ProHoster > Օրագիր > Վարչակազմը > RDP նիստերի կառավարում պատվիրակում

RDP նիստերի կառավարում պատվիրակում

RDP նիստերի կառավարում պատվիրակում
Այն կազմակերպությունում, որտեղ ես աշխատում եմ, հեռավար աշխատանքը սկզբունքորեն արգելված է։ Եղել է. Մինչև անցյալ շաբաթ։ Այժմ մենք պետք է շտապ լուծում իրականացնեինք. Բիզնեսից՝ գործընթացների հարմարեցում աշխատանքային նոր ձևաչափին, մեզանից՝ PKI PIN կոդերով և նշաններով, VPN, մանրամասն գրանցում և շատ ավելին:
Ի թիվս այլ բաների, ես կարգավորում էի Remote Desktop Infrastructure-ը, որը կոչվում է Terminal Services: Մենք ունենք մի քանի RDS տեղակայումներ տարբեր տվյալների կենտրոններում: Նպատակներից մեկն էր հնարավորություն ընձեռել համապատասխան ՏՏ բաժինների գործընկերներին ինտերակտիվ կերպով միանալ օգտատերերի նիստերին: Ինչպես գիտեք, դրա համար կա ստանդարտ RDS Shadow մեխանիզմ, և դա պատվիրակելու ամենահեշտ ձևը տեղական ադմինիստրատորի իրավունքներ տալն է RDS սերվերների վրա:
Ես հարգում և գնահատում եմ իմ գործընկերներին, բայց ես շատ ագահ եմ, երբ խոսքը վերաբերում է ադմինի իրավունքի բաժանմանը: 🙂 Ինձ հետ համամիտներին խնդրում եմ հետևել կտրվածքին։

Դե, խնդիրը պարզ է, հիմա եկեք անցնենք գործին:

Քայլ 1

Եկեք ստեղծենք անվտանգության խումբ Active Directory-ում RDP_Օպերատորներ և դրանում ներառեք այն օգտատերերի հաշիվները, որոնց մենք ցանկանում ենք պատվիրակել իրավունքները.

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

Եթե ​​դուք ունեք բազմաթիվ AD կայքեր, դուք պետք է սպասեք, մինչև այն կրկնօրինակվի բոլոր տիրույթի կարգավորիչներին՝ նախքան հաջորդ քայլին անցնելը: Դա սովորաբար տևում է ոչ ավելի, քան 15 րոպե:

Քայլ 2

Եկեք խմբին տանք իրավունքներ կառավարելու տերմինալային նիստերը RDSH սերվերներից յուրաքանչյուրում.

Set-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

Քայլ 3

Ավելացնել խումբը տեղական խմբին Հեռավոր աշխատասեղանի օգտագործողներ RDSH սերվերներից յուրաքանչյուրի վրա: Եթե ​​ձեր սերվերները համակցված են նիստերի հավաքածուների մեջ, ապա մենք դա անում ենք հավաքածուի մակարդակում.

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

Մենք օգտագործում ենք միայնակ սերվերների համար խմբի քաղաքականություն, սպասում է, որ այն կիրառվի սերվերների վրա: Նրանք, ովքեր չափազանց ծույլ են սպասել, կարող են արագացնել գործընթացը՝ օգտագործելով հին լավ gpupdate, գերադասելի է կենտրոնացված.

Քայլ 4

Եկեք պատրաստենք հետևյալ PS սցենարը «մենեջերների» համար.

RDSmanagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

PS սկրիպտը գործարկելու համար հարմար դարձնելու համար մենք դրա համար կեղև կստեղծենք cmd ֆայլի տեսքով՝ նույն անունով, ինչ PS սցենարը.

RDSmanagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

Մենք երկու ֆայլերն էլ դնում ենք մի թղթապանակում, որը հասանելի կլինի «մենեջերներին» և խնդրում ենք նորից մուտք գործել: Այժմ, գործարկելով cmd ֆայլը, նրանք կկարողանան միանալ այլ օգտվողների նիստերին RDS Shadow ռեժիմում և ստիպել նրանց դուրս գալ (սա կարող է օգտակար լինել, երբ օգտվողը չի կարող ինքնուրույն դադարեցնել «կախված» նիստը):

Դա նման բան է թվում.

«Ղեկավարի» համարRDP նիստերի կառավարում պատվիրակում

Օգտագործողի համարRDP նիստերի կառավարում պատվիրակում

Մի քանի վերջնական մեկնաբանություն

Նրբություն 1. Եթե ​​օգտվողի նիստը, որի վրա մենք փորձում ենք վերահսկողություն ձեռք բերել, գործարկվել է նախքան Set-RDSPermissions.ps1 սկրիպտը սերվերում կատարելը, ապա «կառավարիչը» մուտքի սխալ կստանա: Այստեղ լուծումն ակնհայտ է՝ սպասեք մինչև կառավարվող օգտվողը մուտք գործի:

Նրբություն 2. RDP Shadow-ի հետ մի քանի օր աշխատելուց հետո մենք նկատեցինք մի հետաքրքիր սխալ կամ առանձնահատկություն. ստվերային սեսիայի ավարտից հետո սկուտեղի լեզվի տողը անհետանում է միացված օգտատիրոջ համար, և այն վերադարձնելու համար օգտագործողը պետք է նորից - մուտք. Ինչպես պարզվում է, մենք միայնակ չենք. ժամանակ, два, երեք.

Այսքանը: Մաղթում եմ ձեզ և ձեր սերվերներին առողջություն: Ինչպես միշտ, ես անհամբեր սպասում եմ ձեր կարծիքին մեկնաբանություններում և խնդրում եմ ձեզ մասնակցել ստորև ներկայացված կարճ հարցմանը:

Տեղեկատվության աղբյուրներ

Հարցմանը կարող են մասնակցել միայն գրանցված օգտվողները։ Մուտք գործել, խնդրում եմ:

Ինչ եք օգտագործում:

  • 8,1%AMMYY Admin5

  • 17,7%AnyDesk11

  • 9,7%DameWare6

  • 24,2%Ռադմին 15

  • 14,5%RDS Shadow9

  • 1,6%Արագ օգնություն / Windows Remote Assistance1

  • 38,7%TeamViewer24

  • 32,3%VNC20

  • 32,3%այլ 20

  • 3,2%LiteManager2

Քվեարկել է 62 օգտատեր։ 22 օգտատեր ձեռնպահ է մնացել։

Source: www.habr.com

Добавить комментарий