Automatyczne wylogowywanie bezczynnych użytkowników RDP w 5 minut

Najpierw poznaj trzy stany sesji

Każda sesja Pulpitu zdalnego na serwerze znajduje się w jednym z trzech stanów. Aktywny oznacza, że ​​użytkownik jest podłączony i działa. Bezczynność oznacza połączenie, ale nie dotykanie klawiatury ani myszy. Rozłączony oznacza, że ​​użytkownik zamknął okno RDP, ale sesja i wszystkie znajdujące się w niej aplikacje nadal działają na serwerze.

To rozróżnienie ma znaczenie, ponieważ system Windows ma oddzielne zasady dla każdego stanu. Ustawienie tylko limitu bezczynności powoduje, że rozłączone sesje z piątku są nadal aktywne w poniedziałek. Sam zobacz aktualny stan swojego serwera — otwórz Wiersz Poleceń na hoście sesji i uruchom:

query session

Ten sam obraz widoczny jest w Menedżerze zadań w zakładce Użytkownicy.

Otwórz Edytor zasad grupy

W przypadku jednego serwera otwórz lokalny edytor zasad grupy w oknie dialogowym Uruchom:

gpedit.msc

Jeśli zarządzasz wieloma serwerami za pośrednictwem domeny, użyj zamiast tego konsoli zarządzania zasadami grupy i edytuj obiekt GPO połączony z jednostką organizacyjną, w której znajdują się serwery hosta sesji:

gpmc.msc

Następnie przejdź do opcji Konfiguracja komputera > Zasady > Szablony administracyjne > Składniki systemu Windows > Usługi pulpitu zdalnego > Host sesji usług pulpitu zdalnego > Limity czasu sesji. Preferuj stronę Komputer w przypadku reguły obejmującej cały serwer, tak aby limit podążał za serwerem niezależnie od tego, który użytkownik się zaloguje. Te same limity można również ustawić dla każdego zbioru RDS w obszarze Menedżer serwera > Usługi pulpitu zdalnego > Kolekcje > Właściwości > Sesja — ale zarządzaj nimi tylko w jednym miejscu, ponieważ zasady grupy wygrywają, gdy oba są w konflikcie.

Ustaw limit czasu bezczynności sesji

Otwórz opcję Ustaw limit czasu dla aktywnych, ale bezczynnych sesji Usług pulpitu zdalnego, ustaw opcję Włączone i wybierz limit czasu bezczynności — 5 minut w filmie.

Gdy połączona sesja pozostaje nieużywana przez tak długi czas, system Windows najpierw wyświetla użytkownikowi na ekranie ostrzeżenie, że wkrótce zostanie wylogowany, a następnie osiągnięty zostanie limit. O tym, co stanie się w tym momencie – rozłączenie lub pełne wylogowanie – decyduje następny krok.

Ustaw limit rozłączenia i przełącznik wylogowania

Wciąż w folderze Limity czasu sesji ustaw pozostałe dwie zasady:

Ustaw limit czasu dla rozłączonych sesji — włącz tę opcję i wybierz, jak długo może trwać rozłączona sesja przed jej zakończeniem. 30 minut do 1 dnia to częsty wybór. Jest to zasada, która czyści sesje porzucone przez użytkowników poprzez zamknięcie okna RDP.

Zakończ sesję po osiągnięciu limitu czasu — włącz tę opcję. To pojedyncze ustawienie powoduje, że przekroczenie limitu czasu powoduje wylogowanie, a nie tylko rozłączenie. Bez tego bezczynny użytkownik zostanie po prostu rozłączony, a sesja będzie kontynuowana — jest to dokładnie ten sam problem, od którego zacząłeś.

Trzymaj konto administratora poza regułą

Konfiguracja filmu celowo pomija administratora — sesja administratora będąca w trakcie wykonywania zadania na serwerze nie może być wylogowywana spod osoby obsługującej serwer. Najprostszym sposobem na osiągnięcie tego jest kierowanie, a nie druga sprzeczna polityka:

Umieść zwykłych użytkowników RDP w ich własnej jednostce organizacyjnej lub grupie zabezpieczeń i zastosuj do nich obiekt GPO z limitem sesji; przechowuj konta administratorów poza tym zakresem (w razie potrzeby z filtrowaniem zabezpieczeń w obiekcie GPO). W przypadku wdrożenia RDS ten sam rezultat wynika z udostępnienia tym użytkownikom własnej kolekcji z własnymi ustawieniami sesji.

Ta sama trasa obejmuje rzeczywiste wyjątki — raport na koniec miesiąca lub konto eksportu nocnego, którego klawiatura jest bezczynna, podczas gdy maszyna jest zajęta pracą. Przydziel takiemu kontu własną grupę z dłuższymi limitami bezczynności lub bez nich i zapisz wyjątek, podając powód i właściciela. Wyjątek, który nie jest spisany, nie jest wyjątkiem – jest plotką.

Zastosuj zasady, ostrzegaj użytkowników i testuj

Zastosuj politykę na serwerze od razu, zamiast czekać na kolejne automatyczne odświeżenie:

gpupdate /force

Następnie przetestuj, zanim zaufasz: zaloguj się na jedno konto testowe przez RDP, pozostaw sesję nietkniętą powyżej limitu bezczynności i zobacz, jak pojawia się ostrzeżenie i następuje wylogowanie. Uruchom ponownie sesję zapytania i potwierdź, że sesja całkowicie zniknęła, a nie tylko została rozłączona. Przetestuj także rozłączoną ścieżkę — połącz, zamknij okno RDP i sprawdź, czy sesja kończy się po przekroczeniu limitu rozłączenia. Dopiero wtedy udostępnij wszystkim te same ustawienia.