🥇RDP ਸੈਸ਼ਨਾਂ ਦਾ ਨਿਯੰਤਰਣ ਸੌਂਪੋ

ਜਿਸ ਸੰਸਥਾ ਵਿੱਚ ਮੈਂ ਕੰਮ ਕਰਦਾ ਹਾਂ, ਉੱਥੇ ਰਿਮੋਟ ਕੰਮ ਦੀ ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ ਮਨਾਹੀ ਹੈ। ਸੀ. ਪਿਛਲੇ ਹਫ਼ਤੇ ਤੱਕ. ਹੁਣ ਸਾਨੂੰ ਫੌਰੀ ਤੌਰ 'ਤੇ ਇੱਕ ਹੱਲ ਲਾਗੂ ਕਰਨਾ ਸੀ। ਕਾਰੋਬਾਰ ਤੋਂ - ਇੱਕ ਨਵੇਂ ਕੰਮ ਦੇ ਫਾਰਮੈਟ ਵਿੱਚ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਅਨੁਕੂਲਿਤ ਕਰਨਾ, ਸਾਡੇ ਵੱਲੋਂ - PIN ਕੋਡ ਅਤੇ ਟੋਕਨਾਂ, VPN, ਵਿਸਤ੍ਰਿਤ ਲੌਗਿੰਗ ਅਤੇ ਹੋਰ ਬਹੁਤ ਕੁਝ ਦੇ ਨਾਲ PKI।
ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਮੈਂ ਰਿਮੋਟ ਡੈਸਕਟੌਪ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਉਰਫ ਟਰਮੀਨਲ ਸੇਵਾਵਾਂ ਸਥਾਪਤ ਕਰ ਰਿਹਾ ਸੀ। ਸਾਡੇ ਕੋਲ ਵੱਖ-ਵੱਖ ਡਾਟਾ ਸੈਂਟਰਾਂ ਵਿੱਚ ਕਈ RDS ਤੈਨਾਤੀਆਂ ਹਨ। ਇੱਕ ਟੀਚਾ ਸਬੰਧਤ ਆਈਟੀ ਵਿਭਾਗਾਂ ਦੇ ਸਹਿਕਰਮੀਆਂ ਨੂੰ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨਾਂ ਨਾਲ ਇੰਟਰਐਕਟਿਵ ਤਰੀਕੇ ਨਾਲ ਜੁੜਨ ਲਈ ਸਮਰੱਥ ਬਣਾਉਣਾ ਸੀ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ, ਇਸਦੇ ਲਈ ਇੱਕ ਮਿਆਰੀ RDS ਸ਼ੈਡੋ ਵਿਧੀ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਸੌਂਪਣ ਦਾ ਸਭ ਤੋਂ ਆਸਾਨ ਤਰੀਕਾ ਹੈ RDS ਸਰਵਰਾਂ 'ਤੇ ਸਥਾਨਕ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰ ਦੇਣਾ।
ਮੈਂ ਆਪਣੇ ਸਾਥੀਆਂ ਦਾ ਆਦਰ ਕਰਦਾ ਹਾਂ ਅਤੇ ਉਹਨਾਂ ਦੀ ਕਦਰ ਕਰਦਾ ਹਾਂ, ਪਰ ਜਦੋਂ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰਾਂ ਨੂੰ ਸੌਂਪਣ ਦੀ ਗੱਲ ਆਉਂਦੀ ਹੈ ਤਾਂ ਮੈਂ ਬਹੁਤ ਲਾਲਚੀ ਹਾਂ। 🙂 ਜਿਹੜੇ ਮੇਰੇ ਨਾਲ ਸਹਿਮਤ ਹਨ, ਕਿਰਪਾ ਕਰਕੇ ਕੱਟੋ.

ਖੈਰ, ਕੰਮ ਸਪੱਸ਼ਟ ਹੈ, ਆਓ ਹੁਣ ਕਾਰੋਬਾਰ 'ਤੇ ਉਤਰੀਏ।

ਕਦਮ 1

ਚਲੋ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਇੱਕ ਸੁਰੱਖਿਆ ਸਮੂਹ ਬਣਾਉ RDP_Operators ਅਤੇ ਇਸ ਵਿੱਚ ਉਹਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਖਾਤੇ ਸ਼ਾਮਲ ਕਰੋ ਜਿਨ੍ਹਾਂ ਨੂੰ ਅਸੀਂ ਅਧਿਕਾਰ ਸੌਂਪਣਾ ਚਾਹੁੰਦੇ ਹਾਂ:

$Users = @(
    "UserLogin1",
    "UserLogin2",
    "UserLogin3"
)
$Group = "RDP_Operators"
New-ADGroup -Name $Group -GroupCategory Security -GroupScope DomainLocal
Add-ADGroupMember -Identity $Group -Members $Users

ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਇੱਕ ਤੋਂ ਵੱਧ AD ਸਾਈਟਾਂ ਹਨ, ਤਾਂ ਤੁਹਾਨੂੰ ਅਗਲੇ ਪੜਾਅ 'ਤੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨੂੰ ਸਾਰੇ ਡੋਮੇਨ ਕੰਟਰੋਲਰਾਂ 'ਤੇ ਦੁਹਰਾਉਣ ਤੱਕ ਉਡੀਕ ਕਰਨੀ ਪਵੇਗੀ। ਇਹ ਆਮ ਤੌਰ 'ਤੇ 15 ਮਿੰਟਾਂ ਤੋਂ ਵੱਧ ਨਹੀਂ ਲੈਂਦਾ।

ਕਦਮ 2

ਆਉ ਸਮੂਹ ਨੂੰ ਹਰੇਕ RDSH ਸਰਵਰ 'ਤੇ ਟਰਮੀਨਲ ਸੈਸ਼ਨਾਂ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨ ਦੇ ਅਧਿਕਾਰ ਦੇਈਏ:

ਸੈੱਟ-RDSPermissions.ps1

$Group = "RDP_Operators"
$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)
ForEach ($Server in $Servers) {
    #Делегируем право на теневые сессии
    $WMIHandles = Get-WmiObject `
        -Class "Win32_TSPermissionsSetting" `
        -Namespace "rootCIMV2terminalservices" `
        -ComputerName $Server `
        -Authentication PacketPrivacy `
        -Impersonation Impersonate
    ForEach($WMIHandle in $WMIHandles)
    {
        If ($WMIHandle.TerminalName -eq "RDP-Tcp")
        {
        $retVal = $WMIHandle.AddAccount($Group, 2)
        $opstatus = "успешно"
        If ($retVal.ReturnValue -ne 0) {
            $opstatus = "ошибка"
        }
        Write-Host ("Делегирование прав на теневое подключение группе " +
            $Group + " на сервере " + $Server + ": " + $opstatus + "`r`n")
        }
    }
}

ਕਦਮ 3

ਸਮੂਹ ਨੂੰ ਸਥਾਨਕ ਸਮੂਹ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ ਰਿਮੋਟ ਡੈਸਕਟਾਪ ਉਪਭੋਗਤਾ ਹਰੇਕ RDSH ਸਰਵਰ 'ਤੇ। ਜੇਕਰ ਤੁਹਾਡੇ ਸਰਵਰਾਂ ਨੂੰ ਸੈਸ਼ਨ ਸੰਗ੍ਰਹਿ ਵਿੱਚ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਅਸੀਂ ਇਹ ਸੰਗ੍ਰਹਿ ਪੱਧਰ 'ਤੇ ਕਰਦੇ ਹਾਂ:

$Group = "RDP_Operators"
$CollectionName = "MyRDSCollection"
[String[]]$CurrentCollectionGroups = @(Get-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup).UserGroup
Set-RDSessionCollectionConfiguration -CollectionName $CollectionName -UserGroup ($CurrentCollectionGroups + $Group)

ਸਿੰਗਲ ਸਰਵਰਾਂ ਲਈ ਅਸੀਂ ਵਰਤਦੇ ਹਾਂ ਗਰੁੱਪ ਨੀਤੀ, ਸਰਵਰਾਂ 'ਤੇ ਲਾਗੂ ਹੋਣ ਦੀ ਉਡੀਕ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ। ਜਿਹੜੇ ਲੋਕ ਇੰਤਜ਼ਾਰ ਕਰਨ ਵਿੱਚ ਬਹੁਤ ਆਲਸੀ ਹਨ, ਤਰਜੀਹੀ ਤੌਰ 'ਤੇ ਚੰਗੇ ਪੁਰਾਣੇ gpupdate ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਤੇਜ਼ ਕਰ ਸਕਦੇ ਹਨ ਕੇਂਦਰੀ ਤੌਰ 'ਤੇ.

ਕਦਮ 4

ਆਉ "ਪ੍ਰਬੰਧਕਾਂ" ਲਈ ਹੇਠਾਂ ਦਿੱਤੀ PS ਸਕ੍ਰਿਪਟ ਤਿਆਰ ਕਰੀਏ:

RDSManagement.ps1

$Servers = @(
    "RDSHost01",
    "RDSHost02",
    "RDSHost03"
)

function Invoke-RDPSessionLogoff {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    logoff $SessionID /server:$ComputerName /v 2>&1
}

function Invoke-RDPShadowSession {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName,
        [parameter(Mandatory=$true, Position=1)][String]$SessionID
    )
    $ErrorActionPreference = "Stop"
    mstsc /shadow:$SessionID /v:$ComputerName /control 2>&1
}

Function Get-LoggedOnUser {
    Param(
        [parameter(Mandatory=$True, Position=0)][String]$ComputerName="localhost"
    )
    $ErrorActionPreference = "Stop"
    Test-Connection $ComputerName -Count 1 | Out-Null
    quser /server:$ComputerName 2>&1 | Select-Object -Skip 1 | ForEach-Object {
        $CurrentLine = $_.Trim() -Replace "s+"," " -Split "s"
        $HashProps = @{
            UserName = $CurrentLine[0]
            ComputerName = $ComputerName
        }
        If ($CurrentLine[2] -eq "Disc") {
            $HashProps.SessionName = $null
            $HashProps.Id = $CurrentLine[1]
            $HashProps.State = $CurrentLine[2]
            $HashProps.IdleTime = $CurrentLine[3]
            $HashProps.LogonTime = $CurrentLine[4..6] -join " "
            $HashProps.LogonTime = $CurrentLine[4..($CurrentLine.GetUpperBound(0))] -join " "
        }
        else {
            $HashProps.SessionName = $CurrentLine[1]
            $HashProps.Id = $CurrentLine[2]
            $HashProps.State = $CurrentLine[3]
            $HashProps.IdleTime = $CurrentLine[4]
            $HashProps.LogonTime = $CurrentLine[5..($CurrentLine.GetUpperBound(0))] -join " "
        }
        New-Object -TypeName PSCustomObject -Property $HashProps |
        Select-Object -Property UserName, ComputerName, SessionName, Id, State, IdleTime, LogonTime
    }
}

$UserLogin = Read-Host -Prompt "Введите логин пользователя"
Write-Host "Поиск RDP-сессий пользователя на серверах..."
$SessionList = @()
ForEach ($Server in $Servers) {
    $TargetSession = $null
    Write-Host "  Опрос сервера $Server"
    Try {
        $TargetSession = Get-LoggedOnUser -ComputerName $Server | Where-Object {$_.UserName -eq $UserLogin}
    }
    Catch {
        Write-Host "Ошибка: " $Error[0].Exception.Message -ForegroundColor Red
        Continue
    }
    If ($TargetSession) {
        Write-Host "    Найдена сессия с ID $($TargetSession.ID) на сервере $Server" -ForegroundColor Yellow
        Write-Host "    Что будем делать?"
        Write-Host "      1 - подключиться к сессии"
        Write-Host "      2 - завершить сессию"
        Write-Host "      0 - ничего"
        $Action = Read-Host -Prompt "Введите действие"
        If ($Action -eq "1") {
            Invoke-RDPShadowSession -ComputerName $Server -SessionID $TargetSession.ID
        }
        ElseIf ($Action -eq "2") {
            Invoke-RDPSessionLogoff -ComputerName $Server -SessionID $TargetSession.ID
        }
        Break
    }
    Else {
        Write-Host "    сессий не найдено"
    }
}

PS ਸਕ੍ਰਿਪਟ ਨੂੰ ਚਲਾਉਣ ਲਈ ਸੁਵਿਧਾਜਨਕ ਬਣਾਉਣ ਲਈ, ਅਸੀਂ ਇਸਦੇ ਲਈ ਇੱਕ cmd ਫਾਈਲ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕ ਸ਼ੈੱਲ ਬਣਾਵਾਂਗੇ ਜਿਸਦਾ ਨਾਮ PS ਸਕ੍ਰਿਪਟ ਹੈ:

RDSManagement.cmd

@ECHO OFF
powershell -NoLogo -ExecutionPolicy Bypass -File "%~d0%~p0%~n0.ps1" %*

ਅਸੀਂ ਦੋਵੇਂ ਫਾਈਲਾਂ ਨੂੰ ਇੱਕ ਫੋਲਡਰ ਵਿੱਚ ਰੱਖਦੇ ਹਾਂ ਜੋ "ਪ੍ਰਬੰਧਕਾਂ" ਲਈ ਪਹੁੰਚਯੋਗ ਹੋਵੇਗਾ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਮੁੜ-ਲੌਗਇਨ ਕਰਨ ਲਈ ਕਹੇਗਾ। ਹੁਣ, cmd ਫਾਈਲ ਨੂੰ ਚਲਾ ਕੇ, ਉਹ RDS ਸ਼ੈਡੋ ਮੋਡ ਵਿੱਚ ਦੂਜੇ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਸੈਸ਼ਨਾਂ ਨਾਲ ਜੁੜਨ ਦੇ ਯੋਗ ਹੋਣਗੇ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਲੌਗ ਆਉਟ ਕਰਨ ਲਈ ਮਜ਼ਬੂਰ ਕਰਨਗੇ (ਇਹ ਉਪਯੋਗੀ ਹੋ ਸਕਦਾ ਹੈ ਜਦੋਂ ਉਪਭੋਗਤਾ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ "ਹੈਂਗਿੰਗ" ਸੈਸ਼ਨ ਨੂੰ ਖਤਮ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ)।

ਇਹ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

"ਮੈਨੇਜਰ" ਲਈ

ਉਪਭੋਗਤਾ ਲਈ

ਕੁਝ ਅੰਤਮ ਟਿੱਪਣੀਆਂ

ਸੂਖਮ 1. ਜੇਕਰ ਯੂਜ਼ਰ ਸੈਸ਼ਨ ਜਿਸ 'ਤੇ ਅਸੀਂ ਕੰਟਰੋਲ ਹਾਸਲ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਾਂ, ਸਰਵਰ 'ਤੇ Set-RDSPermissions.ps1 ਸਕ੍ਰਿਪਟ ਨੂੰ ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਸੀ, ਤਾਂ "ਪ੍ਰਬੰਧਕ" ਨੂੰ ਇੱਕ ਐਕਸੈਸ ਗਲਤੀ ਮਿਲੇਗੀ। ਇੱਥੇ ਹੱਲ ਸਪੱਸ਼ਟ ਹੈ: ਪ੍ਰਬੰਧਿਤ ਉਪਭੋਗਤਾ ਲੌਗਇਨ ਹੋਣ ਤੱਕ ਉਡੀਕ ਕਰੋ।

ਸੂਖਮ 2. RDP ਸ਼ੈਡੋ ਦੇ ਨਾਲ ਕਈ ਦਿਨਾਂ ਤੱਕ ਕੰਮ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਇੱਕ ਦਿਲਚਸਪ ਬੱਗ ਜਾਂ ਵਿਸ਼ੇਸ਼ਤਾ ਦੇਖੀ: ਸ਼ੈਡੋ ਸੈਸ਼ਨ ਦੀ ਸਮਾਪਤੀ ਤੋਂ ਬਾਅਦ, ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਕਨੈਕਟ ਕੀਤੇ ਜਾਣ ਲਈ ਟਰੇ ਵਿੱਚ ਭਾਸ਼ਾ ਪੱਟੀ ਗਾਇਬ ਹੋ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਵਾਪਸ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਉਪਭੋਗਤਾ ਨੂੰ ਦੁਬਾਰਾ -ਲਾਗਿਨ. ਜਿਵੇਂ ਕਿ ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ, ਅਸੀਂ ਇਕੱਲੇ ਨਹੀਂ ਹਾਂ: ਵਾਰ, два, ਤਿੰਨ.

ਇਹ ਸਭ ਹੈ. ਮੈਂ ਤੁਹਾਡੀ ਅਤੇ ਤੁਹਾਡੇ ਸਰਵਰਾਂ ਦੀ ਚੰਗੀ ਸਿਹਤ ਦੀ ਕਾਮਨਾ ਕਰਦਾ ਹਾਂ। ਹਮੇਸ਼ਾ ਵਾਂਗ, ਮੈਂ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਤੁਹਾਡੇ ਫੀਡਬੈਕ ਦੀ ਉਡੀਕ ਕਰਦਾ ਹਾਂ ਅਤੇ ਤੁਹਾਨੂੰ ਹੇਠਾਂ ਛੋਟਾ ਸਰਵੇਖਣ ਕਰਨ ਲਈ ਕਹਿੰਦਾ ਹਾਂ।