RDP સત્રોનું સંચાલન સોંપવું

હું જે સંસ્થામાં કામ કરું છું ત્યાં રિમોટ વર્ક સૈદ્ધાંતિક રીતે પ્રતિબંધિત છે. હતી. ગયા સપ્તાહ સુધી. હવે અમારે તાકીદે ઉકેલ લાવવાનો હતો. વ્યવસાયથી - નવા કાર્ય ફોર્મેટમાં પ્રક્રિયાઓને અનુકૂલિત કરવા, અમારા તરફથી - PIN કોડ અને ટોકન્સ સાથે PKI, VPN, વિગતવાર લોગિંગ અને ઘણું બધું.
અન્ય વસ્તુઓની સાથે, હું રિમોટ ડેસ્કટોપ ઈન્ફ્રાસ્ટ્રક્ચર ઉર્ફ ટર્મિનલ સેવાઓ સેટ કરી રહ્યો હતો. અમારી પાસે વિવિધ ડેટા સેન્ટરોમાં અનેક RDS ડિપ્લોયમેન્ટ છે. એક ધ્યેય સંબંધિત IT વિભાગોના સહકાર્યકરોને વપરાશકર્તા સત્રો સાથે ઇન્ટરેક્ટિવ રીતે કનેક્ટ થવા સક્ષમ બનાવવાનો હતો. જેમ તમે જાણો છો, આ માટે પ્રમાણભૂત RDS શેડો મિકેનિઝમ છે, અને તેને સોંપવાનો સૌથી સહેલો રસ્તો એ છે કે RDS સર્વર્સ પર સ્થાનિક સંચાલક અધિકારો આપવા.
હું મારા સહકર્મીઓનું સન્માન અને મૂલ્ય રાખું છું, પરંતુ જ્યારે એડમિન અધિકારો આપવાની વાત આવે છે ત્યારે હું ખૂબ જ લોભી છું. 🙂 જેઓ મારી સાથે સહમત છે, કૃપા કરીને કટને અનુસરો.

સારું, કાર્ય સ્પષ્ટ છે, હવે ચાલો વ્યવસાય પર ઉતરીએ.

પગલું 1

ચાલો એક્ટિવ ડિરેક્ટરીમાં સુરક્ષા જૂથ બનાવીએ RDP_Operators અને તેમાં તે વપરાશકર્તાઓના એકાઉન્ટ્સ શામેલ કરો જેમને અમે અધિકારો સોંપવા માંગીએ છીએ:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

જો તમારી પાસે બહુવિધ AD સાઇટ્સ છે, તો તમારે આગલા પગલા પર જતા પહેલા બધા ડોમેન નિયંત્રકો પર તેની નકલ ન થાય ત્યાં સુધી રાહ જોવી પડશે. આમાં સામાન્ય રીતે 15 મિનિટથી વધુ સમય લાગતો નથી.

પગલું 2

ચાલો જૂથને દરેક RDSH સર્વર પર ટર્મિનલ સત્રોનું સંચાલન કરવાના અધિકારો આપીએ:

સેટ-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

પગલું 3

જૂથને સ્થાનિક જૂથમાં ઉમેરો દૂરસ્થ ડેસ્કટોપ વપરાશકર્તાઓ દરેક RDSH સર્વર પર. જો તમારા સર્વર્સને સત્ર સંગ્રહમાં જોડવામાં આવે, તો અમે આ સંગ્રહ સ્તરે કરીએ છીએ:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

સિંગલ સર્વર્સ માટે અમે ઉપયોગ કરીએ છીએ જૂથ નીતિ, તે સર્વર્સ પર લાગુ થવાની રાહ જોઈ રહ્યું છે. જેઓ રાહ જોવામાં ખૂબ આળસુ છે તેઓ પ્રાધાન્યમાં સારા જૂના gpupdate નો ઉપયોગ કરીને પ્રક્રિયાને ઝડપી બનાવી શકે છે કેન્દ્રિય રીતે.

પગલું 4

ચાલો “મેનેજરો” ​​માટે નીચેની PS સ્ક્રિપ્ટ તૈયાર કરીએ:

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

PS સ્ક્રિપ્ટને ચલાવવા માટે અનુકૂળ બનાવવા માટે, અમે PS સ્ક્રિપ્ટ જેવા જ નામ સાથે cmd ફાઇલના રૂપમાં તેના માટે શેલ બનાવીશું:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

અમે બંને ફાઇલોને એવા ફોલ્ડરમાં મૂકીએ છીએ જે "મેનેજરો" માટે ઍક્સેસિબલ હશે અને તેમને ફરીથી લૉગિન કરવા માટે કહીશું. હવે, cmd ફાઇલ ચલાવીને, તેઓ RDS શેડો મોડમાં અન્ય વપરાશકર્તાઓના સત્રો સાથે જોડાઈ શકશે અને તેમને લૉગ આઉટ કરવા દબાણ કરશે (જ્યારે વપરાશકર્તા સ્વતંત્ર રીતે "હેંગિંગ" સત્રને સમાપ્ત કરી શકતા નથી ત્યારે આ ઉપયોગી થઈ શકે છે).

તે આના જેવું કંઈક દેખાય છે:

"મેનેજર" માટે

વપરાશકર્તા માટે

થોડી અંતિમ ટિપ્પણીઓ

ઉપદ્રવ 1. જો વપરાશકર્તા સત્ર કે જેના પર અમે નિયંત્રણ મેળવવાનો પ્રયાસ કરી રહ્યા છીએ તે Set-RDSPermissions.ps1 સ્ક્રિપ્ટ સર્વર પર એક્ઝિક્યુટ થાય તે પહેલાં લૉન્ચ કરવામાં આવ્યું હતું, તો પછી "મેનેજર" ને ઍક્સેસ ભૂલ પ્રાપ્ત થશે. અહીં ઉકેલ સ્પષ્ટ છે: વ્યવસ્થાપિત વપરાશકર્તા લોગ ઇન થાય ત્યાં સુધી રાહ જુઓ.

ઉપદ્રવ 2. RDP શેડો સાથે કામ કર્યાના ઘણા દિવસો પછી, અમે એક રસપ્રદ બગ અથવા લક્ષણ જોયું: શેડો સત્રના અંત પછી, ટ્રેમાંનો લેંગ્વેજ બાર અદૃશ્ય થઈ જાય છે જે વપરાશકર્તા સાથે જોડાયેલ છે, અને તેને પાછું મેળવવા માટે, વપરાશકર્તાને ફરીથી કરવાની જરૂર છે. -પ્રવેશ કરો. જેમ તે તારણ આપે છે, અમે એકલા નથી: વખત, два, ત્રણ.

બસ એટલું જ. હું તમને અને તમારા સર્વર્સને સારા સ્વાસ્થ્યની ઇચ્છા કરું છું. હંમેશની જેમ, હું ટિપ્પણીઓમાં તમારા પ્રતિસાદની રાહ જોઉં છું અને તમને નીચે ટૂંકા સર્વેક્ષણમાં ભાગ લેવા માટે કહું છું.

સ્ત્રોતો

• RDS શેડો - વિન્ડોઝ સર્વર 2016 / 2012 R2 માં RDP વપરાશકર્તા સત્રો સાથે શેડો કનેક્શન
• વિન્ડોઝ સર્વર 2012 શેડોઇંગ - નોન-એડમિન્સને અધિકારો સોંપવા
• Get-LoggedOnUser રીમોટ સિસ્ટમ પર લોગ-ઓન થયેલ યુઝર્સની માહિતી એકત્ર કરે છે
• પાવરશેલ PS1 સ્ક્રિપ્ટ્સ કેવી રીતે શરૂ કરવી તે શ્રેષ્ઠ રીત છે
• સ્થાનિક સુરક્ષા જૂથમાં ડોમેન વપરાશકર્તાઓને ઉમેરવું
• GPMC - OU માં તમામ કમ્પ્યુટર્સ પર gpupdate ફરજિયાત કરો

ફક્ત નોંધાયેલા વપરાશકર્તાઓ જ સર્વેમાં ભાગ લઈ શકે છે. સાઇન ઇન કરો, મહેરબાની કરીને.

તમે શું ઉપયોગ કરો છો?

• 8,1%AMMYY એડમિન5

• 17,7%કોઈપણ ડેસ્ક11

• 9,7%ડેમવેર6

• 24,2%રેડમીન15

• 14,5%RDS શેડો9

• 1,6%ક્વિક અસિસ્ટ / વિન્ડોઝ રીમોટ આસિસ્ટન્સ1

• 38,7%ટીમવ્યુઅર24

• 32,3%VNC20

• 32,3%અન્ય20

• 3,2%લાઇટ મેનેજર2

62 વપરાશકર્તાઓએ મત ​​આપ્યો. 22 વપરાશકર્તાઓ દૂર રહ્યા.

સોર્સ: www.habr.com