5 分钟内自动注销空闲 RDP 用户

首先了解三种会话状态

服务器上的每个远程桌面会话都处于三种状态之一。 活动表示用户已连接并正在工作。 空闲表示已连接，但未触摸键盘或鼠标。 断开意味着用户关闭了 RDP 窗口 - 但会话及其内部的每个应用程序仍在服务器上运行。

这种区别很重要，因为 Windows 每个状态都有单独的策略。仅设置空闲限制是周五断开连接的会话在周一仍然有效的原因。亲自查看服务器的当前状态 - 在会话主机上打开命令提示符并运行：

query session

在用户选项卡上的任务管理器中可以看到相同的图片。

打开组策略编辑器

对于一台服务器，从“运行”对话框中打开本地组策略编辑器：

gpedit.msc

如果您通过域管理许多服务器，请改用组策略管理控制台并编辑链接到保存会话主机服务器的 OU 的 GPO：

gpmc.msc

然后导航到计算机配置 > 策略 > 管理模板 > Windows 组件 > 远程桌面服务 > 远程桌面会话主机 > 会话时间限制。首选计算机端作为服务器范围的规则，因此无论哪个用户登录，限制都会遵循服务器。还可以在服务器管理器 > 远程桌面服务 > 集合 > 属性 > 会话下为每个 RDS 集合设置相同的限制 - 但只能在一个位置管理它们，因为当两者发生冲突时，组策略会获胜。

设置空闲会话时间限制

打开为活动但空闲的远程桌面服务会话设置时间限制，将其设置为启用并在视频中选择空闲限制 - 5 分钟。

当连接的会话长时间未使用时，Windows 首先会在屏幕上向用户显示一条警告，表明他们即将注销，然后就达到了限制。此时会发生什么（断开连接或完全注销）由下一步决定。

设置断开连接限制和注销开关

仍在“会话时间限制”文件夹中，设置其他两个策略：

为断开连接的会话设置时间限制 - 启用它并选择断开连接的会话在结束之前可以存活多长时间。 30 分钟到 1 天是常见的选择。这是清理用户通过关闭 RDP 窗口而放弃的会话的策略。

达到时间限制时结束会话 - 启用它。这个单一设置将超时转变为注销，而不仅仅是断开连接。如果没有它，空闲用户只是断开连接，并且会话继续运行——这正是您开始遇到的问题。

让管理员帐户远离规则

该视频的设置故意将管理员排除在外 - 服务器上正在执行任务的管理会话不得从运行服务器的人员下注销。做到这一点的干净方法是瞄准目标，而不是第二个相互冲突的政策：

将常规 RDP 用户放入自己的 OU 或安全组中，并对他们应用会话限制 GPO；将管理员帐户保留在该范围之外（如果需要，可以对 GPO 进行安全过滤）。在 RDS 部署中，为这些用户提供具有自己的会话设置的自己的集合会产生相同的结果。

同样的路线涵盖了真正的例外情况——月末报告或隔夜导出帐户，其键盘在机器忙于工作时处于空闲状态。为此类帐户分配一个具有更长空闲限制或没有空闲限制的组，并写下异常情况并附上原因和所有者。没有被记录下来的例外并不是例外——而是谣言。

应用策略、警告用户并测试

立即在服务器上应用策略，而不是等待下一次自动刷新：

gpupdate /force

然后在信任之前进行测试：通过 RDP 使用一个测试帐户登录，在闲置限制之后保持会话不变，然后观察警告的出现和注销的发生。再次运行查询会话并确认会话完全消失，而不仅仅是断开连接。还要测试断开连接的路径 — 连接、关闭 RDP 窗口，并检查会话在断开连接限制后结束。然后才向每个人推出相同的设置。