আরডিপি সেশনের ব্যবস্থাপনা অর্পণ করা

আমি যে সংস্থায় কাজ করি সেখানে দূরবর্তী কাজ নীতিগতভাবে নিষিদ্ধ। ছিল। গত সপ্তাহ পর্যন্ত। এখন আমাদের জরুরিভাবে একটি সমাধান বাস্তবায়ন করতে হবে। ব্যবসা থেকে - একটি নতুন কাজের ফর্ম্যাটে প্রসেসগুলিকে অভিযোজিত করা, আমাদের থেকে - PIN কোড এবং টোকেন সহ PKI, VPN, বিস্তারিত লগিং এবং আরও অনেক কিছু৷
অন্যান্য জিনিসের মধ্যে, আমি রিমোট ডেস্কটপ ইনফ্রাস্ট্রাকচার ওরফে টার্মিনাল সার্ভিস সেট আপ করছিলাম। আমাদের বিভিন্ন ডেটা সেন্টারে বেশ কিছু RDS স্থাপনা রয়েছে। একটি লক্ষ্য ছিল সংশ্লিষ্ট আইটি বিভাগের সহকর্মীদের ব্যবহারকারীর সেশনে ইন্টারেক্টিভভাবে সংযোগ করতে সক্ষম করা। আপনি জানেন যে, এর জন্য একটি আদর্শ RDS শ্যাডো মেকানিজম রয়েছে এবং এটি অর্পণ করার সবচেয়ে সহজ উপায় হল RDS সার্ভারে স্থানীয় প্রশাসকদের অধিকার দেওয়া।
আমি আমার সহকর্মীদের সম্মান করি এবং মূল্য দিই, কিন্তু প্রশাসকের অধিকার দেওয়ার ক্ষেত্রে আমি খুব লোভী। 🙂 যারা আমার সাথে একমত, অনুগ্রহ করে কাটটি অনুসরণ করুন।

ঠিক আছে, কাজটি পরিষ্কার, এখন আসুন ব্যবসায় নেমে আসি।

পইঠা 1

সক্রিয় ডিরেক্টরিতে একটি নিরাপত্তা গ্রুপ তৈরি করা যাক RDP_অপারেটর এবং এতে সেই ব্যবহারকারীদের অ্যাকাউন্ট অন্তর্ভুক্ত করুন যাদের আমরা অধিকার অর্পণ করতে চাই:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

আপনার যদি একাধিক AD সাইট থাকে, তাহলে পরবর্তী ধাপে যাওয়ার আগে আপনাকে সমস্ত ডোমেন কন্ট্রোলারে প্রতিলিপি না হওয়া পর্যন্ত অপেক্ষা করতে হবে। এটি সাধারণত 15 মিনিটের বেশি সময় নেয় না।

পইঠা 2

আসুন প্রতিটি RDSH সার্ভারে টার্মিনাল সেশন পরিচালনা করার জন্য গ্রুপকে অধিকার দিই:

সেট-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

পইঠা 3

স্থানীয় গ্রুপে গ্রুপ যোগ করুন দূরবর্তী ডেস্কটপ ব্যবহারকারী প্রতিটি RDSH সার্ভারে। যদি আপনার সার্ভারগুলি সেশন সংগ্রহে একত্রিত হয়, তাহলে আমরা সংগ্রহ স্তরে এটি করি:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

একক সার্ভারের জন্য আমরা ব্যবহার করি সম্মিলিত নীতি, সার্ভারে এটি প্রয়োগ করার জন্য অপেক্ষা করা হচ্ছে। যারা অপেক্ষা করতে খুব অলস তারা ভাল পুরানো gpupdate ব্যবহার করে প্রক্রিয়াটি দ্রুত করতে পারে, পছন্দ করে কেন্দ্রীয়ভাবে.

পইঠা 4

আসুন "ম্যানেজারদের" জন্য নিম্নলিখিত PS স্ক্রিপ্ট প্রস্তুত করি:

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

পিএস স্ক্রিপ্টটি চালানোর জন্য সুবিধাজনক করতে, আমরা পিএস স্ক্রিপ্টের মতো একই নামের একটি cmd ফাইল আকারে এটির জন্য একটি শেল তৈরি করব:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

আমরা উভয় ফাইলকে একটি ফোল্ডারে রাখি যা "ম্যানেজারদের" কাছে অ্যাক্সেসযোগ্য হবে এবং তাদের পুনরায় লগইন করতে বলি। এখন, cmd ফাইলটি চালানোর মাধ্যমে, তারা RDS শ্যাডো মোডে অন্যান্য ব্যবহারকারীদের সেশনের সাথে সংযোগ করতে সক্ষম হবে এবং তাদের লগ আউট করতে বাধ্য করবে (এটি কার্যকর হতে পারে যখন ব্যবহারকারী স্বাধীনভাবে একটি "ঝুলন্ত" সেশন বন্ধ করতে পারে না)।

এটি দেখতে এমন কিছু দেখাচ্ছে:

"ম্যানেজার" এর জন্য

ব্যবহারকারীর জন্য

কয়েকটি চূড়ান্ত মন্তব্য

সূক্ষ্মতা 1. যে ব্যবহারকারীর অধিবেশনে আমরা নিয়ন্ত্রণ লাভের চেষ্টা করছি সেটি যদি সার্ভারে Set-RDSPermissions.ps1 স্ক্রিপ্ট চালানোর আগে চালু করা হয়, তাহলে "ম্যানেজার" একটি অ্যাক্সেস ত্রুটি পাবে। এখানে সমাধানটি সুস্পষ্ট: পরিচালিত ব্যবহারকারী লগ ইন না হওয়া পর্যন্ত অপেক্ষা করুন।

সূক্ষ্মতা 2. আরডিপি শ্যাডোর সাথে বেশ কয়েকদিন কাজ করার পর, আমরা একটি আকর্ষণীয় বাগ বা বৈশিষ্ট্য লক্ষ্য করেছি: শ্যাডো সেশন শেষ হওয়ার পরে, ব্যবহারকারীর সাথে সংযুক্ত হওয়ার জন্য ট্রে-তে ভাষা বারটি অদৃশ্য হয়ে যায় এবং এটি ফিরে পেতে, ব্যবহারকারীকে আবার করতে হবে -প্রবেশ করুন. দেখা যাচ্ছে, আমরা একা নই: সময়, два, তিন.

এখানেই শেষ. আমি আপনার এবং আপনার সার্ভারের সুস্বাস্থ্য কামনা করি। বরাবরের মতো, আমি মন্তব্যে আপনার প্রতিক্রিয়ার জন্য অপেক্ষা করছি এবং আপনাকে নীচের সংক্ষিপ্ত সমীক্ষাটি নিতে বলব৷

সূত্র

• RDS শ্যাডো - উইন্ডোজ সার্ভার 2016 / 2012 R2-এ RDP ব্যবহারকারী সেশনের সাথে ছায়া সংযোগ
• Windows Server 2012 Shadowing - অ-প্রশাসকদের অধিকার অর্পণ করা
• Get-LoggedOnUser দূরবর্তী সিস্টেমে লগ অন ব্যবহারকারীদের তথ্য সংগ্রহ করে
• পাওয়ারশেল PS1 স্ক্রিপ্টগুলি কীভাবে শুরু করা যায় তা সর্বোত্তম উপায়
• স্থানীয় নিরাপত্তা গোষ্ঠীতে ডোমেন ব্যবহারকারীদের যুক্ত করা হচ্ছে
• GPMC - OU-তে সমস্ত কম্পিউটারে জোর করে gpupdate করুন

শুধুমাত্র নিবন্ধিত ব্যবহারকারীরা জরিপে অংশগ্রহণ করতে পারবেন। সাইন ইন করুনকরুন।

তুমি কি ব্যবহার কর?

• 8,1%AMMYY অ্যাডমিন5

• 17,7%যেকোনোডেস্ক11

• 9,7%ডেমওয়্যার6

• 24,2%Radmin15

• 14,5%আরডিএস শ্যাডো9

• 1,6%কুইক অ্যাসিস্ট/উইন্ডোজ রিমোট অ্যাসিস্ট্যান্স১

• 38,7%টিমভিউয়ার24

• 32,3%VNC20

• 32,3%অন্যান্য20

• 3,2%LiteManager2

62 ব্যবহারকারী ভোট দিয়েছেন। ৩ জন ব্যবহারকারী বিরত ছিলেন।

উত্স: www.habr.com