Logoff automático de usuários RDP ociosos em 5 minutos

Conheça primeiro os três estados de sessão

Cada sessão de Área de Trabalho Remota no servidor está em um dos três estados. Ativo significa que o usuário está conectado e trabalhando. Idle significa conectado, mas sem tocar no teclado ou mouse. Desconectado significa que o usuário fechou a janela RDP — mas a sessão e todos os aplicativos dentro dela ainda estão em execução no servidor.

Essa distinção é importante porque o Windows tem uma política separada para cada estado. Definir apenas um limite de inatividade é o motivo pelo qual as sessões desconectadas de sexta-feira ainda estão ativas na segunda-feira. Veja você mesmo o estado atual do seu servidor – abra o prompt de comando no host da sessão e execute:

query session

A mesma imagem é visível no Gerenciador de Tarefas na guia Usuários.

Abra o Editor de Política de Grupo

Para um servidor, abra o editor de Política de Grupo local na caixa de diálogo Executar:

gpedit.msc

Se você gerencia muitos servidores por meio de um domínio, use o Console de gerenciamento de política de grupo e edite um GPO vinculado à unidade organizacional que contém os servidores host da sessão:

gpmc.msc

Em seguida, navegue até Configuração do computador > Políticas > Modelos administrativos > Componentes do Windows > Serviços de área de trabalho remota > Host de sessão de área de trabalho remota > Limites de tempo de sessão. Prefira o lado do computador para uma regra que abrange todo o servidor, para que o limite siga o servidor, independentemente do usuário que fizer login. Os mesmos limites também podem ser definidos por coleção RDS em Gerenciador de servidores > Serviços de área de trabalho remota > Coleções > Propriedades > Sessão — mas gerencie-os em apenas um local, porque a Política de Grupo vence quando os dois entram em conflito.

Defina o limite de tempo de sessão inativa

Abra Definir limite de tempo para sessões ativas, mas ociosas dos Serviços de Área de Trabalho Remota, defina-o como Ativado e escolha o limite de inatividade — 5 minutos no vídeo.

Quando uma sessão conectada fica sem uso por tanto tempo, o Windows primeiro mostra ao usuário um aviso na tela de que ele está prestes a ser desconectado e, em seguida, o limite é atingido. O que acontece nesse ponto – desconexão ou logoff completo – é decidido na próxima etapa.

Defina o limite desconectado e o botão de logoff

Ainda dentro da pasta Session Time Limits, defina as outras duas políticas:

Definir limite de tempo para sessões desconectadas — ative-o e escolha quanto tempo uma sessão desconectada pode durar antes de ser encerrada. 30 minutos a 1 dia são escolhas comuns. Esta é a política que limpa as sessões abandonadas pelos usuários fechando a janela RDP.

Encerrar a sessão quando os limites de tempo forem atingidos — ative-o. Essa configuração única é o que transforma um tempo limite em um logoff em vez de apenas uma desconexão. Sem ele, um usuário ocioso é simplesmente desconectado e a sessão continua em execução – exatamente o problema com o qual você começou.

Mantenha a conta de administrador fora das regras

A configuração do vídeo deixa deliberadamente o administrador de fora – uma sessão de administrador que está no meio de uma tarefa no servidor não deve ser desconectada da pessoa que executa o servidor. A maneira limpa de fazer isso é direcionar, e não uma segunda política conflitante:

Coloque os usuários regulares do RDP em sua própria UO ou grupo de segurança e aplique o GPO de limite de sessão a eles; mantenha as contas de administrador fora desse escopo (com filtragem de segurança no GPO, se necessário). Em uma implantação RDS, o mesmo resultado surge quando se fornece a esses usuários sua própria coleção com suas próprias configurações de sessão.

O mesmo caminho abrange exceções genuínas – o relatório de final de mês ou a conta de exportação noturna cujo teclado fica ocioso enquanto a máquina está ocupada trabalhando. Dê a essa conta seu próprio grupo com limites de inatividade mais longos ou nenhum limite e anote a exceção com um motivo e um proprietário. Uma exceção que não está escrita não é uma exceção – é um boato.

Aplique a política, avise os usuários e teste

Aplique a política no servidor imediatamente, em vez de aguardar a próxima atualização automática:

gpupdate /force

Em seguida, teste antes de confiar: faça login com uma conta de teste via RDP, deixe a sessão intacta além do limite ocioso e observe o aviso aparecer e o logoff acontecer. Execute query session novamente e confirme se a sessão foi totalmente encerrada, e não apenas desconectada. Teste também o caminho desconectado – conecte-se, feche a janela RDP e verifique se a sessão termina após o limite desconectado. Só então implemente as mesmas configurações para todos.