Автоматичний вихід із неактивних користувачів RDP за 5 хвилин

Спочатку дізнайтеся про три стани сеансу

Кожен сеанс віддаленого робочого стола на сервері перебуває в одному з трьох станів. Активний означає, що користувач підключений і працює. Неактивний означає підключення, але не торкання клавіатури чи миші. Відключено означає, що користувач закрив вікно RDP, але сеанс і всі програми в ньому все ще працюють на сервері.

Ця відмінність має значення, оскільки Windows має окрему політику для кожного стану. Встановлення лише ліміту простою є причиною того, що відключені сеанси з п’ятниці все ще живі в понеділок. Перегляньте поточний стан свого сервера самостійно — відкрийте командний рядок на хості сеансу та виконайте:

query session

Те саме зображення видно в диспетчері завдань на вкладці Користувачі.

Відкрийте редактор групової політики

Для одного сервера відкрийте редактор локальної групової політики з діалогового вікна «Виконати»:

gpedit.msc

Якщо ви керуєте багатьма серверами через домен, замість цього скористайтеся консоллю керування груповою політикою та відредагуйте GPO, пов’язаний з організаційним підрозділом, який містить ваші хост-сервери сеансу:

gpmc.msc

Потім перейдіть до Конфігурація комп’ютера > Політики > Адміністративні шаблони > Компоненти Windows > Служби віддаленого робочого стола > Хост сеансу віддаленого робочого стола > Обмеження часу сеансу. Віддавайте перевагу комп’ютерній стороні для загальносерверного правила, щоб обмеження відповідало серверу, незалежно від того, який користувач увійшов. Такі самі обмеження також можна встановити для колекції RDS у розділі «Диспетчер сервера» > «Служби віддаленого робочого стола» > «Колекції» > «Властивості» > «Сеанс», але керуйте ними лише в одному місці, оскільки групова політика виграє, коли обидва конфліктують.

Встановіть ліміт часу неактивного сеансу

Відкрийте Установити ліміт часу для активних, але неактивних сеансів служб віддаленого робочого стола, встановіть значення Увімкнено та виберіть ліміт неактивності — 5 хвилин у відео.

Коли підключений сеанс не використовується стільки часу, Windows спочатку показує користувачеві на екрані попередження про те, що він збирається вийти, а потім досягається ліміт. Що станеться в цей момент — відключення або повний вихід — вирішить наступний крок.

Встановіть межу відключення та перемикач виходу

У папці «Обмеження часу сеансу» встановіть дві інші політики:

Установити ліміт часу для відключених сеансів — увімкніть його та виберіть, скільки часу може тривати відключений сеанс до його завершення. Зазвичай вибирають від 30 хвилин до 1 дня. Це політика, яка очищає сеанси, які користувачі покинули, закривши вікно RDP.

Закінчити сеанс після досягнення обмежень за часом — увімкніть це. Це єдине налаштування перетворює час очікування на вихід, а не лише на роз’єднання. Без нього неактивний користувач просто від’єднується, а сеанс продовжує працювати — саме така проблема, з якої ви почали.

Тримайте обліковий запис адміністратора поза правилами

Налаштування відео навмисно виключає адміністратора — сеанс адміністратора, який є посеред завдання на сервері, не повинен виходити з-під керуванням сервера. Чистий спосіб зробити це – націлювання, а не друга конфліктна політика:

Помістіть звичайних користувачів RDP у їхній власний підрозділ або групу безпеки та застосуйте до них GPO з обмеженням сеансу; залишати облікові записи адміністраторів за межами цієї області (з фільтрацією безпеки на GPO, якщо потрібно). Під час розгортання RDS той самий результат отримується, якщо цим користувачам надати власну колекцію з власними налаштуваннями сеансу.

Той самий маршрут охоплює справжні винятки — звіт на кінець місяця або нічний експортний рахунок, клавіатура якого неактивна, а машина зайнята роботою. Надайте такому обліковому запису власну групу з довшими обмеженнями на неактивність або без них, і запишіть виняток із причиною та власником. Виняток, який не записаний, не є винятком — це чутка.

Застосуйте політику, попередьте користувачів і протестуйте

Застосуйте політику на сервері відразу, а не чекайте наступного автоматичного оновлення:

gpupdate /force

Потім перевірте, перш ніж довіряти йому: увійдіть за допомогою одного тестового облікового запису через RDP, залиште сеанс недоторканим після межі простою та подивіться, як з’явиться попередження та відбудеться вихід із системи. Знову запустіть сеанс запиту та підтвердьте, що сеанс повністю завершено, а не просто відключено. Також перевірте відключений шлях — підключіться, закрийте вікно RDP і перевірте завершення сеансу після ліміту відключених. Лише потім розгортайте однакові налаштування для всіх.