Automatisk logoff Inaktive RDP-brugere på 5 min

Kend først de tre sessionstilstande

Hver Remote Desktop-session på serveren er i en af tre tilstande. Aktiv betyder, at brugeren er tilsluttet og fungerer. Inaktiv betyder tilsluttet, men ikke at røre ved tastaturet eller musen. Afbrudt betyder, at brugeren lukkede RDP-vinduet - men sessionen og alle programmer inde i den kører stadig på serveren.

Denne skelnen er vigtig, fordi Windows har en separat politik for hver stat. Hvis du kun angiver en inaktiv grænse, er afbrudte sessioner fra fredag ​​stadig i live på mandag. Se selv den aktuelle status for din server - åbn kommandoprompt på sessionsværten og kør:

query session

Det samme billede er synligt i Task Manager på fanen Brugere.

Åbn Group Policy Editor

For én server skal du åbne den lokale gruppepolitikeditor fra dialogboksen Kør:

gpedit.msc

Hvis du administrerer mange servere gennem et domæne, skal du bruge Group Policy Management Console i stedet og redigere en GPO, der er knyttet til den enhedsorganisation, der har dine sessionsværtsservere:

gpmc.msc

Naviger derefter til Computerkonfiguration > Politikker > Administrative skabeloner > Windows-komponenter > Fjernskrivebordstjenester > Sessionsvært til fjernskrivebord > Sessionstidsgrænser. Foretrække computersiden for en server-dækkende regel, så grænsen følger serveren, uanset hvilken bruger der logger på. De samme grænser kan også indstilles pr. RDS-samling under Serveradministrator > Fjernskrivebordstjenester > Samlinger > Egenskaber > Session – men administrer dem kun ét sted, fordi gruppepolitik vinder, når de to er i konflikt.

Indstil tidsgrænsen for inaktiv session

Åbn Indstil tidsgrænse for aktive, men inaktive Remote Desktop Services-sessioner, indstil den til Aktiveret, og vælg inaktiv grænse - 5 minutter i videoen.

Når en tilsluttet session står ubrugt så længe, viser Windows først brugeren en advarsel på skærmen om, at de er ved at blive logget ud, og derefter er grænsen nået. Hvad der sker på det tidspunkt - afbrydelse eller fuld logoff - afgøres af næste trin.

Indstil frakoblet grænse og logoff-kontakt

Stadig inde i mappen Sessionstidsgrænser skal du indstille de to andre politikker:

Indstil tidsbegrænsning for afbrudte sessioner — aktiver det, og vælg, hvor længe en afbrudt session må leve, før den afsluttes. 30 minutter til 1 dag er almindelige valg. Dette er den politik, der rydder op i de sessioner, som brugere har forladt ved at lukke RDP-vinduet.

Afslut session, når tidsgrænserne er nået – aktiver det. Denne enkelte indstilling er det, der gør en timeout til et logoff i stedet for kun en afbrydelse. Uden det bliver en inaktiv bruger blot afbrudt, og sessionen fortsætter med at køre - det nøjagtige problem, du startede med.

Hold administratorkontoen uden for reglen

Videoens opsætning udelader bevidst administratoren - en admin-session, der er midt i opgaven på serveren, må ikke logges ud under den person, der kører serveren. Den rene måde at gøre dette på er målretning, ikke en anden modstridende politik:

Sæt de almindelige RDP-brugere i deres egen OU eller sikkerhedsgruppe og anvend GPO'en for sessionsbegrænsning på dem; hold administratorkonti uden for dette område (med sikkerhedsfiltrering på GPO'en, hvis det er nødvendigt). På en RDS-implementering kommer det samme resultat fra at give disse brugere deres egen samling med sine egne sessionsindstillinger.

Den samme rute dækker ægte undtagelser - månedsudløbsrapporten eller eksportkonto natten over, hvis tastatur er inaktivt, mens maskinen er travlt optaget. Giv en sådan konto sin egen gruppe med længere eller ingen ledige grænser, og skriv undtagelsen ned med en årsag og en ejer. En undtagelse, der ikke er skrevet ned, er ikke en undtagelse - det er et rygte.

Anvend politikken, advar brugere og test

Anvend politikken på serveren med det samme i stedet for at vente på den næste automatiske opdatering:

gpupdate /force

Test derefter, før du stoler på den: Log ind med én testkonto over RDP, lad sessionen være uberørt forbi tomgangsgrænsen, og se advarslen vises, og logoff sker. Kør forespørgselssession igen og bekræft, at sessionen er helt væk, ikke bare afbrudt. Test også den afbrudte sti - tilslut, luk RDP-vinduet, og kontroller, at sessionen slutter efter den afbrudte grænse. Først derefter ruller de samme indstillinger ud til alle.