Idle RDP-käyttäjien automaattinen uloskirjautuminen 5 minuutissa

Tunne ensin kolme istunnon tilaa

Jokainen palvelimen etätyöpöytäistunto on jossakin kolmesta tilasta. Aktiivinen tarkoittaa, että käyttäjä on yhteydessä ja työskentelee. Idle tarkoittaa, että se on kytketty, mutta ei kosketa näppäimistöä tai hiirtä. Katkaistu tarkoittaa, että käyttäjä sulki RDP-ikkunan, mutta istunto ja kaikki sen sisällä olevat sovellukset ovat edelleen käynnissä palvelimella.

Tällä erolla on merkitystä, koska Windowsilla on erillinen käytäntö jokaiselle osavaltiolle. Vain käyttämättömän rajan asettaminen aiheuttaa sen, että perjantaista katkaistut istunnot ovat edelleen voimassa maanantaina. Katso itse palvelimesi nykyinen tila – avaa komentokehote istuntoisännässä ja suorita:

query session

Sama kuva näkyy Task Managerissa Käyttäjät-välilehdellä.

Avaa ryhmäkäytäntöeditori

Avaa yhden palvelimen paikallinen ryhmäkäytäntöeditori Suorita-valintaikkunasta:

gpedit.msc

Jos hallitset useita palvelimia toimialueen kautta, käytä sen sijaan ryhmäkäytännön hallintakonsolia ja muokkaa istunnon isäntäpalvelimia sisältävään organisaatioyksikköön linkitettyä ryhmäkäytäntöobjektia:

gpmc.msc

Siirry sitten kohtaan Tietokoneen asetukset > Käytännöt > Hallintamallit > Windowsin komponentit > Etätyöpöytäpalvelut > Etätyöpöydän istunnon isäntä > Istunnon aikarajat. Suosittele palvelimenlaajuista sääntöä Tietokone-puolella, jotta raja seuraa palvelinta riippumatta siitä, mikä käyttäjä kirjautuu sisään. Samat rajat voidaan asettaa myös RDS-kokoelmakohtaisesti kohdassa Palvelinhallinta > Etätyöpöytäpalvelut > Kokoelmat > Ominaisuudet > Istunto – mutta hallitse niitä vain yhdessä paikassa, koska ryhmäkäytäntö voittaa, kun nämä kaksi ovat ristiriidassa.

Aseta käyttämättömän istunnon aikaraja

Avaa Aseta aikaraja aktiivisille, mutta käyttämättömille etätyöpöytäpalveluistunnoille, aseta se arvoon Käytössä ja valitse videon käyttämättömyyden raja - 5 minuuttia.

Kun yhdistetty istunto on käyttämättömänä niin pitkään, Windows näyttää ensin käyttäjälle näytöllä varoituksen, että hänet kirjataan ulos, ja sitten raja saavutetaan. Mitä siinä vaiheessa tapahtuu – yhteyden katkaiseminen tai täydellinen uloskirjautuminen – päätetään seuraavassa vaiheessa.

Aseta katkaisun raja ja uloskirjautumisen kytkin

Aseta vielä kaksi muuta käytäntöä Istunnon aikarajat -kansiossa:

Aseta aikaraja katkaistuille istunnoille — ota se käyttöön ja valitse, kuinka kauan katkaistu istunto voi kestää ennen sen päättymistä. 30 minuutista 1 päivään ovat yleisiä valintoja. Tämä on käytäntö, joka puhdistaa istunnot, jotka käyttäjät hylkäsivät sulkemalla RDP-ikkunan.

Lopeta istunto, kun aikarajat saavutetaan – ota se käyttöön. Tämä yksittäinen asetus muuttaa aikakatkaisun uloskirjautumiseksi pelkän yhteyden katkeamisen sijaan. Ilman sitä käyttämättömän käyttäjän yhteys vain katkeaa ja istunto jatkuu – juuri sama ongelma kuin aloitit.

Pidä järjestelmänvalvojan tili poissa säännöstä

Videon asetukset jättävät järjestelmänvalvojan tietoisesti ulkopuolelle – palvelimella kesken olevaa järjestelmänvalvojan istuntoa ei saa kirjata ulos palvelinta ylläpitävän henkilön alta. Puhdas tapa tehdä tämä on kohdistaminen, ei toinen ristiriitainen käytäntö:

Aseta tavalliset RDP-käyttäjät omaan organisaatioyksikköönsä tai suojausryhmään ja käytä heille istuntorajoituksen GPO:ta; pidä järjestelmänvalvojan tilit tämän soveltamisalan ulkopuolella (tarvittaessa suojaussuodatuksella GPO:ssa). RDS-käytössä sama tulos tulee antamalla näille käyttäjille oma kokoelma omilla istuntoasetuksillaan.

Sama reitti kattaa aidot poikkeukset – kuukauden lopun raportin tai yön yli vientitilin, jonka näppäimistö on käyttämättömänä koneen ollessa kiireisenä. Anna tällaiselle tilille oma ryhmänsä pidemmillä tai ei lainkaan joutokäyntirajoilla ja kirjoita poikkeus muistiin syyn ja omistajan kera. Poikkeus, jota ei ole kirjoitettu ylös, ei ole poikkeus - se on huhu.

Käytä käytäntöä, varoita käyttäjiä ja testaa

Ota käytäntö käyttöön palvelimella heti sen sijaan, että odotat seuraavaa automaattista päivitystä:

gpupdate /force

Testaa sitten ennen kuin luotat siihen: kirjaudu sisään yhdellä testitilillä RDP:n kautta, jätä istunto koskemattomaksi tyhjäkäynnin rajan yli ja katso varoituksen ilmestymistä ja uloskirjautumista. Suorita kyselyistunto uudelleen ja varmista, että istunto on kokonaan poissa, ei vain katkaistu. Testaa myös katkaistua polkua — muodosta yhteys, sulje RDP-ikkuna ja tarkista, että istunto päättyy katkaistun rajan jälkeen. Vasta sitten levitä samat asetukset kaikille.