Automatische Abmeldung inaktiver RDP-Benutzer in 5 Minuten

Kennen Sie zuerst die drei Sitzungszustände

Jede Remotedesktopsitzung auf dem Server befindet sich in einem von drei Zuständen. Aktiv bedeutet, dass der Benutzer verbunden ist und arbeitet. Leerlauf bedeutet verbunden, aber keine Berührung der Tastatur oder Maus. Getrennt bedeutet, dass der Benutzer das RDP-Fenster geschlossen hat – die Sitzung und alle darin enthaltenen Anwendungen jedoch weiterhin auf dem Server ausgeführt werden.

Diese Unterscheidung ist wichtig, da Windows eine separate Richtlinie für jeden Status hat. Wenn Sie nur ein Leerlauflimit festlegen, sind getrennte Sitzungen vom Freitag am Montag noch aktiv. Sehen Sie sich selbst den aktuellen Status Ihres Servers an – öffnen Sie die Eingabeaufforderung auf dem Sitzungshost und führen Sie Folgendes aus:

query session

Das gleiche Bild ist im Task-Manager auf der Registerkarte Benutzer sichtbar.

Öffnen Sie den Gruppenrichtlinien-Editor

Öffnen Sie für einen Server den lokalen Gruppenrichtlinien-Editor über das Dialogfeld „Ausführen“:

gpedit.msc

Wenn Sie viele Server über eine Domäne verwalten, verwenden Sie stattdessen die Gruppenrichtlinien-Verwaltungskonsole und bearbeiten Sie ein Gruppenrichtlinienobjekt, das mit der Organisationseinheit verknüpft ist, die Ihre Sitzungshostserver enthält:

gpmc.msc

Navigieren Sie dann zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Sitzungszeitlimits. Bevorzugen Sie die Computerseite für eine serverweite Regel, damit das Limit dem Server folgt, unabhängig davon, welcher Benutzer sich anmeldet. Die gleichen Limits können auch pro RDS-Sammlung unter Server-Manager > Remotedesktopdienste > Sammlungen > Eigenschaften > Sitzung festgelegt werden – verwalten Sie sie jedoch nur an einem Ort, da die Gruppenrichtlinie bei Konflikten zwischen beiden Vorrang hat.

Legen Sie das Zeitlimit für Leerlaufsitzungen fest

Öffnen Sie Zeitlimit für aktive, aber inaktive Remotedesktopdienste-Sitzungen festlegen, setzen Sie es auf Aktiviert und wählen Sie im Video das Leerlauflimit – 5 Minuten.

Wenn eine verbundene Sitzung so lange ungenutzt bleibt, zeigt Windows dem Benutzer zunächst eine Bildschirmwarnung an, dass er sich abmelden wird, und dann ist das Limit erreicht. Was an diesem Punkt passiert – Trennung oder vollständige Abmeldung – wird im nächsten Schritt entschieden.

Legen Sie das Verbindungslimit und den Abmeldeschalter fest

Legen Sie noch im Ordner „Session Time Limits“ die beiden anderen Richtlinien fest:

Zeitlimit für getrennte Sitzungen festlegen – aktivieren Sie es und legen Sie fest, wie lange eine getrennte Sitzung bestehen bleiben darf, bevor sie beendet wird. 30 Minuten bis 1 Tag sind übliche Optionen. Dies ist die Richtlinie, die die Sitzungen bereinigt, die Benutzer durch Schließen des RDP-Fensters abgebrochen haben.

Sitzung beenden, wenn das Zeitlimit erreicht ist – aktivieren Sie es. Diese einzelne Einstellung ist es, die eine Zeitüberschreitung in eine Abmeldung und nicht nur in eine Verbindungstrennung umwandelt. Ohne sie wird die Verbindung eines inaktiven Benutzers lediglich getrennt und die Sitzung läuft weiter – genau das Problem, mit dem Sie begonnen haben.

Halten Sie das Administratorkonto von der Regel fern

Bei der Einrichtung des Videos wird der Administrator bewusst außen vor gelassen – eine Administratorsitzung, die sich mitten in der Arbeit auf dem Server befindet, darf von der Person, die den Server betreibt, nicht abgemeldet werden. Der saubere Weg, dies zu erreichen, ist die gezielte Ausrichtung und nicht eine zweite widersprüchliche Richtlinie:

Ordnen Sie die regulären RDP-Benutzer ihrer eigenen Organisationseinheit oder Sicherheitsgruppe zu und wenden Sie das Sitzungslimit-Gruppenrichtlinienobjekt auf sie an. Halten Sie Administratorkonten außerhalb dieses Bereichs (bei Bedarf mit Sicherheitsfilterung im Gruppenrichtlinienobjekt). Bei einer RDS-Bereitstellung wird das gleiche Ergebnis erzielt, wenn diesen Benutzern eine eigene Sammlung mit eigenen Sitzungseinstellungen zur Verfügung gestellt wird.

Derselbe Weg deckt echte Ausnahmen ab – den Monatsendbericht oder das Nachtexportkonto, dessen Tastatur inaktiv ist, während die Maschine gerade arbeitet. Geben Sie einem solchen Konto eine eigene Gruppe mit längeren oder keinen Leerlauflimits und notieren Sie die Ausnahme mit einem Grund und einem Besitzer. Eine Ausnahme, die nicht niedergeschrieben wird, ist keine Ausnahme – sie ist ein Gerücht.

Wenden Sie die Richtlinie an, warnen Sie Benutzer und testen Sie

Wenden Sie die Richtlinie sofort auf dem Server an, anstatt auf die nächste automatische Aktualisierung zu warten:

gpupdate /force

Testen Sie dann, bevor Sie ihm vertrauen: Melden Sie sich mit einem Testkonto über RDP an, lassen Sie die Sitzung über das Leerlauflimit hinaus unberührt und beobachten Sie, wie die Warnung erscheint und die Abmeldung erfolgt. Führen Sie Query Session erneut aus und vergewissern Sie sich, dass die Sitzung vollständig beendet und nicht nur getrennt wurde. Testen Sie auch den getrennten Pfad: Stellen Sie eine Verbindung her, schließen Sie das RDP-Fenster und prüfen Sie, ob die Sitzung nach dem Grenzwert für getrennte Verbindungen endet. Führen Sie dann erst die gleichen Einstellungen für alle aus.