Automatisch afmelden van inactieve RDP-gebruikers in 5 minuten

Ken eerst de drie sessiestaten

Elke Remote Desktop-sessie op de server bevindt zich in een van de drie statussen. Actief betekent dat de gebruiker verbonden is en werkt. Inactief betekent verbonden, maar het toetsenbord of de muis niet aanraken. Verbinding verbroken betekent dat de gebruiker het RDP-venster heeft gesloten, maar dat de sessie en elke applicatie daarin nog steeds op de server draait.

Dit onderscheid is van belang omdat Windows afzonderlijk beleid voor elke staat heeft. Het instellen van alleen een inactieve limiet is de reden dat verbroken sessies van vrijdag op maandag nog steeds actief zijn. Bekijk zelf de huidige status van uw server - open de opdrachtprompt op de sessiehost en voer het volgende uit:

query session

Dezelfde afbeelding is zichtbaar in Taakbeheer op het tabblad Gebruikers.

Open de Groepsbeleid-editor

Voor één server opent u de lokale Groepsbeleid-editor vanuit het dialoogvenster Uitvoeren:

gpedit.msc

Als u veel servers via een domein beheert, gebruik dan in plaats daarvan de Group Policy Management Console en bewerk een GPO dat is gekoppeld aan de OE die de hostservers van uw sessie bevat:

gpmc.msc

Navigeer vervolgens naar Computerconfiguratie > Beleid > Beheersjablonen > Windows-componenten > Extern bureaublad-services > Extern bureaublad-sessiehost > Sessietijdlimieten. Geef de voorkeur aan de computerkant voor een serverbrede regel, zodat de limiet de server volgt, ongeacht welke gebruiker zich aanmeldt. Dezelfde limieten kunnen ook per RDS-verzameling worden ingesteld onder Serverbeheer > Remote Desktop Services > Verzamelingen > Eigenschappen > Sessie – maar beheer ze slechts op één plek, omdat Groepsbeleid wint wanneer de twee conflicteren.

Stel de tijdslimiet voor inactieve sessies in

Open Tijdslimiet instellen voor actieve maar inactieve Remote Desktop Services-sessies, stel deze in op Ingeschakeld en kies de inactieve limiet: 5 minuten in de video.

Wanneer een verbonden sessie zo lang ongebruikt blijft, toont Windows de gebruiker eerst een waarschuwing op het scherm dat hij of zij op het punt staat te worden afgemeld, waarna de limiet is bereikt. Wat er op dat moment gebeurt (verbinding verbreken of volledig afmelden) wordt bepaald door de volgende stap.

Stel de verbroken limiet en de uitlogschakelaar in

Stel nog steeds in de map Session Time Limits de andere twee beleidsregels in:

Stel een tijdslimiet in voor niet-verbonden sessies: schakel deze in en kies hoe lang een niet-verbonden sessie mag duren voordat deze wordt beëindigd. 30 minuten tot 1 dag zijn gebruikelijke keuzes. Dit is het beleid dat de sessies opruimt die gebruikers hebben verlaten door het RDP-venster te sluiten.

Sessie beëindigen wanneer tijdslimieten zijn bereikt: schakel dit in. Deze enkele instelling zorgt ervoor dat een time-out verandert in een uitloggen in plaats van alleen maar een verbroken verbinding. Zonder dit wordt de verbinding met een inactieve gebruiker alleen maar verbroken en blijft de sessie doorgaan - precies het probleem waarmee u begon.

Houd het beheerdersaccount buiten de regel

Bij het instellen van de video wordt de beheerder bewust buiten beschouwing gelaten; een beheerderssessie die midden in de taak op de server plaatsvindt, mag niet worden afgemeld onder de persoon die de server beheert. De schone manier om dit te doen is targeting, en niet een tweede conflicterend beleid:

Plaats de reguliere RDP-gebruikers in hun eigen OE of beveiligingsgroep en pas het sessielimiet-GPO op hen toe; houd beheerdersaccounts buiten dat bereik (indien nodig met beveiligingsfiltering op het groepsbeleidsobject). Bij een RDS-implementatie komt hetzelfde resultaat voort uit het geven van een eigen verzameling aan deze gebruikers met eigen sessie-instellingen.

Op dezelfde route komen echte uitzonderingen voor: het maandeinderapport of de nachtelijke exportrekening waarvan het toetsenbord inactief is terwijl de machine druk bezig is. Geef zo'n account een eigen groep met langere of geen inactieve limieten, en noteer de uitzondering met een reden en een eigenaar. Een uitzondering die niet is opgeschreven, is geen uitzondering; het is een gerucht.

Pas het beleid toe, waarschuw gebruikers en test

Pas het beleid meteen toe op de server in plaats van te wachten op de volgende automatische vernieuwing:

gpupdate /force

Test vervolgens voordat u erop vertrouwt: meld u aan met één testaccount via RDP, laat de sessie onaangeroerd voorbij de inactieve limiet en zie hoe de waarschuwing verschijnt en het uitloggen plaatsvindt. Voer query session opnieuw uit en bevestig dat de sessie volledig voorbij is en niet alleen de verbinding verbroken. Test ook het verbroken pad: maak verbinding, sluit het RDP-venster en controleer of de sessie eindigt na de verbroken limiet. Pas dan pas dezelfde instellingen voor iedereen toe.