Disconnessione automatica degli utenti RDP inattivi in 5 minuti

Conoscere innanzitutto i tre stati della sessione

Ogni sessione di Desktop remoto sul server si trova in uno dei tre stati. Attivo significa che l'utente è connesso e sta lavorando. Inattivo significa connesso, ma senza toccare la tastiera o il mouse. Disconnesso significa che l'utente ha chiuso la finestra RDP, ma la sessione e tutte le applicazioni al suo interno sono ancora in esecuzione sul server.

Questa distinzione è importante perché Windows ha una politica separata per ogni stato. L'impostazione solo di un limite di inattività è il motivo per cui le sessioni disconnesse di venerdì sono ancora attive lunedì. Controlla tu stesso lo stato attuale del tuo server: apri il prompt dei comandi sull'host della sessione ed esegui:

query session

La stessa immagine è visibile in Task Manager nella scheda Utenti.

Apri l'Editor criteri di gruppo

Per un server, apri l'editor Criteri di gruppo locale dalla finestra di dialogo Esegui:

gpedit.msc

Se gestisci molti server tramite un dominio, utilizza invece la console di gestione dei criteri di gruppo e modifica un oggetto Criteri di gruppo collegato all'unità organizzativa che contiene i server host della sessione:

gpmc.msc

Quindi vai a Configurazione computer > Criteri > Modelli amministrativi > Componenti di Windows > Servizi Desktop remoto > Host sessione Desktop remoto > Limiti di tempo della sessione. Preferisci il lato computer per una regola a livello di server, in modo che il limite segua il server indipendentemente dall'utente che accede. Gli stessi limiti possono anche essere impostati per raccolta RDS in Server Manager > Servizi Desktop remoto > Raccolte > Proprietà > Sessione, ma gestiscili in un solo posto, perché i Criteri di gruppo prevalgono quando i due sono in conflitto.

Imposta il limite di tempo della sessione inattiva

Apri Imposta limite di tempo per sessioni di Servizi Desktop remoto attive ma inattive, impostalo su Abilitato e scegli il limite di inattività: 5 minuti nel video.

Quando una sessione connessa rimane inutilizzata per così tanto tempo, Windows mostra prima all'utente un avviso sullo schermo che sta per essere disconnesso, quindi viene raggiunto il limite. Ciò che accade a quel punto (disconnessione o disconnessione completa) viene deciso dal passaggio successivo.

Impostare il limite di disconnessione e l'interruttore di disconnessione

Sempre all'interno della cartella Session Time Limits, imposta le altre due policy:

Imposta un limite di tempo per le sessioni disconnesse: abilitalo e scegli per quanto tempo può vivere una sessione disconnessa prima che venga terminata. Da 30 minuti a 1 giorno sono scelte comuni. Questa è la policy che ripulisce le sessioni abbandonate dagli utenti chiudendo la finestra RDP.

Termina la sessione al raggiungimento dei limiti di tempo: abilitalo. Questa singola impostazione è ciò che trasforma un timeout in una disconnessione invece che solo in una disconnessione. Senza di esso, un utente inattivo viene semplicemente disconnesso e la sessione continua a funzionare, esattamente il problema con cui hai iniziato.

Mantieni l'account amministratore fuori dalla regola

La configurazione del video lascia deliberatamente fuori l'amministratore: una sessione di amministrazione che si trova a metà di un'attività sul server non deve essere disconnessa dalla persona che gestisce il server. Il modo pulito per farlo è prendere di mira, non una seconda politica in conflitto:

Inserisci gli utenti RDP regolari nella propria unità organizzativa o gruppo di sicurezza e applica loro il GPO con limite di sessione; mantenere gli account amministratore al di fuori di tale ambito (con filtri di sicurezza sull'oggetto Criteri di gruppo, se necessario). In una distribuzione RDS, lo stesso risultato si ottiene fornendo agli utenti la propria raccolta con le proprie impostazioni di sessione.

Lo stesso percorso copre le vere e proprie eccezioni: il rapporto di fine mese o il conto di esportazione notturno la cui tastiera è inattiva mentre la macchina è impegnata a lavorare. Assegna a tale account un proprio gruppo con limiti di inattività più lunghi o nulli e annota l'eccezione con un motivo e un proprietario. Un'eccezione che non viene scritta non è un'eccezione: è una voce.

Applica la policy, avvisa gli utenti e testa

Applica subito la policy sul server invece di attendere il successivo aggiornamento automatico:

gpupdate /force

Quindi prova prima di fidarti: accedi con un account di prova su RDP, lascia la sessione intatta oltre il limite di inattività e osserva l'avviso visualizzato e la disconnessione avvenuta. Esegui di nuovo query session e verifica che la sessione sia completamente terminata, non solo disconnessa. Testa anche il percorso di disconnessione: connettiti, chiudi la finestra RDP e controlla che la sessione termini dopo il limite di disconnessione. Solo allora distribuisci le stesse impostazioni a tutti.