RDP സെഷനുകളുടെ മാനേജ്മെന്റ് ചുമതലപ്പെടുത്തുന്നു

ഞാൻ ജോലി ചെയ്യുന്ന സ്ഥാപനത്തിൽ, വിദൂര ജോലികൾ തത്വത്തിൽ നിരോധിച്ചിരിക്കുന്നു. ആയിരുന്നു. കഴിഞ്ഞ ആഴ്ച വരെ. ഇപ്പോൾ ഞങ്ങൾക്ക് ഒരു പരിഹാരം അടിയന്തിരമായി നടപ്പിലാക്കേണ്ടതുണ്ട്. ബിസിനസ്സിൽ നിന്ന് - ഒരു പുതിയ വർക്ക് ഫോർമാറ്റിലേക്ക് പ്രക്രിയകൾ പൊരുത്തപ്പെടുത്തൽ, ഞങ്ങളിൽ നിന്ന് - PIN കോഡുകളും ടോക്കണുകളും ഉള്ള PKI, VPN, വിശദമായ ലോഗിംഗ് എന്നിവയും അതിലേറെയും.
മറ്റ് കാര്യങ്ങളിൽ, ഞാൻ റിമോട്ട് ഡെസ്ക്ടോപ്പ് ഇൻഫ്രാസ്ട്രക്ചർ അല്ലെങ്കിൽ ടെർമിനൽ സേവനങ്ങൾ സജ്ജീകരിക്കുകയായിരുന്നു. വ്യത്യസ്ത ഡാറ്റാ സെന്ററുകളിൽ ഞങ്ങൾക്ക് നിരവധി RDS വിന്യാസങ്ങളുണ്ട്. ഉപയോക്തൃ സെഷനുകളിലേക്ക് സംവേദനാത്മകമായി ബന്ധിപ്പിക്കുന്നതിന് ബന്ധപ്പെട്ട ഐടി വകുപ്പുകളിൽ നിന്നുള്ള സഹപ്രവർത്തകരെ പ്രാപ്തരാക്കുക എന്നതായിരുന്നു ലക്ഷ്യങ്ങളിലൊന്ന്. നിങ്ങൾക്കറിയാവുന്നതുപോലെ, ഇതിനായി ഒരു സ്റ്റാൻഡേർഡ് RDS ഷാഡോ മെക്കാനിസം ഉണ്ട്, RDS സെർവറുകളിൽ പ്രാദേശിക അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ നൽകുക എന്നതാണ് ഇത് നിയോഗിക്കുന്നതിനുള്ള ഏറ്റവും എളുപ്പ മാർഗം.
ഞാൻ എന്റെ സഹപ്രവർത്തകരെ ബഹുമാനിക്കുകയും വിലമതിക്കുകയും ചെയ്യുന്നു, പക്ഷേ അഡ്മിൻ അവകാശങ്ങൾ കൈമാറുന്ന കാര്യത്തിൽ ഞാൻ വളരെ അത്യാഗ്രഹിയാണ്. 🙂 എന്നോട് യോജിക്കുന്നവർ, കട്ട് പിന്തുടരുക.

ശരി, ചുമതല വ്യക്തമാണ്, ഇപ്പോൾ നമുക്ക് ബിസിനസ്സിലേക്ക് ഇറങ്ങാം.

ഘട്ടം ക്സനുമ്ക്സ

നമുക്ക് ആക്റ്റീവ് ഡയറക്ടറിയിൽ ഒരു സുരക്ഷാ ഗ്രൂപ്പ് സൃഷ്ടിക്കാം RDP_ഓപ്പറേറ്റർമാർ ഞങ്ങൾ അവകാശങ്ങൾ ഏൽപ്പിക്കാൻ ആഗ്രഹിക്കുന്ന ഉപയോക്താക്കളുടെ അക്കൗണ്ടുകൾ അതിൽ ഉൾപ്പെടുത്തുക:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

നിങ്ങൾക്ക് ഒന്നിലധികം AD സൈറ്റുകൾ ഉണ്ടെങ്കിൽ, അടുത്ത ഘട്ടത്തിലേക്ക് പോകുന്നതിന് മുമ്പ് അത് എല്ലാ ഡൊമെയ്ൻ കൺട്രോളറുകളിലേക്കും പകർത്തുന്നത് വരെ നിങ്ങൾ കാത്തിരിക്കേണ്ടതുണ്ട്. ഇത് സാധാരണയായി 15 മിനിറ്റിൽ കൂടുതൽ എടുക്കുന്നില്ല.

ഘട്ടം ക്സനുമ്ക്സ

ഓരോ RDSH സെർവറുകളിലും ടെർമിനൽ സെഷനുകൾ നിയന്ത്രിക്കാനുള്ള അവകാശം ഗ്രൂപ്പിന് നൽകാം:

സെറ്റ്-RDSPpermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

ഘട്ടം ക്സനുമ്ക്സ

പ്രാദേശിക ഗ്രൂപ്പിലേക്ക് ഗ്രൂപ്പിനെ ചേർക്കുക റിമോട്ട് ഡെസ്ക്ടോപ്പ് ഉപയോക്താക്കൾ ഓരോ RDSH സെർവറുകളിലും. നിങ്ങളുടെ സെർവറുകൾ സെഷൻ കളക്ഷനുകളായി സംയോജിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, ഞങ്ങൾ ഇത് ശേഖരണ തലത്തിലാണ് ചെയ്യുന്നത്:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

ഒറ്റ സെർവറുകൾക്കായി ഞങ്ങൾ ഉപയോഗിക്കുന്നു ഗ്രൂപ്പ് നയം, ഇത് സെർവറുകളിൽ പ്രയോഗിക്കുന്നതിനായി കാത്തിരിക്കുന്നു. കാത്തിരിക്കാൻ മടിയുള്ളവർക്ക് നല്ല പഴയ gpupdate ഉപയോഗിച്ച് പ്രക്രിയ വേഗത്തിലാക്കാം, വെയിലത്ത് കേന്ദ്രമായി.

ഘട്ടം ക്സനുമ്ക്സ

"മാനേജർമാർ"ക്കായി ഇനിപ്പറയുന്ന PS സ്ക്രിപ്റ്റ് തയ്യാറാക്കാം:

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

PS സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കാൻ സൗകര്യപ്രദമാക്കുന്നതിന്, PS സ്ക്രിപ്റ്റിന്റെ അതേ പേരിൽ ഒരു cmd ഫയലിന്റെ രൂപത്തിൽ ഞങ്ങൾ അതിനായി ഒരു ഷെൽ സൃഷ്ടിക്കും:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

ഞങ്ങൾ രണ്ട് ഫയലുകളും "മാനേജർമാർക്ക്" ആക്‌സസ് ചെയ്യാവുന്ന ഒരു ഫോൾഡറിൽ ഇടുകയും അവരോട് വീണ്ടും ലോഗിൻ ചെയ്യാൻ ആവശ്യപ്പെടുകയും ചെയ്യുന്നു. ഇപ്പോൾ, cmd ഫയൽ പ്രവർത്തിപ്പിക്കുന്നതിലൂടെ, അവർക്ക് RDS ഷാഡോ മോഡിലുള്ള മറ്റ് ഉപയോക്താക്കളുടെ സെഷനുകളിലേക്ക് കണക്റ്റുചെയ്യാനും അവരെ ലോഗ് ഔട്ട് ചെയ്യാൻ നിർബന്ധിക്കാനും കഴിയും (ഉപയോക്താവിന് ഒരു "ഹാംഗിംഗ്" സെഷൻ സ്വതന്ത്രമായി അവസാനിപ്പിക്കാൻ കഴിയാത്തപ്പോൾ ഇത് ഉപയോഗപ്രദമാകും).

ഇത് ഇതുപോലെ തോന്നുന്നു:

"മാനേജർക്ക്" വേണ്ടി

ഉപയോക്താവിന്

അവസാനത്തെ ചില അഭിപ്രായങ്ങൾ

സൂക്ഷ്മത 1. സെർവറിൽ Set-RDSPpermissions.ps1 സ്‌ക്രിപ്റ്റ് എക്‌സിക്യൂട്ട് ചെയ്യുന്നതിന് മുമ്പ് ഞങ്ങൾ നിയന്ത്രണം നേടാൻ ശ്രമിക്കുന്ന ഉപയോക്തൃ സെഷൻ സമാരംഭിച്ചിട്ടുണ്ടെങ്കിൽ, “മാനേജറിന്” ഒരു ആക്‌സസ് പിശക് ലഭിക്കും. ഇവിടെ പരിഹാരം വ്യക്തമാണ്: നിയന്ത്രിത ഉപയോക്താവ് ലോഗിൻ ചെയ്യുന്നത് വരെ കാത്തിരിക്കുക.

സൂക്ഷ്മത 2. ആർ‌ഡി‌പി ഷാഡോയ്‌ക്കൊപ്പം നിരവധി ദിവസങ്ങൾ പ്രവർത്തിച്ചതിന് ശേഷം, രസകരമായ ഒരു ബഗ് അല്ലെങ്കിൽ ഫീച്ചർ ഞങ്ങൾ ശ്രദ്ധിച്ചു: ഷാഡോ സെഷൻ അവസാനിച്ചതിന് ശേഷം, ട്രേയിലെ ഭാഷാ ബാർ ഉപയോക്താവിന് കണക്റ്റുചെയ്‌തതിന് അപ്രത്യക്ഷമാകും, അത് തിരികെ ലഭിക്കുന്നതിന്, ഉപയോക്താവ് വീണ്ടും ചെയ്യേണ്ടതുണ്ട്. -ലോഗിൻ. അത് മാറുന്നതുപോലെ, ഞങ്ങൾ ഒറ്റയ്ക്കല്ല: തവണ, два, മൂന്ന്.

അത്രയേയുള്ളൂ. നിങ്ങൾക്കും നിങ്ങളുടെ സെർവർമാർക്കും നല്ല ആരോഗ്യം നേരുന്നു. എല്ലായ്‌പ്പോഴും എന്നപോലെ, അഭിപ്രായങ്ങളിൽ നിങ്ങളുടെ ഫീഡ്‌ബാക്ക് പ്രതീക്ഷിക്കുന്നു, ഒപ്പം ചുവടെയുള്ള ഹ്രസ്വ സർവേയിൽ പങ്കെടുക്കാൻ നിങ്ങളോട് ആവശ്യപ്പെടുകയും ചെയ്യുന്നു.

ഉറവിടങ്ങൾ

• RDS ഷാഡോ - വിൻഡോസ് സെർവർ 2016 / 2012 R2 ലെ RDP ഉപയോക്തൃ സെഷനുകളിലേക്കുള്ള ഷാഡോ കണക്ഷൻ
• വിൻഡോസ് സെർവർ 2012 ഷാഡോവിംഗ് - അഡ്മിനല്ലാത്തവർക്ക് അവകാശങ്ങൾ കൈമാറുന്നു
• Get-LoggedOnUser റിമോട്ട് സിസ്റ്റങ്ങളിൽ ലോഗിൻ ചെയ്ത ഉപയോക്താക്കളുടെ വിവരങ്ങൾ ശേഖരിക്കുന്നു
• PowerShell PS1 സ്ക്രിപ്റ്റുകൾ എങ്ങനെ ആരംഭിക്കാം എന്നതിനുള്ള മികച്ച മാർഗം
• പ്രാദേശിക സുരക്ഷാ ഗ്രൂപ്പിലേക്ക് ഡൊമെയ്ൻ ഉപയോക്താക്കളെ ചേർക്കുന്നു
• GPMC - OU-യിലെ എല്ലാ കമ്പ്യൂട്ടറുകളിലും നിർബന്ധിത gpupdate

രജിസ്റ്റർ ചെയ്ത ഉപയോക്താക്കൾക്ക് മാത്രമേ സർവേയിൽ പങ്കെടുക്കാൻ കഴിയൂ. സൈൻ ഇൻദയവായി.

നിങ്ങൾ എന്താണ് ഉപയോഗിക്കുന്നത്?

• 8,1%AMMYY അഡ്മിൻ5

• 17,7%AnyDesk11

• 9,7%ഡാംവെയർ6

• 24,2%റാഡ്മിൻ15

• 14,5%RDS ഷാഡോ 9

• 1,6%ക്വിക്ക് അസിസ്റ്റ് / വിൻഡോസ് റിമോട്ട് അസിസ്റ്റൻസ്1

• 38,7%ടീം വ്യൂവർ24

• 32,3%VNC20

• 32,3%മറ്റുള്ളവ20

• 3,2%ലൈറ്റ്മാനേജർ2

62 ഉപയോക്താക്കൾ വോട്ട് ചെയ്തു. 22 ഉപയോക്താക്കൾ വിട്ടുനിന്നു.

അവലംബം: www.habr.com