ການມອບສິດການຄຸ້ມຄອງກອງປະຊຸມ RDP

ໃນອົງການຈັດຕັ້ງທີ່ຂ້ອຍເຮັດວຽກ, ການເຮັດວຽກຫ່າງໄກສອກຫຼີກແມ່ນຖືກຫ້າມໃນຫຼັກການ. ແມ່ນ. ຈົນກ່ວາອາທິດທີ່ຜ່ານມາ. ໃນປັດຈຸບັນພວກເຮົາຕ້ອງໄດ້ປະຕິບັດການແກ້ໄຂຢ່າງຮີບດ່ວນ. ຈາກທຸລະກິດ - ການປັບຂະບວນການໄປສູ່ຮູບແບບການເຮັດວຽກໃຫມ່, ຈາກພວກເຮົາ - PKI ທີ່ມີລະຫັດ PIN ແລະ tokens, VPN, ບັນທຶກລາຍລະອຽດແລະອື່ນໆອີກ.
ໃນບັນດາສິ່ງອື່ນໆ, ຂ້ອຍກໍາລັງຕັ້ງໂຄງສ້າງພື້ນຖານ desktop ໄລຍະໄກ aka Terminal Services. ພວກເຮົາມີການນຳໃຊ້ RDS ຫຼາຍອັນຢູ່ໃນສູນຂໍ້ມູນທີ່ແຕກຕ່າງກັນ. ຫນຶ່ງໃນເປົ້າຫມາຍແມ່ນເພື່ອໃຫ້ເພື່ອນຮ່ວມງານຈາກພະແນກ IT ທີ່ກ່ຽວຂ້ອງສາມາດເຊື່ອມຕໍ່ກັບກອງປະຊຸມຜູ້ໃຊ້ແບບໂຕ້ຕອບ. ຕາມທີ່ທ່ານຮູ້, ມີກົນໄກ RDS Shadow ມາດຕະຖານສໍາລັບການນີ້, ແລະວິທີທີ່ງ່າຍທີ່ສຸດທີ່ຈະມອບຫມາຍແມ່ນໃຫ້ສິດຜູ້ບໍລິຫານທ້ອງຖິ່ນໃນເຄື່ອງແມ່ຂ່າຍ RDS.
ຂ້ອຍເຄົາລົບແລະໃຫ້ຄຸນຄ່າກັບເພື່ອນຮ່ວມງານຂອງຂ້ອຍ, ແຕ່ຂ້ອຍມີຄວາມໂລບມາກຫຼາຍເມື່ອເວົ້າເຖິງການມອບສິດ admin. 🙂 ສໍາລັບຜູ້ທີ່ເຫັນດີກັບຂ້ອຍ, ກະລຸນາປະຕິບັດຕາມການຕັດ.

ແລ້ວ, ວຽກງານແມ່ນຈະແຈ້ງ, ຕອນນີ້ໃຫ້ພວກເຮົາລົງໄປຫາທຸລະກິດ.

ຂັ້ນຕອນ 1

ມາສ້າງກຸ່ມຄວາມປອດໄພໃນ Active Directory RDP_Operators ແລະລວມຢູ່ໃນບັນຊີຂອງຜູ້ໃຊ້ເຫຼົ່ານັ້ນທີ່ພວກເຮົາຕ້ອງການມອບສິດໃຫ້ສິດ:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

ຖ້າທ່ານມີເວັບໄຊທ໌ AD ຫຼາຍ, ທ່ານຈະຕ້ອງລໍຖ້າຈົນກ່ວາມັນຖືກຈໍາລອງກັບຕົວຄວບຄຸມໂດເມນທັງຫມົດກ່ອນທີ່ຈະກ້າວໄປສູ່ຂັ້ນຕອນຕໍ່ໄປ. ປົກກະຕິແລ້ວນີ້ໃຊ້ເວລາບໍ່ເກີນ 15 ນາທີ.

ຂັ້ນຕອນ 2

ໃຫ້ສິດກຸ່ມໃນການຈັດການເຊດຊັນ terminal ໃນແຕ່ລະເຊີບເວີ RDSH:

Set-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

ຂັ້ນຕອນ 3

ເພີ່ມກຸ່ມໃສ່ກຸ່ມທ້ອງຖິ່ນ ຜູ້ໃຊ້ Desktop ໄລຍະໄກ ໃນແຕ່ລະເຊີບເວີ RDSH. ຖ້າເຄື່ອງແມ່ຂ່າຍຂອງທ່ານຖືກລວມເຂົ້າໃນການເກັບລວບລວມຂອງເຊດຊັນ, ພວກເຮົາເຮັດສິ່ງນີ້ໃນລະດັບການເກັບກໍາ:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

ສໍາລັບເຄື່ອງແມ່ຂ່າຍດຽວທີ່ພວກເຮົາໃຊ້ ນະ​ໂຍ​ບາຍ​ຂອງ​ກຸ່ມ​, ລໍຖ້າມັນຖືກນໍາໃຊ້ໃນເຄື່ອງແມ່ຂ່າຍ. ຜູ້ທີ່ຂີ້ກຽດເກີນໄປທີ່ຈະລໍຖ້າສາມາດເລັ່ງຂະບວນການໂດຍໃຊ້ gpupdate ເກົ່າທີ່ດີ, ດີກວ່າ ກາງ.

ຂັ້ນຕອນ 4

ຂໍໃຫ້ກະກຽມສະຄິບ PS ຕໍ່ໄປນີ້ສໍາລັບ "ຜູ້ຈັດການ":

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

ເພື່ອເຮັດໃຫ້ສະຄຣິບ PS ສະດວກໃນການແລ່ນ, ພວກເຮົາຈະສ້າງ Shell ໃຫ້ກັບມັນໃນຮູບແບບຂອງໄຟລ໌ cmd ທີ່ມີຊື່ດຽວກັນກັບສະຄິບ PS:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

ພວກເຮົາເອົາທັງສອງໄຟລ໌ໄວ້ໃນໂຟນເດີທີ່ຈະສາມາດເຂົ້າເຖິງ "ຜູ້ຈັດການ" ແລະຂໍໃຫ້ພວກເຂົາເຂົ້າສູ່ລະບົບຄືນໃຫມ່. ໃນປັດຈຸບັນ, ໂດຍການແລ່ນໄຟລ໌ cmd, ພວກເຂົາສາມາດເຊື່ອມຕໍ່ກັບ sessions ຂອງຜູ້ໃຊ້ອື່ນໆໃນໂຫມດ RDS Shadow ແລະບັງຄັບໃຫ້ພວກເຂົາອອກຈາກລະບົບ (ນີ້ສາມາດເປັນປະໂຫຍດໃນເວລາທີ່ຜູ້ໃຊ້ບໍ່ສາມາດຍົກເລີກກອງປະຊຸມ "hanging" ເປັນເອກະລາດ).

ມັນເບິ່ງຄືແນວນີ້:

ສໍາລັບ "ຜູ້ຈັດການ"

ສໍາລັບຜູ້ໃຊ້

ສອງສາມຄໍາເຫັນສຸດທ້າຍ

ອ່ອນ 1. ຖ້າເຊສຊັນຜູ້ໃຊ້ທີ່ພວກເຮົາພະຍາຍາມເອົາການຄວບຄຸມຖືກເປີດໃຊ້ກ່ອນທີ່ script Set-RDSPermissions.ps1 ຖືກປະຕິບັດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ, ຫຼັງຈາກນັ້ນ "ຜູ້ຈັດການ" ຈະໄດ້ຮັບຄວາມຜິດພາດໃນການເຂົ້າເຖິງ. ການແກ້ໄຂຢູ່ທີ່ນີ້ຈະແຈ້ງ: ລໍຖ້າຈົນກ່ວາຜູ້ໃຊ້ທີ່ຖືກຄຸ້ມຄອງເຂົ້າສູ່ລະບົບ.

ອ່ອນ 2. ຫຼັງຈາກຫຼາຍໆມື້ຂອງການເຮັດວຽກກັບ RDP Shadow, ພວກເຮົາສັງເກດເຫັນຂໍ້ບົກພ່ອງຫຼືລັກສະນະທີ່ຫນ້າສົນໃຈ: ຫຼັງຈາກສິ້ນສຸດຂອງກອງປະຊຸມເງົາ, ແຖບພາສາໃນຖາດຈະຫາຍໄປສໍາລັບຜູ້ໃຊ້ທີ່ຖືກເຊື່ອມຕໍ່, ແລະເພື່ອໃຫ້ມັນກັບຄືນມາ, ຜູ້ໃຊ້ຕ້ອງການຄືນໃຫມ່. -ເຂົ້າ​ສູ່​ລະ​ບົບ. ຍ້ອນວ່າມັນຫັນອອກ, ພວກເຮົາບໍ່ໄດ້ຢູ່ຄົນດຽວ: ເວລາ, два, ສາມ.

ຫມົດ​ເທົ່າ​ນີ້. ຂ້ອຍຂໍອວຍພອນໃຫ້ເຈົ້າ ແລະເຊີບເວີຂອງເຈົ້າມີສຸຂະພາບແຂງແຮງ. ໃນຖານະເປັນສະເຫມີ, ຂ້າພະເຈົ້າຫວັງວ່າຈະໄດ້ຄໍາຄຶດຄໍາເຫັນຂອງທ່ານໃນຄໍາເຫັນແລະຂໍໃຫ້ທ່ານເຮັດແບບສໍາຫຼວດສັ້ນຂ້າງລຸ່ມນີ້.

ແຫຼ່ງຂໍ້ມູນ

• RDS Shadow - ການເຊື່ອມຕໍ່ເງົາກັບກອງປະຊຸມຜູ້ໃຊ້ RDP ໃນ Windows Server 2016 / 2012 R2
• Windows Server 2012 Shadowing – ການມອບສິດໃຫ້ຜູ້ບໍລິຫານທີ່ບໍ່ແມ່ນຜູ້ບໍລິຫານ
• Get-LoggedOnUser ຮວບຮວມຂໍ້ມູນຂອງຜູ້ເຂົ້າໃຊ້ໃນລະບົບທາງໄກ
• ວິທີທີ່ດີທີ່ສຸດໃນການເລີ່ມຕົ້ນສະຄຣິບ PowerShell PS1
• ເພີ່ມຜູ້ໃຊ້ໂດເມນໃຫ້ກັບກຸ່ມຄວາມປອດໄພທ້ອງຖິ່ນ
• GPMC – ບັງຄັບ gpupdate ໃນຄອມພິວເຕີທັງໝົດໃນ OU

ພຽງແຕ່ຜູ້ໃຊ້ລົງທະບຽນສາມາດເຂົ້າຮ່ວມໃນການສໍາຫຼວດ. ເຂົ້າ​ສູ່​ລະ​ບົບກະລຸນາ.

ເຈົ້າໃຊ້ຫຍັງ?

• 8,1%AMMYY Admin5

• 17,7%AnyDesk11

• 9,7%DameWare6

• 24,2%ຣາດມິນ15

• 14,5%RDS Shadow9

• 1,6%Quick Assist / Windows Remote Assistance1

• 38,7%TeamViewer24

• 32,3%VNC20

• 32,3%ອື່ນໆ20

• 3,2%LiteManager2

62 ຜູ້ໃຊ້ລົງຄະແນນສຽງ. 22 ຜູ້ໃຊ້ງົດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com