Tự động đăng xuất người dùng RDP nhàn rỗi sau 5 phút

Biết Tam Kỳ Kỳ Đầu Tiên

Mỗi phiên Remote Desktop trên máy chủ đều ở một trong ba trạng thái. Hoạt động nghĩa là người dùng đã được kết nối và đang làm việc. Không hoạt động có nghĩa là đã kết nối nhưng không chạm vào bàn phím hoặc chuột. Đã ngắt kết nối có nghĩa là người dùng đã đóng cửa sổ RDP — nhưng phiên và mọi ứng dụng bên trong nó vẫn đang chạy trên máy chủ.

Sự khác biệt này quan trọng vì Windows có chính sách riêng cho từng trạng thái. Chỉ đặt giới hạn không hoạt động là lý do tại sao các phiên bị ngắt kết nối từ thứ Sáu vẫn tồn tại vào thứ Hai. Tự mình xem trạng thái hiện tại của máy chủ của bạn - mở Dấu nhắc lệnh trên máy chủ phiên và chạy:

query session

Hình ảnh tương tự sẽ hiển thị trong Trình quản lý tác vụ trên tab Người dùng.

Mở Trình chỉnh sửa chính sách nhóm

Đối với một máy chủ, hãy mở trình chỉnh sửa Chính sách nhóm cục bộ từ hộp thoại Chạy:

gpedit.msc

Nếu bạn quản lý nhiều máy chủ thông qua một miền, hãy sử dụng Bảng điều khiển quản lý chính sách nhóm và chỉnh sửa GPO được liên kết với OU chứa các máy chủ lưu trữ phiên của bạn:

gpmc.msc

Sau đó điều hướng đến Cấu hình máy tính > Chính sách > Mẫu quản trị > Cấu phần Windows > Dịch vụ máy tính từ xa > Máy chủ phiên máy tính từ xa > Giới hạn thời gian phiên. Ưu tiên phía Máy tính áp dụng quy tắc trên toàn máy chủ, do đó giới hạn sẽ tuân theo máy chủ bất kể người dùng nào đăng nhập. Các giới hạn tương tự cũng có thể được đặt cho mỗi bộ sưu tập RDS trong Trình quản lý máy chủ > Dịch vụ máy tính từ xa > Bộ sưu tập > Thuộc tính > Phiên — nhưng chỉ quản lý chúng ở một nơi vì Chính sách nhóm sẽ thắng khi cả hai xung đột.

Đặt giới hạn thời gian phiên nhàn rỗi

Mở Đặt giới hạn thời gian cho các phiên Dịch vụ máy tính từ xa đang hoạt động nhưng không hoạt động, đặt thành Đã bật và chọn giới hạn không hoạt động — 5 phút trong video.

Khi một phiên được kết nối không được sử dụng trong thời gian dài như vậy, trước tiên, Windows sẽ hiển thị cho người dùng cảnh báo trên màn hình rằng họ sắp đăng xuất và sau đó đạt đến giới hạn. Điều gì xảy ra tại thời điểm đó — ngắt kết nối hoặc đăng xuất hoàn toàn — sẽ được quyết định ở bước tiếp theo.

Đặt giới hạn ngắt kết nối và công tắc đăng xuất

Vẫn trong thư mục Giới hạn thời gian phiên, đặt hai chính sách còn lại:

Đặt giới hạn thời gian cho các phiên bị ngắt kết nối — bật nó và chọn thời lượng phiên bị ngắt kết nối có thể tồn tại trước khi kết thúc. 30 phút đến 1 ngày là những lựa chọn phổ biến. Đây là chính sách giúp dọn sạch các phiên mà người dùng đã bỏ qua bằng cách đóng cửa sổ RDP.

Kết thúc phiên khi đạt đến giới hạn thời gian — hãy bật nó. Cài đặt duy nhất này sẽ biến thời gian chờ thành đăng xuất thay vì chỉ ngắt kết nối. Nếu không có nó, người dùng nhàn rỗi sẽ chỉ bị ngắt kết nối và phiên vẫn tiếp tục chạy — chính xác là vấn đề mà bạn đã gặp phải.

Giữ tài khoản quản trị viên ngoài quy tắc

Quá trình thiết lập của video cố tình loại bỏ quản trị viên — phiên quản trị viên đang thực hiện nhiệm vụ giữa trên máy chủ không được đăng xuất khỏi người đang chạy máy chủ. Cách rõ ràng để thực hiện việc này là nhắm mục tiêu chứ không phải chính sách xung đột thứ hai:

Đặt người dùng RDP thông thường vào OU hoặc nhóm bảo mật của riêng họ và áp dụng GPO giới hạn phiên cho họ; giữ tài khoản quản trị viên bên ngoài phạm vi đó (với tính năng lọc bảo mật trên GPO nếu cần). Khi triển khai RDS, kết quả tương tự cũng đến từ việc cung cấp cho những người dùng đó bộ sưu tập của riêng họ với cài đặt phiên riêng.

Lộ trình tương tự bao gồm các trường hợp ngoại lệ thực sự - báo cáo cuối tháng hoặc tài khoản xuất qua đêm có bàn phím không hoạt động trong khi máy đang bận làm việc. Cung cấp cho một tài khoản như vậy nhóm riêng của nó với các giới hạn dài hơn hoặc không có giới hạn nhàn rỗi và viết ra ngoại lệ kèm theo lý do và chủ sở hữu. Một ngoại lệ không được viết ra không phải là ngoại lệ - đó là tin đồn.

Áp dụng chính sách, cảnh báo người dùng và kiểm tra

Áp dụng chính sách trên máy chủ ngay lập tức thay vì đợi lần làm mới tự động tiếp theo:

gpupdate /force

Sau đó, hãy kiểm tra trước khi tin cậy nó: đăng nhập bằng một tài khoản thử nghiệm qua RDP, giữ nguyên phiên vượt quá giới hạn không hoạt động và xem cảnh báo xuất hiện cũng như quá trình đăng xuất xảy ra. Chạy lại phiên truy vấn và xác nhận phiên đã hoàn toàn biến mất chứ không chỉ bị ngắt kết nối. Đồng thời kiểm tra đường dẫn bị ngắt kết nối - kết nối, đóng cửa sổ RDP và kiểm tra phiên kết thúc sau giới hạn bị ngắt kết nối. Chỉ sau đó mới triển khai các cài đặt tương tự cho mọi người.