Автоматический выход из системы бездействующих пользователей RDP за 5 минут

Сначала узнайте три состояния сеанса

Каждый сеанс удаленного рабочего стола на сервере находится в одном из трех состояний. Активный означает, что пользователь подключен и работает. Неактивен означает, что устройство подключено, но не прикасается к клавиатуре или мыши. Отключено означает, что пользователь закрыл окно RDP, но сеанс и все приложения внутри него все еще работают на сервере.

Это различие важно, поскольку Windows имеет отдельную политику для каждого состояния. Установка только лимита простоя — вот почему отключенные сеансы в пятницу все еще активны в понедельник. Посмотрите текущее состояние вашего сервера самостоятельно — откройте командную строку на хосте сеанса и запустите:

query session

Такая же картинка видна в диспетчере задач на вкладке Пользователи.

Откройте редактор групповой политики.

Для одного сервера откройте редактор локальной групповой политики из диалогового окна «Выполнить»:

gpedit.msc

Если вы управляете многими серверами через домен, вместо этого используйте консоль управления групповыми политиками и отредактируйте объект групповой политики, связанный с подразделением, в котором находятся ваши хост-серверы сеансов:

gpmc.msc

Затем перейдите к Конфигурация компьютера > Политики > Административные шаблоны > Компоненты Windows > Службы удаленных рабочих столов > Узел сеансов удаленных рабочих столов > Ограничения времени сеанса. Для правила на уровне всего сервера отдавайте предпочтение компьютерной стороне, чтобы ограничение соответствовало серверу независимо от того, какой пользователь входит в систему. Те же ограничения можно также установить для каждой коллекции RDS в разделе «Диспетчер серверов» > «Службы удаленных рабочих столов» > «Коллекции» > «Свойства» > «Сеанс», но управляйте ими только в одном месте, поскольку групповая политика выигрывает, когда они конфликтуют.

Установите ограничение времени простоя сеанса

Откройте Установить ограничение времени для активных, но простаивающих сеансов служб удаленных рабочих столов, установите для него значение Включено и выберите ограничение простоя — 5 минут в видео.

Когда подключенный сеанс не используется в течение такого долгого времени, Windows сначала показывает пользователю экранное предупреждение о том, что он собирается выйти из системы, а затем достигается предел. Что произойдет в этот момент — отключение или полный выход из системы — решается на следующем этапе.

Установите предел отключений и переключатель выхода из системы

По-прежнему внутри папки «Ограничения времени сеанса» установите две другие политики:

Установить ограничение по времени для отключенных сеансов — включите его и выберите, как долго может продолжаться отключенный сеанс до его завершения. Обычно выбирают от 30 минут до 1 дня. Это политика, которая очищает сеансы, прерванные пользователями, путем закрытия окна RDP.

Завершить сеанс при достижении лимита времени — включите эту функцию. Эта единственная настройка превращает тайм-аут в выход из системы, а не просто в отключение. Без него неактивный пользователь просто отключается, а сеанс продолжает работать — та самая проблема, с которой вы начали.

Держите учетную запись администратора вне правил

При настройке видео намеренно не учитывается администратор — сеанс администратора, который находится в середине задачи на сервере, не должен выходить из-под лица, управляющего сервером. Самый простой способ сделать это — выбрать таргетинг, а не вторую конфликтующую политику:

Поместите обычных пользователей RDP в их собственное подразделение или группу безопасности и примените к ним объект групповой политики ограничения сеансов; оставляйте учетные записи администратора за пределами этой области (при необходимости с фильтрацией безопасности в объекте групповой политики). При развертывании RDS тот же результат получается, если предоставить этим пользователям собственную коллекцию с собственными настройками сеанса.

Тот же путь охватывает настоящие исключения — отчет на конец месяца или учетную запись ночного экспорта, клавиатура которых простаивает, пока машина занята работой. Создайте для такой учетной записи отдельную группу с более длительными ограничениями простоя или без них и запишите исключение с указанием причины и владельца. Исключение, которое не записано, не является исключением — это слухи.

Примените политику, предупредите пользователей и протестируйте

Примените политику на сервере сразу, не дожидаясь следующего автоматического обновления:

gpupdate /force

Затем протестируйте, прежде чем доверять ему: войдите в систему с одной тестовой учетной записью через RDP, оставьте сеанс нетронутым после достижения предела простоя и наблюдайте, как появляется предупреждение и происходит выход из системы. Запустите сеанс запроса еще раз и убедитесь, что сеанс полностью завершен, а не просто отключен. Также протестируйте отключенный путь — подключитесь, закройте окно RDP и проверьте, что сеанс завершается после достижения лимита отключений. Только потом раскатывайте всем одинаковые настройки.