Az RDP-munkamenetek kezelésének delegálása

Abban a szervezetben, ahol dolgozom, a távmunka elvileg tilos. Volt. Egészen a múlt hétig. Most sürgősen végre kellett hajtanunk egy megoldást. Üzlettől - folyamatok adaptálása új munkaformátumhoz, tőlünk - PKI PIN kódokkal és tokenekkel, VPN, részletes naplózás és még sok más.
Többek között a Remote Desktop Infrastructure aka Terminal Services beállítását végeztem. Számos RDS-telepítéssel rendelkezünk különböző adatközpontokban. Az egyik cél az volt, hogy a kapcsolódó informatikai részlegekről dolgozó kollégák interaktív módon kapcsolódhassanak a felhasználói munkamenetekhez. Tudniillik erre van egy szabványos RDS Shadow mechanizmus, melynek delegálásának legegyszerűbb módja, ha helyi rendszergazdai jogokat adunk az RDS szervereken.
Tisztelem és nagyra becsülöm a kollégáimat, de nagyon mohó vagyok az adminisztrátori jogok kiosztásában. 🙂 Aki egyetért velem, kövesse a vágást.

Nos, a feladat egyértelmű, most térjünk rá az üzletre.

Lépés 1

Hozzon létre egy biztonsági csoportot az Active Directoryban RDP_Operators és tartalmazza azoknak a felhasználóknak a fiókját, akikre jogokat szeretnénk átruházni:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

Ha több AD-helye van, meg kell várnia, amíg az összes tartományvezérlőre replikálódik, mielőtt a következő lépésre lépne. Ez általában nem tart tovább 15 percnél.

Lépés 2

Adjunk a csoportnak jogot a terminálmunkamenetek kezeléséhez az egyes RDSH-kiszolgálókon:

Set-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

Lépés 3

Adja hozzá a csoportot a helyi csoporthoz Távoli asztali felhasználók mindegyik RDSH szerveren. Ha a szervereit munkamenet-gyűjteményekbe egyesítjük, akkor ezt a gyűjtemény szintjén tesszük:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

Egyedi szerverekhez használjuk csoportszabályzat, várja, hogy alkalmazzák a szervereken. Azok, akik lusták várni, felgyorsíthatják a folyamatot a jó öreg gpupdate segítségével központilag.

Lépés 4

Készítsük elő a következő PS-szkriptet a „menedzserek” számára:

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

A PS-szkript futtatásának kényelmesebbé tétele érdekében létrehozunk hozzá egy parancsértelmezőt egy cmd-fájl formájában, amelynek neve megegyezik a PS-szkriptével:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

Mindkét fájlt egy mappába helyezzük, amely elérhető lesz a „kezelők” számára, és megkérjük őket, hogy jelentkezzenek be újra. Mostantól a cmd fájl futtatásával kapcsolódhatnak más felhasználók munkameneteihez RDS Shadow módban, és kijelentkezésre kényszeríthetik őket (ez akkor lehet hasznos, ha a felhasználó nem tudja önállóan megszakítani a „függő” munkamenetet).

Valami így néz ki:

A "menedzsernek"

A felhasználó számára

Néhány utolsó megjegyzés

1. árnyalat. Ha a felhasználói munkamenet, amelynek az irányítást át akarjuk szerezni, azelőtt indult el, hogy a Set-RDSPermissions.ps1 parancsfájl futott volna a szerveren, akkor a „kezelő” hozzáférési hibát kap. A megoldás itt kézenfekvő: várja meg, amíg a felügyelt felhasználó bejelentkezik.

2. árnyalat. Több napos RDP Shadow-val végzett munka után egy érdekes hibát vagy funkciót vettünk észre: az árnyékmunka befejezése után a tálcán lévő nyelvi sáv eltűnik a felhasználó számára, amelyhez csatlakozik, és a visszaállításhoz újra kell -Belépés. Mint kiderült, nem vagyunk egyedül: idő, два, három.

Ez minden. Jó egészséget kívánok neked és a kiszolgálóidnak. Mint mindig, most is várom visszajelzését a megjegyzésekben, és arra kérem Önt, hogy töltse ki az alábbi rövid kérdőívet.

forrás

• RDS Shadow – árnyékkapcsolat az RDP felhasználói munkamenetekhez a Windows Server 2016 / 2012 R2 rendszerben
• Windows Server 2012 árnyékolás – Jogok átruházása nem rendszergazdákra
• Get-LoggedOnUser Információkat gyűjt a bejelentkezett felhasználókról távoli rendszereken
• A PowerShell PS1 szkriptek indításának legjobb módja
• Domainfelhasználók hozzáadása a helyi biztonsági csoporthoz
• GPMC – A gpupdate kényszerítése az OU összes számítógépén

A felmérésben csak regisztrált felhasználók vehetnek részt. Bejelentkezés, kérem.

Mit használsz?

• 8,1%AMMYY Admin5

• 17,7%AnyDesk11

• 9,7%DameWare6

• 24,2%Radmin15

• 14,5%RDS árnyék9

• 1,6%Quick Assist / Windows Remote Assistance1

• 38,7%TeamViewer24

• 32,3%VNC20

• 32,3%egyéb20

• 3,2%LiteManager2

62 felhasználó szavazott. 22 felhasználó tartózkodott.

Forrás: will.com