אפשר למשתמשים שאינם מנהלי מערכת גישת RDP ל- Windows Server

כברירת מחדל, גישת RDP לשולחן העבודה של שרתים החברים ב- Windows Server או בקרי תחום של Active Directory מוגבלת למשתמשים שנוספו לקבוצות Administrators או Domain Admins המקומיות. בפוסט זה, נראה לך כיצד להעניק למשתמשים שאינם מנהלי מערכת גישת RDP למארחים או לבקרי תחום של Windows Server מבלי להקצות להם זכויות ניהול מקומיות.

כברירת מחדל, הגדרות האבטחה של Windows מאפשרות למשתמש מרוחק ליצור חיבורי RDP באמצעות שירותי שולחן עבודה מרוחק (TermService) אם:

  • המשתמש חבר בקבוצה המקומית Administrators או Remote Desktop Users;

  • המדיניות המקומית אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק מאפשרת למשתמש להתחבר.

כדי להיכנס מרחוק, דרושה לך הזכות להיכנס באמצעות שירותי שולחן עבודה מרוחק

המשתמש מקבל שגיאה בעת ניסיון להתחבר מרחוק לשולחן העבודה של Windows Server:

To sign in remotely, you need the right to sign in Remote Desktop Services. By default only members of the Administrators group have this right. If the group you’re in doesn’t have this right, or if the right has been removed from Administrators group, you need to be granted this right manually.

אם אימות ברמת הרשת (NLA) זמין בהגדרת RDP במארח המרוחק, מתרחשת שגיאה נוספת בעת ההתחברות:

The connection was denied because the user account is not authorized for remote login.

במקרה זה, עליך פשוט להוסיף את המשתמש לקבוצה המקומית משתמשי שולחן עבודה מרוחק כדי לאפשר להם להתחבר ל- Windows Server באמצעות RDP:

  1. פתיחת יישום ה- Snap-in MMC 'משתמשים וקבוצות מקומיים' (

    lusrmgr.msc

    ) ונווט אל המקטע קבוצות;

  2. לחץ פעמיים על הקבוצה משתמשי שולחן עבודה מרוחק;

  3. לחץ על הלחצן Add והזן את שם המשתמש (או הקבוצה) שברצונך להעניק לו גישת RDP;

  4. לאחר מכן, משתמשים יכולים להתחבר למארח Windows באמצעות RDP.

ניתן גם להוסיף משתמש לקבוצת גישה RDP משורת הפקודה:

net localgroup "Remote Desktop Users" /add a-d\testuser

או באמצעות PowerShell (למד עוד אודות אופן הניהול של משתמשים מקומיים וקבוצות מקומיות באמצעות PowerShell).

Add-LocalGroupMember -Group "Remote Desktop Users" -Member testuser

רשימת משתמשים בקבוצה 'משתמשי שולחן עבודה מרוחק':

Get-LocalGroupMember -Group 'Remote Desktop Users'

באופן דומה, באפשרותך להעניק למשתמשים גישת RDP לתחנות עבודה של Windows 10 או 11 (אל תשכח להפעיל RDP במכשירים אלה.).

כברירת מחדל, Windows Server מאפשר שתי הפעלות בו-זמניות של שולחן עבודה מרוחק. משמעות הדבר היא ששני משתמשים יכולים לעבוד בו-זמנית בהפעלות שולחן עבודה מרוחק משלהם. אם אתה זקוק לחיבורי RDP בו-זמניים נוספים, יהיה עליך לרכוש ולהפעיל רשיונות (רשיונות רשיונות RDP) בשרת הרשיונות של RDS ולהתקין את התפקיד שירותי שולחן עבודה מרוחק (זה יכול להיות שרת RDSH עצמאי או חוות RDS מלאה המורכבת ממספר מארחים).

באפשרותך להשתמש באוספי RDS כדי לספק גישה לשולחן עבודה מרוחק בחוות RDS. פתח את Server Manager -> שירותי שולחן עבודה מרוחק -משימות > -> ערוך מאפייני פריסה.

פתח את האוסף והמקטע קבוצת משתמשים יפרט את קבוצת האבטחה המורשית להתחבר למארחי RDSH באוסף זה.

אפשר גישת RDP לבקר תחום עבור משתמש שאינו מנהל מערכת

אם עליך להעניק למשתמש רגיל (שאינו מנהל מערכת) גישה מרחוק לשולחן העבודה של בקר תחום, השיטה המתוארת לעיל לא תפעל.

לאחר קידום תפקיד השרת לבקר תחום של Active Directory, אין באפשרותך לנהל משתמשים וקבוצות מקומיים מתוך יישום ה- Snap-in MMC 'ניהול מחשב'. כאשר אתה מנסה לפתוח את מסוף המשתמשים והקבוצות המקומיים (

lusrmgr.msc

), מופיעה השגיאה הבאה:

The computer xxx is a domain controller. This snip-in cannot be used on a domain controller. Domain accounts are managed with the Active Directory Users and Computers snap-in.

כפי שניתן לראות, אין קבוצות מקומיות בבקר התחום. במקום הקבוצה המקומית משתמשי שולחן עבודה מרוחק, DC משתמש בקבוצת התחומים המובנית משתמשי שולחן עבודה מרוחק (הממוקמת במיכל המובנה). באפשרותך לנהל קבוצה זו ממסוף ADUC או משורת הפקודה DC.

עם זאת, לא מומלץ להשתמש בקבוצה זו כדי להעניק גישה לשולחן עבודה מרוחק מכיוון שהדבר יעניק למשתמש גישה לכל ה- DCs בתחום. במקרה זה, עדיף להעניק הרשאות באמצעות המדיניות אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק.

רבים עשויים לשאול באופן סביר מדוע אנשים שאינם מנהלי מערכת זקוקים לגישה מרחוק לשולחן העבודה של DC. ואכן, בתשתיות קטנות ובינוניות, שבהן התשתית כולה מנוהלת על ידי מספר מנהלי מערכת בעלי הרשאות מנהל תחום, סביר להניח שלא יהיה בכך צורך. ברוב המקרים, מספיק להקצות הרשאות ניהול מסוימות ב- Active Directory או להשתמש ב- PowerShell Just Enough Administration (JEA).

עם זאת, ברשתות ארגוניות גדולות עם מספר רב של עובדים, לעתים קרובות יש צורך לספק גישת RDP ל- DC (בדרך כלל לסניף DCs או RODC) עבור קבוצות שונות של מנהלי שרתים, מנהלי תפקידים או צוות טכני אחר. ישנם גם מצבים שבהם שירותי צד שלישי המנוהלים על ידי מנהלי מערכת שאינם תחומים נפרסים ב- DC, ויש צורך לתחזק שירותים אלה.

כיצד לאפשר כניסה באמצעות שירותי שולחן עבודה מרוחק?

כדי לאפשר למשתמש תחום או לקבוצה להתחבר מרחוק ל- Windows באמצעות RDP, עליך להעניק להם את

SeRemoteInteractiveLogonRight

הרשאה. באפשרותך להעניק הרשאה זו באמצעות המדיניות אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק.

המדיניות נקראת אפשר כניסה באמצעות שירותי מסוף ב- Windows Server 2003 ובגירסאות קודמות.

כדי לאפשר חיבור מרחוק לבקרי התחום עבור חברים בקבוצה 'משתמשי שולחן עבודה מרוחק', עליך לשנות את ההגדרות של מדיניות זו בבקר התחום שלך:

  1. פתח את עורך המדיניות הקבוצתית המקומית (

    gpedit.msc

    );

  2. עבור אל המקטע GPO תצורת מחשב -> הגדרות Windows -> הגדרות אבטחה -> מדיניות מקומית -> הקצאת זכויות משתמש;

  3. מצא את המדיניות אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק; לאחר שהשרת קודם ל-DC, הקבוצה היחידה שנשארת במדיניות מקומית זו היא הקבוצה Administrators (אלה הם Domain Admins).

  4. ערוך את המדיניות והוסף את המשתמש או הקבוצה בתחום ישירות (

    domain\CA_Server_Admins

    ) אליו;

  5. עדכן את הגדרות המדיניות הקבוצתית המקומית ב- DC באמצעות הפקודה: :

    gpupdate /force

שים לב שהקבוצה שהוספת למדיניות אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק לא אמורה להופיע במדיניות "מנע כניסה באמצעות שירותי שולחן עבודה מרוחק " מכיוון שיש לה עדיפות גבוהה יותר (עיין במאמר חסימת גישה מרחוק תחת חשבונות משתמשים מקומיים). כמו כן, אם תגביל את רשימת המחשבים שמשתמשים יכולים להיכנס אליהם, עליך להוסיף את שם השרת למאפייני חשבון המשתמש ב- AD (תכונת המשתמש LogonWorkstations).

הערה. כדי לאפשר למשתמשים להיכנס ל-DC באופן מקומי (דרך מסוף השרת), יש להוסיף את החשבון או הקבוצה שלהם למדיניות "אפשר כניסה מקומית ". כברירת מחדל, לקבוצות התחומים המוכללות הבאות יש הרשאה זו:

  • מפעילי גיבוי

  • מנהלי מערכת

  • מפעילי הדפסה

  • מפעילי שרתים

  • מפעילי חשבונות

אם לא תעשה זאת, תקבל הודעת שגיאה כשתנסה להתחבר ל'שולחן עבודה מרוחק': שיטת הכניסה שבה אתה מנסה להשתמש אסורה.

כדי להקל עליך, באפשרותך ליצור קבוצת אבטחה חדשה בתחום, לדוגמה AllowDCLogin. לאחר מכן, הוסף את החשבונות שיש לאפשר להם לגשת מרחוק ל- DC למדיניות. אם עליך לאפשר גישה לכל בקרי התחום של AD בבת אחת, במקום לערוך את המדיניות המקומית בכל DC, עדיף להוסיף את קבוצת המשתמשים למדיניות בקרי התחום המוגדרת כברירת מחדל באמצעות מסוף ניהול המדיניות הקבוצתית (

GPMC.msc

). ערוך את פריט המדיניות אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק תחת המקטע תצורת מחשב\הגדרות Windows\הגדרות אבטחה\מדיניות מקומית\הקצאת זכויות משתמש.

אזהרה. אם תשנה את מדיניות ברירת המחדל של בקרי תחום, אל תשכח להוסיף את הקבוצה Domain/Enterprise Admins למדיניות אפשר כניסה באמצעות שירותי שולחן עבודה מרוחק, אחרת, הם יאבדו את הגישה מרחוק לתקליטורי DC.

המשתמשים שהוספת למדיניות יוכלו כעת להתחבר לשולחן העבודה של בקר תחום AD באמצעות RDP.

אם עליך לאפשר למשתמשים שאינם מנהלי מערכת להפעיל/להפסיק שירותים מסוימים בDC, השתמש במדריך הבא.

הגישה המבוקשת להפעלת RDP נדחתה

במקרים מסוימים, ייתכן שתקבל את השגיאה הבאה בעת שימוש ב- RDP כדי להתחבר למארח חבר תחום של Windows Server או לבקר תחום:

The requested session access is denied.

הבעיות הבאות עלולות להתרחש אם אתה מתחבר ל- DC באמצעות חשבון שאינו מנהל מערכת:

  • אתה מנסה להתחבר למסוף השרת (באמצעות

    mstsc /admin

    מצב). מצב חיבור זה מותר רק עבור מנהלי מערכת. נסה להתחבר לשרת עם לקוח mstsc.exe במצב RDP רגיל (ללא

    /admin

    אופציה);

  • ייתכן שכבר קיימות שתי הפעלות RDP פעילות במחשב המארח (כברירת מחדל, לא יותר משתי הפעלות RDP בו-זמניות יכולות להתחבר לשרת Windows ללא פריסת תפקיד RDS). באפשרותך לקבל את רשימת ההפעלות הפעילות והמשתמשים המחוברים במחשב המרוחק באמצעות הפקודה:

    qwinsta /server:dc01

    לא ניתן לסיים הפעלות של משתמשים אחרים ללא הרשאות מנהל. עליך להמתין עד שמנהלי מערכת ישחררו או יסיימו הפעלה;

  • מצב ניהול מוגבל או Windows Defender Remote Credential Guard זמין במחשב מארח Windows Server