Automatisk utloggning Inaktiva RDP-användare på 5 minuter

Lär dig först de tre sessionsstaterna

Varje Remote Desktop-session på servern är i en av tre tillstånd. Aktiv betyder att användaren är ansluten och fungerar. Idle betyder ansluten men inte vidrör tangentbordet eller musen. Kopplad från betyder att användaren stängde RDP-fönstret – men sessionen, och alla program inuti den, körs fortfarande på servern.

Denna skillnad är viktig eftersom Windows har en separat policy för varje stat. Att bara ställa in en inaktiv gräns är anledningen till att frånkopplade sessioner från fredag ​​fortfarande lever på måndag. Se det aktuella tillståndet för din server själv - öppna kommandotolken på sessionsvärden och kör:

query session

Samma bild är synlig i Aktivitetshanteraren på fliken Användare.

Öppna grupprincipredigeraren

För en server öppnar du den lokala grupprincipredigeraren från dialogrutan Kör:

gpedit.msc

Om du hanterar många servrar via en domän, använd konsolen för hantering av grupprinciper istället och redigera en GPO som är länkad till organisationsenheten som håller dina sessionsvärdservrar:

gpmc.msc

Navigera sedan till Datorkonfiguration > Policies > Administrativa mallar > Windows-komponenter > Fjärrskrivbordstjänster > Fjärrskrivbordssessionsvärd > Sessionstidsgränser. Föredra datorsidan för en serveromfattande regel, så gränsen följer servern oavsett vilken användare som loggar in. Samma gränser kan också ställas in per RDS-samling under Serverhanterare > Fjärrskrivbordstjänster > Samlingar > Egenskaper > Session – men hantera dem bara på ett ställe, eftersom grupprincipen vinner när de två konflikterna.

Ställ in tidsgränsen för inaktiv session

Öppna Ange tidsgräns för aktiva men inaktiva Remote Desktop Services-sessioner, ställ in den på Aktiverad och välj inaktivitetsgränsen - 5 minuter i videon.

När en ansluten session står oanvänd så länge visar Windows först användaren en varning på skärmen om att de håller på att loggas ut, och sedan är gränsen nådd. Vad som händer vid den punkten - frånkoppling eller fullständig utloggning - avgörs av nästa steg.

Ställ in gränsen för frånkopplad och utloggning

Fortfarande i mappen Session Time Limits, ställ in de andra två policyerna:

Ange tidsgräns för frånkopplade sessioner – aktivera det och välj hur länge en frånkopplad session får leva innan den avslutas. 30 minuter till 1 dag är vanliga val. Detta är policyn som rensar upp de sessioner som användare övergav genom att stänga RDP-fönstret.

Avsluta sessionen när tidsgränserna har nåtts – aktivera det. Den här enstaka inställningen är det som förvandlar en timeout till en utloggning istället för bara en frånkoppling. Utan det kopplas en inaktiv användare bara bort och sessionen fortsätter att köras - det exakta problemet du började med.

Håll administratörskontot utanför regeln

Videons inställningar utelämnar medvetet administratören – en administratörssession som är mitt i uppgiften på servern får inte loggas ut under den person som driver servern. Det rena sättet att göra detta är inriktning, inte en andra motstridig policy:

Placera de vanliga RDP-användarna i sin egen organisationsenhet eller säkerhetsgrupp och tillämpa sessionsgränsen GPO på dem; håll administratörskonton utanför det omfånget (med säkerhetsfiltrering på GPO om det behövs). På en RDS-distribution kommer samma resultat från att ge dessa användare sin egen samling med sina egna sessionsinställningar.

Samma rutt täcker genuina undantag — månadsslutsrapporten eller exportkonto över natten vars tangentbord är inaktivt medan maskinen är upptagen. Ge ett sådant konto en egen grupp med längre eller inga lediga gränser och skriv ner undantaget med en anledning och en ägare. Ett undantag som inte skrivs ner är inte ett undantag – det är ett rykte.

Tillämpa policyn, varna användare och testa

Tillämpa principen på servern direkt istället för att vänta på nästa automatiska uppdatering:

gpupdate /force

Testa sedan innan du litar på det: logga in med ett testkonto via RDP, lämna sessionen orörd förbi tomgångsgränsen och se varningen dyka upp och utloggningen ske. Kör query session igen och bekräfta att sessionen är helt borta, inte bara frånkopplad. Testa också den frånkopplade sökvägen - anslut, stäng RDP-fönstret och kontrollera att sessionen slutar efter den frånkopplade gränsen. Först då rulla ut samma inställningar till alla.