יציאה אוטומטית משתמשי RDP סרק תוך 5 דקות

הכר את שלושת מדינות הפגישה תחילה

כל הפעלה של שולחן עבודה מרוחק בשרת נמצאת באחד משלושה מצבים. פעיל פירושו שהמשתמש מחובר ועובד. לא פעיל פירושו מחובר, אך לא נגיעה במקלדת או בעכבר. מנותק פירושו שהמשתמש סגר את חלון ה-RDP - אך ההפעלה, וכל אפליקציה בתוכו, עדיין פועלת בשרת.

ההבחנה הזו חשובה מכיוון של-Windows יש מדיניות נפרדת לכל מדינה. הגדרת מגבלת סרק בלבד היא הסיבה לכך שפעילויות מנותקות מיום שישי עדיין בחיים ביום שני. ראה את המצב הנוכחי של השרת שלך בעצמך - פתח את שורת הפקודה במארח ההפעלה והפעל:

query session

אותה תמונה גלויה במנהל המשימות בכרטיסייה משתמשים.

פתח את עורך המדיניות הקבוצתית

עבור שרת אחד, פתח את עורך המדיניות הקבוצתית המקומי מתיבת הדו-שיח 'הפעלה':

gpedit.msc

אם אתה מנהל שרתים רבים דרך דומיין, השתמש במסוף ניהול המדיניות הקבוצתית במקום וערוך GPO המקושר ל-OU שמחזיק את שרתי מארח הפגישה שלך:

gpmc.msc

לאחר מכן נווט אל תצורת מחשב > מדיניות > תבניות ניהול > רכיבי Windows > שירותי שולחן עבודה מרוחק > מארח שולחן עבודה מרוחק > מגבלות זמן הפעלה. העדיפו את צד המחשב עבור כלל כלל שרת, כך שהמגבלה עוקבת אחר השרת, לא משנה איזה משתמש נכנס. ניתן להגדיר את אותן הגבלות לכל אוסף RDS תחת מנהל שרת > שירותי שולחן עבודה מרוחק > אוספים > מאפיינים > הפעלה - אבל נהל אותם במקום אחד בלבד, מכיוון שהמדיניות הקבוצתית מנצחת כשהשניים מתנגשים.

הגדר את מגבלת הזמן של סשן סרק

פתח את הגדר מגבלת זמן עבור הפעלות של שירותי שולחן עבודה מרוחק פעילים אך לא פעילים, הגדר אותו ל-מופעל ובחר את מגבלת הסרק - 5 דקות בסרטון.

כאשר הפעלה מחוברת לא נמצאת בשימוש זמן רב כל כך, Windows תחילה מציגה למשתמש אזהרה על המסך שהוא עומד לצאת מהחשבון, ולאחר מכן הגיעה הגבלה. מה שקורה בשלב זה - ניתוק או התנתקות מלאה - נקבע לפי השלב הבא.

הגדר את מגבלת המנותקים ואת מתג ההתנתקות

עדיין בתוך התיקיה מגבלות זמן הפעלה, הגדר את שני המדיניות האחרים:

הגדר מגבלת זמן להפעלות מנותקות - הפעל זאת ובחר כמה זמן הפעלה מנותקת עשויה לחיות לפני שתסתיים. 30 דקות עד יום אחד הן בחירות נפוצות. זו המדיניות שמנקה את הפעלות שמשתמשים נטשו על ידי סגירת חלון ה-RPP.

סיים את ההפעלה כאשר מגיעים למגבלות הזמן - הפעל זאת. הגדרה יחידה זו היא ההופכת פסק זמן לניתוק במקום לניתוק בלבד. בלעדיו, משתמש לא פעיל פשוט מנותק וההפעלה ממשיכה לפעול - הבעיה המדויקת איתה התחלת.

שמור את חשבון הניהול מחוץ לכלל

הגדרת הסרטון משאירה בכוונה את המנהל בחוץ - הפעלת ניהול שנמצאת באמצע המשימה בשרת אסור לצאת מתחת לאדם שמנהל את השרת. הדרך הנקייה לעשות זאת היא מיקוד, לא מדיניות סותרת שניה:

הכניסו את משתמשי ה-RPP הרגילים ל-OU או קבוצת אבטחה משלהם והחילו עליהם את GPO להגבלת ההפעלה; שמור חשבונות ניהול מחוץ לתחום זה (עם סינון אבטחה ב-GPO במידת הצורך). בפריסת RDS, אותה תוצאה מגיעה ממתן אוסף משלהם לאותם משתמשים עם הגדרות הפעלה משלו.

אותו מסלול מכסה חריגים אמיתיים - דו"ח סוף חודש או חשבון ייצוא בן לילה שהמקלדת שלו לא פעילה בזמן שהמכונה עסוקה בעבודה. תן לחשבון כזה קבוצה משלו עם מגבלות סרק ארוכות יותר או ללא, ורשום את החריג עם סיבה ובעלים. חריג שלא נכתב אינו חריג - זו שמועה.

החל את המדיניות, הזהר משתמשים ובדוק

החל את המדיניות על השרת מיד במקום לחכות לרענון האוטומטי הבא:

gpupdate /force

לאחר מכן בדוק לפני שאתה נותן בו אמון: היכנס עם חשבון בדיקה אחד דרך RDP, השאר את ההפעלה ללא נגיעה מעבר למגבלת הסרק, וראה את האזהרה מופיעה וההתנתקות מתרחשת. הפעל שוב את הפעלת שאילתה ואשר שההפעלה נעלמה לחלוטין, לא רק מנותקת. בדוק גם את הנתיב המנותק - התחבר, סגור את חלון RDP ובדוק שההפעלה מסתיימת לאחר מגבלת הניתוק. רק אז גלגל את אותן הגדרות לכולם.