Automatické odhlášení Nečinní uživatelé RDP za 5 minut

Nejprve poznejte tři stavy relace

Každá relace vzdálené plochy na serveru je v jednom ze tří stavů. Aktivní znamená, že uživatel je připojen a pracuje. Nečinný znamená, že jste připojeni, ale nedotýkáte se klávesnice ani myši. Odpojeno znamená, že uživatel zavřel okno RDP – ale relace a každá aplikace v ní stále běží na serveru.

Tento rozdíl je důležitý, protože Windows má samostatnou politiku pro každý stav. Nastavení pouze limitu nečinnosti je důvodem, proč jsou odpojené relace z pátku v pondělí stále živé. Podívejte se sami na aktuální stav svého serveru – otevřete příkazový řádek na hostiteli relace a spusťte:

query session

Stejný obrázek je viditelný ve Správci úloh na kartě Uživatelé.

Otevřete Editor zásad skupiny

Pro jeden server otevřete místní editor zásad skupiny z dialogového okna Spustit:

gpedit.msc

Pokud spravujete mnoho serverů prostřednictvím domény, použijte místo toho Konzolu pro správu zásad skupiny a upravte objekt GPO propojený s organizační jednotkou, která drží vaše hostitelské servery relace:

gpmc.msc

Poté přejděte na Konfigurace počítače > Zásady > Šablony pro správu > Součásti systému Windows > Služby vzdálené plochy > Hostitel relace vzdálené plochy > Časové limity relace. U pravidla pro celý server upřednostňujte stranu počítače, takže limit se řídí serverem bez ohledu na to, který uživatel se přihlásí. Stejné limity lze nastavit také pro kolekci RDS v části Správce serveru > Služby vzdálené plochy > Kolekce > Vlastnosti > Relace – ale spravujte je pouze na jednom místě, protože v případě konfliktu dvou vyhrávají zásady skupiny.

Nastavte časový limit nečinné relace

Otevřete Nastavit časový limit pro aktivní, ale nečinné relace Služby vzdálené plochy, nastavte jej na Povoleno a ve videu vyberte limit nečinnosti – 5 minut.

Když je připojená relace tak dlouho nevyužita, systém Windows uživateli nejprve zobrazí na obrazovce varování, že bude brzy odhlášen, a poté je dosaženo limitu. Co se v tomto okamžiku stane – odpojení nebo úplné odhlášení – rozhodne další krok.

Nastavte limit odpojení a přepínač odhlášení

Stále ve složce Časové limity relace nastavte další dvě zásady:

Nastavit časový limit pro odpojené relace – povolte jej a zvolte, jak dlouho může odpojená relace trvat, než bude ukončena. Běžné možnosti jsou 30 minut až 1 den. Toto je zásada, která vyčistí relace, které uživatelé opustili zavřením okna RDP.

Ukončit relaci po dosažení časových limitů – povolte ji. Toto jediné nastavení změní časový limit na odhlášení namísto pouhého odpojení. Bez něj je nečinný uživatel pouze odpojen a relace běží dál – přesně ten problém, se kterým jste začali.

Udržujte účet správce mimo pravidlo

Nastavení videa záměrně vynechává administrátora – administrátorská relace, která je na serveru uprostřed úlohy, nesmí být odhlášena osobou, která server provozuje. Čistým způsobem, jak toho dosáhnout, je cílení, nikoli druhá konfliktní zásada:

Umístěte běžné uživatele RDP do jejich vlastní organizační jednotky nebo skupiny zabezpečení a použijte na ně objekt GPO s omezením relace; ponechat administrátorské účty mimo tento rozsah (v případě potřeby s filtrováním zabezpečení na GPO). V nasazení RDS stejný výsledek pochází z poskytnutí vlastní kolekce těmto uživatelům s vlastním nastavením relace.

Stejná cesta pokrývá skutečné výjimky – měsíční sestavu nebo účet nočního exportu, jehož klávesnice je nečinná, zatímco je stroj zaneprázdněn prací. Dejte takovému účtu vlastní skupinu s delšími nebo žádnými limity nečinnosti a zapište výjimku s důvodem a vlastníkem. Výjimka, která není zapsána, není výjimkou – je to fáma.

Použít zásady, varovat uživatele a testovat

Aplikujte zásady na serveru ihned místo čekání na další automatické obnovení:

gpupdate /force

Poté otestujte, než tomu důvěřujete: přihlaste se pomocí jednoho testovacího účtu přes RDP, ponechte relaci nedotčenou za limitem nečinnosti a sledujte, jak se objeví varování a dojde k odhlášení. Spusťte znovu dotazovou relaci a potvrďte, že relace je zcela pryč, nikoli pouze odpojena. Otestujte také odpojenou cestu — připojte se, zavřete okno RDP a zkontrolujte konec relace po limitu odpojení. Teprve poté zaveďte stejná nastavení pro všechny.