Cierre de sesión automático de usuarios RDP inactivos en 5 minutos

Conozca primero los tres estados de sesión

Cada sesión de Escritorio remoto en el servidor se encuentra en uno de tres estados. Activo significa que el usuario está conectado y trabajando. Inactivo significa conectado, pero sin tocar el teclado ni el mouse. Desconectado significa que el usuario cerró la ventana RDP, pero la sesión y todas las aplicaciones que contiene siguen ejecutándose en el servidor.

Esta distinción es importante porque Windows tiene una política separada para cada estado. Establecer sólo un límite de inactividad es la razón por la que las sesiones desconectadas del viernes siguen activas el lunes. Vea usted mismo el estado actual de su servidor: abra el símbolo del sistema en el host de la sesión y ejecute:

query session

La misma imagen es visible en el Administrador de tareas en la pestaña Usuarios.

Abra el editor de políticas de grupo

Para un servidor, abra el editor de políticas de grupo local desde el cuadro de diálogo Ejecutar:

gpedit.msc

Si administra muchos servidores a través de un dominio, use la Consola de administración de políticas de grupo y edite un GPO vinculado a la unidad organizativa que contiene sus servidores host de sesión:

gpmc.msc

Luego navegue hasta Configuración del equipo > Políticas > Plantillas administrativas > Componentes de Windows > Servicios de Escritorio remoto > Host de sesión de Escritorio remoto > Límites de tiempo de sesión. Prefiera el lado de la Computadora para una regla para todo el servidor, de modo que el límite siga el servidor sin importar qué usuario inicie sesión. También se pueden establecer los mismos límites por colección de RDS en Administrador del servidor > Servicios de Escritorio remoto > Colecciones > Propiedades > Sesión, pero adminístrelos en un solo lugar, porque la Política de grupo gana cuando las dos entran en conflicto.

Establecer el límite de tiempo de la sesión inactiva

Abra Establecer límite de tiempo para sesiones de Servicios de Escritorio remoto activas pero inactivas, configúrelo en Activado y elija el límite de inactividad: 5 minutos en el vídeo.

Cuando una sesión conectada no se utiliza durante tanto tiempo, Windows primero muestra al usuario una advertencia en pantalla de que está a punto de cerrar sesión y luego se alcanza el límite. Lo que sucede en ese momento (desconexión o cierre de sesión completo) lo decide el siguiente paso.

Establecer el límite de desconexión y el interruptor de cierre de sesión

Aún dentro de la carpeta Límites de tiempo de sesión, configure las otras dos políticas:

Establecer límite de tiempo para sesiones desconectadas: habilítelo y elija cuánto tiempo puede durar una sesión desconectada antes de que finalice. De 30 minutos a 1 día son opciones comunes. Esta es la política que limpia las sesiones que los usuarios abandonaron al cerrar la ventana RDP.

Finalizar sesión cuando se alcancen los límites de tiempo: habilítelo. Esta configuración única es lo que convierte un tiempo de espera en un cierre de sesión en lugar de solo una desconexión. Sin él, un usuario inactivo simplemente se desconecta y la sesión continúa ejecutándose: el problema exacto con el que comenzó.

Mantenga la cuenta de administrador fuera de la regla

La configuración del vídeo deja deliberadamente fuera al administrador: una sesión de administrador que se encuentra a mitad de una tarea en el servidor no debe cerrar sesión bajo la persona que ejecuta el servidor. La forma limpia de hacerlo es apuntar, no una segunda política conflictiva:

Coloque a los usuarios habituales de RDP en su propia unidad organizativa o grupo de seguridad y aplíqueles el GPO de límite de sesión; mantenga las cuentas de administrador fuera de ese alcance (con filtrado de seguridad en el GPO si es necesario). En una implementación de RDS, el mismo resultado se obtiene al brindarles a esos usuarios su propia colección con su propia configuración de sesión.

La misma ruta cubre excepciones genuinas: el informe de fin de mes o la cuenta de exportación nocturna cuyo teclado está inactivo mientras la máquina está ocupada trabajando. Asigne a dicha cuenta su propio grupo con límites de inactividad más prolongados o nulos y escriba la excepción con un motivo y un propietario. Una excepción que no está escrita no es una excepción: es un rumor.

Aplicar la política, advertir a los usuarios y probar

Aplique la política en el servidor de inmediato en lugar de esperar la siguiente actualización automática:

gpupdate /force

Luego, pruebe antes de confiar en él: inicie sesión con una cuenta de prueba a través de RDP, deje la sesión intacta más allá del límite de inactividad y observe cómo aparece la advertencia y se cierra la sesión. Ejecute query session nuevamente y confirme que la sesión finalizó por completo, no solo se desconectó. Pruebe también la ruta desconectada: conéctese, cierre la ventana RDP y verifique que la sesión finalice después del límite de desconexión. Sólo entonces implemente la misma configuración para todos.