האצלת ניהול מפגשי RDP

בארגון בו אני עובד, עבודה מרחוק אסורה עקרונית. היה. עד שבוע שעבר. כעת היינו צריכים ליישם בדחיפות פתרון. מהעסק - התאמת תהליכים לפורמט עבודה חדש, מאיתנו - PKI עם קודי PIN ואסימונים, VPN, רישום מפורט ועוד ועוד.
בין היתר, הגדרתי תשתית לשולחן עבודה מרוחק, הידוע בשם Terminal Services. יש לנו מספר פריסות RDS במרכזי נתונים שונים. אחת המטרות הייתה לאפשר לעמיתים ממחלקות IT קשורות להתחבר למפגשי משתמשים באופן אינטראקטיבי. כידוע, קיים מנגנון RDS Shadow סטנדרטי לכך, והדרך הקלה ביותר להאציל אותו היא לתת זכויות מנהל מקומי על שרתי RDS.
אני מכבד ומעריך את עמיתיי, אבל אני מאוד תאב בצע בכל הנוגע לחלוקת זכויות מנהל. 🙂 למי שמסכים איתי, אנא עקוב אחר הגזרה.

ובכן, המשימה ברורה, עכשיו בואו ניגש לעניינים.

שלב 1

בואו ניצור קבוצת אבטחה ב-Active Directory RDP_Operators ולכלול בו את החשבונות של אותם משתמשים שאליהם אנו רוצים להאציל זכויות:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

אם יש לך אתרי AD מרובים, תצטרך להמתין עד שהוא ישוכפל לכל בקרי התחום לפני שתמשיך לשלב הבא. זה לוקח בדרך כלל לא יותר מ-15 דקות.

שלב 2

בואו ניתן לקבוצה זכויות לנהל הפעלות מסוף בכל אחד משרתי ה-RDSH:

Set-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

שלב 3

הוסף את הקבוצה לקבוצה המקומית משתמשי שולחן עבודה מרוחק בכל אחד משרתי ה-RDSH. אם השרתים שלך משולבים לאוספי הפעלה, אנו עושים זאת ברמת האיסוף:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

עבור שרתים בודדים אנו משתמשים מדיניות קבוצתית, ממתין ליישום בשרתים. מי שמתעצל לחכות יכול להאיץ את התהליך באמצעות gpupdate הישן והטוב, רצוי באופן מרכזי.

שלב 4

בואו נכין את התסריט הבא ל-PS עבור "מנהלים":

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

כדי להפוך את סקריפט ה-PS נוח להפעלה, ניצור עבורו מעטפת בצורת קובץ cmd עם שם זהה לזה של הסקריפט של PS:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

אנחנו שמים את שני הקבצים בתיקייה שתהיה נגישה ל"מנהלים" ומבקשים מהם להתחבר מחדש. כעת, על ידי הפעלת קובץ ה-cmd, הם יוכלו להתחבר להפעלות של משתמשים אחרים במצב RDS Shadow ולאלץ אותם להתנתק (זה יכול להיות שימושי כאשר המשתמש אינו יכול לסיים באופן עצמאי סשן "תלוי").

זה נראה בערך כך:

עבור "המנהל"

עבור המשתמש

כמה הערות אחרונות

ניואנס 1. אם הפעלת המשתמש שאליו אנו מנסים להשיג שליטה הושקה לפני שהסקריפט Set-RDSPermissions.ps1 הופעל בשרת, אז ה"מנהל" יקבל שגיאת גישה. הפתרון כאן ברור: המתן עד שהמשתמש המנוהל ייכנס.

ניואנס 2. לאחר מספר ימים של עבודה עם RDP Shadow, שמנו לב לבאג או תכונה מעניינת: לאחר סיום סשן הצל, סרגל השפה במגש נעלם עבור המשתמש שאליו מחובר, וכדי להחזיר אותו, המשתמש צריך לחזור -התחברות. כפי שמתברר, אנחנו לא לבד: זמן, два, שלוש.

זה הכל. אני מאחל לך ולשרתים שלך בריאות טובה. כמו תמיד, אני מצפה למשוב שלך בתגובות ומבקש ממך לקחת את הסקר הקצר למטה.

מקורות

• RDS Shadow - חיבור צל להפעלות משתמש RDP ב-Windows Server 2016 / 2012 R2
• הצללה של Windows Server 2012 - האצלת זכויות למי שאינם מנהלי מערכת
• Get-LoggedOnUser אוסף מידע של משתמשים מחוברים במערכות מרוחקות
• הדרך הטובה ביותר כיצד להפעיל סקריפטים של PowerShell PS1
• הוספת משתמשי דומיין לקבוצת האבטחה המקומית
• GPMC - כפה gpupdate על כל המחשבים ב-OU

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

במה אתה משתמש?

• 8,1%AMMYY Admin5

• 17,7%AnyDesk11

• 9,7%DameWare6

• 24,2%Radmin15

• 14,5%RDS Shadow9

• 1,6%סיוע מהיר / סיוע מרחוק של Windows1

• 38,7%TeamViewer24

• 32,3%VNC20

• 32,3%אחר20

• 3,2%LiteManager2

62 משתמשים הצביעו. 22 משתמשים נמנעו.

מקור: www.habr.com