🥇 RDP सत्रहरूको प्रत्यायोजन व्यवस्थापन

मैले काम गरेको संस्थामा रिमोट काम सिद्धान्तमा निषेध गरिएको छ। थियो। गत हप्ता सम्म। अब हामीले तुरुन्तै समाधानको कार्यान्वयन गर्नुपर्‍यो। व्यवसायबाट - नयाँ कार्य ढाँचामा प्रक्रियाहरू अनुकूलन गर्दै, हामीबाट - PIN कोडहरू र टोकनहरू, VPN, विस्तृत लगिङ र अधिकको साथ PKI।
अन्य चीजहरू मध्ये, मैले रिमोट डेस्कटप इन्फ्रास्ट्रक्चर उर्फ टर्मिनल सेवाहरू सेटअप गरिरहेको थिएँ। हामीसँग विभिन्न डाटा केन्द्रहरूमा धेरै RDS तैनातीहरू छन्। एउटा लक्ष्य भनेको सम्बन्धित आईटी विभागका सहकर्मीहरूलाई अन्तरक्रियात्मक रूपमा प्रयोगकर्ता सत्रहरूमा जडान गर्न सक्षम पार्नु थियो। तपाईलाई थाहा छ, त्यहाँ यसको लागि एक मानक RDS छाया संयन्त्र छ, र यसलाई प्रत्यायोजन गर्ने सबैभन्दा सजिलो तरिका RDS सर्भरहरूमा स्थानीय प्रशासक अधिकारहरू दिनु हो।
म मेरा सहकर्मीहरूलाई सम्मान र कदर गर्छु, तर प्रशासक अधिकारहरू हस्तान्तरण गर्ने कुरामा म धेरै लोभी छु। 🙂 मसँग सहमत हुनेहरूका लागि, कृपया कटलाई पछ्याउनुहोस्।

ठिक छ, कार्य स्पष्ट छ, अब व्यापार मा तल जाऔं।

1 कदम

सक्रिय निर्देशिकामा सुरक्षा समूह सिर्जना गरौं RDP_Operators र यसमा ती प्रयोगकर्ताहरूको खाताहरू समावेश गर्नुहोस् जसलाई हामी अधिकारहरू प्रत्यायोजन गर्न चाहन्छौं:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

यदि तपाईंसँग धेरै AD साइटहरू छन् भने, तपाईंले अर्को चरणमा जानु अघि सबै डोमेन नियन्त्रकहरूमा प्रतिलिपि नभएसम्म पर्खनु पर्छ। यो सामान्यतया 15 मिनेट भन्दा बढी लाग्दैन।

2 कदम

प्रत्येक RDSH सर्भरमा टर्मिनल सत्रहरू व्यवस्थापन गर्न समूहलाई अधिकार दिऔं:

Set-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

3 कदम

स्थानीय समूहमा समूह थप्नुहोस् रिमोट डेस्कटप प्रयोगकर्ताहरू प्रत्येक RDSH सर्भरमा। यदि तपाइँका सर्भरहरू सत्र सङ्कलनहरूमा जोडिएका छन् भने, हामी सङ्कलन स्तरमा यो गर्छौं:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

एकल सर्भरहरूको लागि हामी प्रयोग गर्छौं समूह नीति, सर्भरहरूमा लागू हुनको लागि पर्खँदै। पर्खन धेरै अल्छी भएकाहरूले राम्रो पुरानो gpupdate प्रयोग गरेर प्रक्रियालाई गति दिन सक्छन्, अधिमानतः केन्द्रीय रूपमा.

4 कदम

"प्रबन्धकहरू" को लागि निम्न PS स्क्रिप्ट तयार गरौं:

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

PS स्क्रिप्ट चलाउनको लागि सुविधाजनक बनाउनको लागि, हामी PS स्क्रिप्ट जस्तै समान नामको cmd फाइलको रूपमा यसको लागि एउटा शेल सिर्जना गर्नेछौं:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

हामीले दुबै फाइलहरूलाई "प्रबन्धकहरू" लाई पहुँचयोग्य फोल्डरमा राख्छौं र तिनीहरूलाई पुन: लगइन गर्न सोध्छौं। अब, cmd फाइल चलाएर, तिनीहरूले RDS छाया मोडमा अन्य प्रयोगकर्ताहरूको सत्रहरूमा जडान गर्न सक्षम हुनेछन् र तिनीहरूलाई लग आउट गर्न बाध्य पार्नेछन् (यो उपयोगी हुन सक्छ जब प्रयोगकर्ताले स्वतन्त्र रूपमा "ह्याङिङ" सत्र समाप्त गर्न सक्दैन)।

यो यस्तो देखिन्छ:

"प्रबन्धक" को लागी

प्रयोगकर्ताको लागि

केहि अन्तिम टिप्पणीहरू

सूक्ष्मता 1। यदि प्रयोगकर्ता सत्र जसमा हामीले नियन्त्रण प्राप्त गर्न प्रयास गरिरहेका छौं Set-RDSPermissions.ps1 स्क्रिप्ट सर्भरमा कार्यान्वयन हुनु अघि सुरु गरिएको थियो, तब "प्रबन्धक" ले पहुँच त्रुटि प्राप्त गर्नेछ। यहाँ समाधान स्पष्ट छ: व्यवस्थित प्रयोगकर्ता लग इन नभएसम्म पर्खनुहोस्।

सूक्ष्मता 2। RDP छायासँग काम गरेको धेरै दिन पछि, हामीले एउटा रोचक बग वा सुविधा देख्यौं: छाया सत्रको अन्त्य पछि, प्रयोगकर्ता जडान भएको ट्रेमा भाषा पट्टी गायब हुन्छ, र यसलाई फिर्ता प्राप्त गर्न, प्रयोगकर्ताले पुन: प्राप्त गर्न आवश्यक छ। -लग - इन। यो बाहिर जान्छ, हामी एक्लै छैनौं: पटक, два, तीन.

यति नै। म तपाई र तपाईका सर्भरहरूको सुस्वास्थ्यको कामना गर्दछु। सधैं जस्तै, म टिप्पणीहरूमा तपाईंको प्रतिक्रियाको लागि तत्पर छु र तपाईंलाई तलको छोटो सर्वेक्षण लिन आग्रह गर्दछु।

स्रोतहरू

दर्ता भएका प्रयोगकर्ताहरूले मात्र सर्वेक्षणमा भाग लिन सक्छन्। साइन इन गर्नुहोस्कृपया

तपाईं के प्रयोग गर्नुहुन्छ?

8,1%AMMYY Admin5
17,7%AnyDesk11
9,7%DameWare6
24,2%Radmin15
14,5%RDS छाया9
1,6%द्रुत सहायता / विन्डोज रिमोट सहायता १
38,7%TeamViewer24
32,3%VNC20
32,3%अन्य ४
3,2%लाइट प्रबन्धक २

62 प्रयोगकर्ताहरूले मतदान गरे। २ प्रयोगकर्ताहरू रोकिए।

स्रोत: www.habr.com

RDP सत्रहरूको प्रत्यायोजित व्यवस्थापन