ออกจากระบบอัตโนมัติผู้ใช้ RDP ที่ไม่ได้ใช้งานใน 5 นาที

รู้จักสถานะเซสชันทั้งสามก่อน

ทุกเซสชันเดสก์ท็อประยะไกลบนเซิร์ฟเวอร์จะอยู่ในสถานะใดสถานะหนึ่งในสามสถานะ ใช้งานอยู่ หมายความว่าผู้ใช้เชื่อมต่อและทำงานอยู่ ไม่ได้ใช้งาน หมายถึงเชื่อมต่อแล้ว แต่ไม่ได้สัมผัสแป้นพิมพ์หรือเมาส์ ยกเลิกการเชื่อมต่อ หมายความว่าผู้ใช้ปิดหน้าต่าง RDP แต่เซสชันและทุกแอปพลิเคชันภายในหน้าต่างยังคงทำงานอยู่บนเซิร์ฟเวอร์

ความแตกต่างนี้มีความสำคัญเนื่องจาก Windows มีนโยบายแยกต่างหากสำหรับแต่ละรัฐ การตั้งค่าขีดจำกัดการไม่ได้ใช้งานเป็นสาเหตุที่เซสชันที่ยกเลิกการเชื่อมต่อจากวันศุกร์ยังคงใช้งานได้ในวันจันทร์ ดูสถานะปัจจุบันของเซิร์ฟเวอร์ของคุณเอง — เปิด Command Prompt บนโฮสต์เซสชันแล้วรัน:

query session

รูปภาพเดียวกันนี้จะปรากฏในตัวจัดการงานบนแท็บ ผู้ใช้

เปิดตัวแก้ไขนโยบายกลุ่ม

สำหรับเซิร์ฟเวอร์หนึ่งเครื่อง ให้เปิดตัวแก้ไขนโยบายกลุ่มภายในเครื่องจากกล่องโต้ตอบเรียกใช้:

gpedit.msc

หากคุณจัดการเซิร์ฟเวอร์จำนวนมากผ่านโดเมน ให้ใช้คอนโซลการจัดการนโยบายกลุ่มแทนและแก้ไข GPO ที่เชื่อมโยงกับ OU ที่เก็บเซิร์ฟเวอร์โฮสต์เซสชันของคุณ:

gpmc.msc

จากนั้นไปที่ การกำหนดค่าคอมพิวเตอร์ > นโยบาย > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > บริการเดสก์ท็อประยะไกล > โฮสต์เซสชันเดสก์ท็อประยะไกล > การจำกัดเวลาเซสชัน ต้องการฝั่งคอมพิวเตอร์สำหรับกฎทั่วทั้งเซิร์ฟเวอร์ ดังนั้นขีดจำกัดจะเป็นไปตามเซิร์ฟเวอร์ไม่ว่าผู้ใช้รายใดจะลงชื่อเข้าใช้ก็ตาม ขีดจำกัดเดียวกันนี้สามารถตั้งค่าต่อคอลเลกชัน RDS ภายใต้ตัวจัดการเซิร์ฟเวอร์ > บริการเดสก์ท็อประยะไกล > คอลเลกชัน > คุณสมบัติ > เซสชัน — แต่จัดการได้ในที่เดียวเท่านั้น เนื่องจากนโยบายกลุ่มจะชนะเมื่อทั้งสองขัดแย้งกัน

ตั้งค่าขีดจำกัดเวลาเซสชันที่ไม่ได้ใช้งาน

เปิด ตั้งเวลาจำกัดสำหรับเซสชันบริการเดสก์ท็อประยะไกลที่ทำงานอยู่แต่ไม่ได้ใช้งาน ตั้งค่าเป็น เปิดใช้งาน และเลือกขีดจำกัดการไม่ได้ใช้งาน — 5 นาที ในวิดีโอ

เมื่อเซสชันที่เชื่อมต่อไม่มีการใช้งานเป็นเวลานานนั้น Windows จะแสดงคำเตือนบนหน้าจอให้ผู้ใช้เห็นก่อนว่าพวกเขากำลังจะออกจากระบบ จากนั้นถึงขีดจำกัดแล้ว จะเกิดอะไรขึ้น ณ จุดนั้น — ยกเลิกการเชื่อมต่อหรือออกจากระบบโดยสมบูรณ์ — จะถูกตัดสินใจในขั้นตอนต่อไป

ตั้งค่าขีดจำกัดการตัดการเชื่อมต่อและสวิตช์ออกจากระบบ

ยังอยู่ในโฟลเดอร์ Session Time Limits ให้ตั้งค่าอีกสองนโยบาย:

ตั้งเวลาจำกัดสำหรับเซสชันที่ยกเลิกการเชื่อมต่อ — เปิดใช้งานและเลือกระยะเวลาที่เซสชันที่ยกเลิกการเชื่อมต่อจะคงอยู่ก่อนที่จะสิ้นสุด 30 นาทีถึง 1 วันเป็นทางเลือกทั่วไป นี่คือนโยบายที่จะล้างเซสชันที่ผู้ใช้ละทิ้งโดยการปิดหน้าต่าง RDP

สิ้นสุดเซสชันเมื่อถึงขีดจำกัดเวลา — เปิดใช้งาน การตั้งค่าเดียวนี้เป็นสิ่งที่เปลี่ยนการหมดเวลาเป็น ออกจากระบบ แทนที่จะเป็นเพียงการตัดการเชื่อมต่อ หากไม่มีสิ่งนี้ ผู้ใช้ที่ไม่ได้ใช้งานจะถูกตัดการเชื่อมต่อและเซสชันจะยังคงทำงานต่อไป — ปัญหาที่แท้จริงที่คุณเริ่มต้น

รักษาบัญชีผู้ดูแลระบบให้พ้นจากกฎ

การตั้งค่าวิดีโอจงใจปล่อยให้ผู้ดูแลระบบออกไป - เซสชันผู้ดูแลระบบที่อยู่ระหว่างงานบนเซิร์ฟเวอร์จะต้องไม่ออกจากระบบภายใต้บุคคลที่เรียกใช้เซิร์ฟเวอร์ วิธีที่สะอาดในการทำเช่นนี้คือการกำหนดเป้าหมาย ไม่ใช่นโยบายที่ขัดแย้งกันประการที่สอง:

ใส่ผู้ใช้ RDP ปกติใน OU หรือกลุ่มความปลอดภัยของตนเอง และใช้ GPO แบบจำกัดเซสชันกับพวกเขา เก็บบัญชีผู้ดูแลระบบไว้นอกขอบเขตนั้น (พร้อมการกรองความปลอดภัยใน GPO หากจำเป็น) ในการปรับใช้ RDS ผลลัพธ์เดียวกันนี้มาจากการให้คอลเลกชันของตนเองกับการตั้งค่าเซสชันของตนเอง

เส้นทางเดียวกันนี้ครอบคลุมข้อยกเว้นของแท้ — รายงานสิ้นเดือนหรือบัญชีส่งออกข้ามคืนที่แป้นพิมพ์ไม่ได้ใช้งานในขณะที่เครื่องกำลังทำงานอยู่ กำหนดให้บัญชีดังกล่าวมีกลุ่มของตัวเองโดยมีขีดจำกัดการไม่ได้ใช้งานที่ยาวขึ้นหรือไม่มีเลย และจดข้อยกเว้นพร้อมเหตุผลและเจ้าของ ข้อยกเว้นที่ไม่ได้เขียนไว้ก็ไม่ใช่ข้อยกเว้น แต่เป็นข่าวลือ

ใช้นโยบาย เตือนผู้ใช้ และทดสอบ

ใช้นโยบายบนเซิร์ฟเวอร์ทันทีแทนที่จะรอการรีเฟรชอัตโนมัติครั้งถัดไป:

gpupdate /force

จากนั้น ทดสอบก่อนที่จะเชื่อถือ: ลงชื่อเข้าใช้ด้วยบัญชีทดสอบหนึ่งบัญชีผ่าน RDP ปล่อยเซสชันไว้โดยไม่แตะต้องเลยขีดจำกัดการไม่ได้ใช้งาน และดูคำเตือนปรากฏขึ้นและการออกจากระบบเกิดขึ้น เรียกใช้ เซสชันการค้นหา อีกครั้งและยืนยันว่าเซสชันนั้นหายไปโดยสมบูรณ์ ไม่ใช่แค่ตัดการเชื่อมต่อ ทดสอบเส้นทางที่ไม่ได้เชื่อมต่อด้วย — เชื่อมต่อ ปิดหน้าต่าง RDP และตรวจสอบเซสชันสิ้นสุดหลังจากขีดจำกัดการยกเลิกการเชื่อมต่อ จากนั้นจึงเผยแพร่การตั้งค่าเดียวกันนี้ให้กับทุกคน