アイドル状態の RDP ユーザーを 5 分で自動ログオフ

まず 3 つのセッション状態を理解する

サーバー上のすべてのリモート デスクトップ セッションは、3 つの状態のいずれかになります。 アクティブ は、ユーザーが接続されて作業していることを意味します。 アイドル とは、接続されているものの、キーボードやマウスに触れていないことを意味します。 切断 とは、ユーザーが RDP ウィンドウを閉じたにもかかわらず、セッションとその中のすべてのアプリケーションがサーバー上でまだ実行されていることを意味します。

Windows には状態ごとに個別のポリシーがあるため、この区別は重要です。アイドル制限のみを設定しているため、金曜日に切断されたセッションが月曜日になっても存続しています。サーバーの現在の状態を自分で確認します。セッション ホストでコマンド プロンプトを開き、次のコマンドを実行します。

query session

同じ画像がタスク マネージャーの [ユーザー] タブに表示されます。

グループポリシーエディターを開く

1 つのサーバーの場合、[実行] ダイアログからローカル グループ ポリシー エディターを開きます。

gpedit.msc

ドメインを通じて多数のサーバーを管理する場合は、代わりにグループ ポリシー管理コンソールを使用し、セッション ホスト サーバーを保持する OU にリンクされた GPO を編集します。

gpmc.msc

次に[コンピューターの構成] > [ポリシー] > [管理用テンプレート] > [Windows コンポーネント] > [リモート デスクトップ サービス] > [リモート デスクトップ セッション ホスト] > [セッション時間制限] に移動します。サーバー全体のルールではコンピューター側を優先するため、どのユーザーがサインインしても制限はサーバーに従います。同じ制限は、「サーバー マネージャー」>「リモート デスクトップ サービス」>「コレクション」>「プロパティ」>「セッション」で RDS コレクションごとに設定することもできます。ただし、2 つの制限が競合する場合はグループ ポリシーが優先されるため、これらの制限は 1 か所でのみ管理します。

アイドルセッション時間制限を設定する

[アクティブだがアイドル状態のリモート デスクトップ サービス セッションの時間制限を設定する] を開き、有効 に設定し、アイドル制限 (ビデオでは 5 分) を選択します。

接続されたセッションが長期間使用されないままになると、Windows は最初にユーザーがサインアウトされようとしているという警告を画面上に表示し、その後制限に達します。その時点で何が起こるか (切断か完全ログオフか) は、次のステップによって決まります。

切断制限とログオフ スイッチを設定する

[Session Time Limits] フォルダー内で、他の 2 つのポリシーを設定します。

切断されたセッションの時間制限を設定する — これを有効にし、切断されたセッションが終了するまでの存続期間を選択します。 30 分から 1 日が一般的な選択です。これは、RDP ウィンドウを閉じることによってユーザーが放棄したセッションをクリーンアップするポリシーです。

制限時間に達したらセッションを終了する — 有効にします。この 1 つの設定により、タイムアウトが単なる切断ではなくログオフに変わります。これがなければ、アイドル状態のユーザーは単に切断され、セッションは実行され続けます。これがまさに最初の問題です。

管理者アカウントをルールから除外する

ビデオのセットアップでは、管理者が意図的に除外されています。サーバー上でタスク中の管理者セッションは、サーバーを実行しているユーザーからサインアウトしてはなりません。これを行うきれいな方法は、2 番目の競合するポリシーではなく、ターゲティングです。

通常の RDP ユーザーを独自の OU またはセキュリティ グループに配置し、それらのユーザーにセッション制限 GPO を適用します。管理者アカウントをそのスコープ外に保ちます (必要に応じて GPO でセキュリティ フィルタリングを使用します)。 RDS デプロイメントでは、それらのユーザーに独自のセッション設定を持つ独自のコレクションを提供しても、同じ結果が得られます。

同じルートで、真の例外、つまりマシンが忙しい作業中にキーボードがアイドル状態になっている月末レポートや夜間エクスポート アカウントもカバーされます。このようなアカウントには、アイドル制限を長くするか制限を設けない独自のグループを与え、理由と所有者とともに例外を書き留めます。書き留められていない例外は例外ではなく、それは噂です。

ポリシーを適用し、ユーザーに警告し、テストします

次の自動更新を待つのではなく、すぐにサーバーにポリシーを適用します。

gpupdate /force

次に、信頼する前にテストします。RDP 経由で 1 つのテスト アカウントでサインインし、アイドル制限を超えてもセッションをそのままにして、警告が表示され、ログオフが発生するのを確認します。 query session を再度実行し、セッションが切断されただけでなく、完全に切断されていることを確認します。また、切断されたパスをテストします。接続して RDP ウィンドウを閉じ、切断された制限を超えた後にセッションが終了することを確認します。その後のみ、同じ設定を全員に展開します。