внимание, че в списъка ще има само входящите на потребители.

Повтарям, че без администраторски права ще получите следното:

Но за предварителна отладка на програмата, за която ще става дума, използвах акаунт с права на администратор.

II. Програмата

И така, задачата е: създаване на прост графичен интерфейс за свързване с потребителския сенс с разрешение на потребителя, изпращане на съобщение до него. Избрана е среда за програмиране Lazarus.

1. Получаваме пълен домейн списък на потребителите "логин" — "пълно име" от администратора, или отново през конзолата:

wmic useraccount get Name,FullName 

никой не забранява дори така:

wmic useraccount get Name,FullName > c:testusername.txt

Ще кажа веднага, че именно в Lazarus се оказа проблем с обработката на този файл, тъй като по подразбиране кодировката му е UCS-2, затова се наложи да го преобразувам ръчно в обикновен UTF-8. В структурата на файла има много табулации, по-скоро множество интервали, които решихме да обработим програмно, рано или късно задачата с кодировката ще бъде решена и файлът ще се обновява програмно.

И така, в замисъла папка, достъпна за потребителите на програмата, например c:test, в която ще има 2 файла: първият с login и fullname, вторият с id_rdp и login на потребителите. След това обработваме тези данни, както можем:).

А засега, за асоцииране със списъка със сесии, прехвърляме това (login и fullname) съдържание в масив:

procedure Tf_rdp.UserF2Array;
var 
  F:TextFile;   i:integer;   f1, line1:String;   fL: TStringList;
begin //f_d глобален път към местоположението на файловете 
f1:=f_d+'user_name.txt';     //задача да прочетем съдържанието на файла в масив
fL := TStringList.Create; //строката ще подложим на метаморфози с разделители
fL.Delimiter := '|'; fL.StrictDelimiter := True;
AssignFile(F,f1); 
try // Отваряне на файла за четене
  reset(F); ReadLn(F,line1);
  i:=0;
while not eof(F) do // Четем редове, докато не свърши файлът
begin
ReadLn(F,line1);
line1:= StringReplace(line1, '  ', '|',[]); //заместваме първия попаднал 2 пробела с разделител |
// премахваме всички двойни пробели
while pos('  ',line1)>0 do line1:= StringReplace(line1, '  ', ' ', [rfReplaceAll]);
begin
if (pos('|',line1)>0) then
begin //ако разделителят съществува, добавяме го в масива
fL.DelimitedText :=line1; //разбиваме на колони
if (fL[0]'') then //ако акаунтът има име
begin //въвеждаме го в масива
 inc(i); // избавяме се от възможни единични интервали в логина
 fam[0,i]:=StringReplace(fL[1],' ','',[rfReplaceall, rfIgnoreCase]);
 fam[1,i]:=fL[0];
 end;end;end;end; // Готово. Затваряме файла.
 CloseFile(F);
 Fl.Free;
 except
 on E: EInOutError do  ShowMessage('Грешка при обработка на файла. Детайли: '+E.Message);
 end;end;

Извинявам се за "много код", следващите точки ще бъдат по-конcis.

2. По аналогичен методам из предыдущего пункта, извлекаем результат обработки списка в элемент StringGrid, предоставляя при этом "значимый" кусок кода:

2.1 Получаем актуален список RDP сессий в файл:

f1:=f_d+'user.txt';
cmdline:='\/c query user >'+ f1;
if ShellExecute(0,nil, PChar('cmd'),PChar(cmdline),nil,1)=0 then;
Sleep(500); \/\/ можно и подольше ждать, пока файл для чтения создается

2.2 Обрабатываем файл (указаны только значимые строки кода):

StringGrid1.Cells[0,i]:=fL[1]; StringGrid1.Cells[2,i]:=fL[3]; \/\/ помещаем в StringGrid1 в цикле
login1:=StringReplace(fL[1],' ','',[rfReplaceall, rfIgnoreCase]); \/\/ убираем пробелы из логина
if (SearchArr(login1)>=0) then \/\/ ищем в массиве p1. логин и записываем в таблицу ФИО
StringGrid1.Cells[1,i]:=fam[1,SearchArr(login1)]
else StringGrid1.Cells[1,i]:='+'; \/\/ либо записываем плюсик:)
.... \/\/ в зависимости от выбора пользователя, сортируем и форматируем данные
if (b_id.Checked=true) then SortGrid(0) else SortGrid(1);
StringGrid1.AutoSizeColumn(0);StringGrid1.AutoSizeColumn(1); StringGrid1.AutoSizeColumn(2);  

3. Само подключение при клике на строку с пользователем и номером его сеанса:

  id:=(StringGrid1.Row);\/\/ узнаем номер строки  IntToStr(StringGrid1.Row)
  ids:=StringGrid1.Cells[2,id]; \/\/ получаем идентификатор rdp
  cmdline:='\/c mstsc \/shadow:'+ ids; \/\/ и подключаемся....
 if (b_rdp.Checked=True) then  if ShellExecute(0,nil, PChar('cmd'),PChar(cmdline),nil,1) =0 then;       

4. Сделано еще несколько улучшений, таких как сортировка по клику на radiobutton и сообщения пользователю или всем пользователям.

→ Полный исходный код можно просмотреть тук

III. Применение AdminLink — что я заметил:

AdminLink действительно создает ярлык, ссылающийся на расположение утилиты admilaunch.exe, и личную копию утилиты запуска AdmiRun.Exe которая находится в папке пользователя, например vasya, по пути C:UsersvasyaWINDOWS. В общем, не все так плохо: с правами доступа к файлу ярлыка и другим, для очищения собственной админской совести, можно поиграться.

Източник: habr.com