Сформулируем проблему:
- При подключении по протоколу RDP выскакивает ошибка: Доступ к требуемому сеансу отклонен.
- Что характерно, выскакивает она, только если логиниться обычным пользователем. Если логиниться админом — всё ок.
- Предполагается, что терминальный сервер установлен, настроен и активирован. В рамках этой статьи мы не будем рассматривать этот вопрос.
После настройки нового сервера терминалов, при проверке его работы — такая ошибка выскакивает у меня всегда и на пару секунд сбивает с толку.
Что за фигня. За несколько лет работы установка/настройка терминал сервера доведена до автоматизма.
А дело вот в чём.
- Для подключения к удалённому рабочему столу, у меня создано 2 ярлыка:
- один для подключения к обычной сессии: mstsc
- другой для подключения к консольной сессии: mstsc /admin
- Пользуюсь я всегда вторым ярлыком, которым на автомате и проверял подключение обычного пользователя. И было бы странно, если бы меня пустило под ним, в консольный сеанс.
- PS: камрады в комментариях уточняют, подобная проблема может так же возникать из-за параметра administrative session:i:1 в конфигурационном файле *.rdp
Будьте внимательнее.
По умолчанию удаленный RDP доступ к рабочему столу рядовых серверов с Windows Server или к контроллерам домена Active Directory разрешен только пользователям, добавленных в локальную группу Administrators, или администраторам домена (Domain Admins). В этой статье мы покажем, как предоставить RDP доступ к хостам Windows Server или контроллерам домена обычным пользователям без предоставления прав административных полномочий.
Содержание:
- Чтобы войти в систему, вам нужно право на вход через службу удаленных рабочих столов
- Как предоставить RDP доступ к контроллеру домена Active Directory?
- Политика “Разрешить вход в систему через службу удаленных рабочих столов”
- Доступ к требуемому сеансу RDP отклонен
По умолчанию настройки безопасности Windows позволяют RDP подключение удаленному пользователю через службу Remote Desktop Services (TermService) если:
- Пользователь состоит в локальной группе Administrators или Remote Desktop Users;
- Пользователю разрешено подключение через локальную политику Allow the log on through Remote Desktop Services.
Чтобы войти в систему, вам нужно право на вход через службу удаленных рабочих столов
При попытке удаленно подключиться к рабочему столу Windows Server, у пользователя появится ошибка:
To sign in remotely, you need the rights to sign in Remote Desktop Services. By default only members of the Administrators group have this right. If the group you’re in doesn’t have this right, or if the right has been removed from Administrators group, you need to be granted this right manually.
Чтобы войти в систему удаленно, вам нужно право на вход через службы удаленных рабочих столов. По умолчанию такое право имеют члены группы Администраторы. Если у вашей группы нет этого права или оно было удалено для группы Администраторы, попросите предоставить его вам вручную.
Если на удаленном хосте для RDP включена проверка подлинности NLA (Network Level Authentication), то при подключении появится другая ошибка:
The connection was denied because the user account is not authorized for remote login.
Подключение было запрещено, так как учетная запись пользователя не имеет прав для удаленного входа в систему.
В этом случае, чтобы разрешить пользователю подключаться к Windows Server по RDP, вам достаточно добавить его в локальную группу Remote Desktop User. Для этого:
- Откройте mmc оснастку Local Users and Groups MMC (
lusrmgr.msc
) и перейдите в раздел Groups; - Щелкните по группе Remote Desktop User (Пользователи удаленного рабочего стола);
- Нажмите кнопку Add и укажите имя пользователя (или группы), которому вы хотите предоставить RDP доступ;
- После этого пользователь сможет подключиться к этому хосту Windows по RDP.
Также вы можете добавить пользователя в группу доступа RDP из командной строки:
net localgroup "Remote Desktop Users" /add winitpro\kbuldogov
или из PowerShell (подробнее про управление локальными пользователями и группами в PowerShell).
Add-LocalGroupMember -Group "Remote Desktop Users" -Member kbuldogov
Вывести список пользователей в группе Remote Desktop Users
Get-LocalGroupMember -Group 'Remote Desktop Users'
По аналогии вы можете предоставить пользователям RDP доступ к рабочим станциям с Windows 10 или 11 (не забудьте включить на них RDP)
По умолчанию Windows Server разрешает две одновременные удаленные RDP сессии. Т.е. два пользователю могут одновременно работать в собственных Remote Desktop сеансах. Если вам нужно большее количество одновременных RDP подключений, придется приобрести и активировать лицензии (RDP CAL) на сервере лицензирования RDS и установить роль Remote Desktop Services (это может быть отдельностоящий сервер с ролью RDSH или полноценная RDS ферма из нескольких серверов).
В RDS ферме для предоставления удаленного доступа можно использовать RDS коллекции. Откройте Server Manager > Remote Desktop Services > Tasks > Edit Deployment Properties.
Откройте коллекцию и в разделе User Group будут указаны группу безопасности, которым разрешено подключаться к RDSH хостам в этой коллекции.
Как предоставить RDP доступ к контроллеру домена Active Directory?
Если вам нужно предоставить рядовому пользователю, удаленный доступ к рабочему столу контроллера домена, то способ, описанный выше не сработает.
Дело в том, что после повышения роли сервера до контроллера домена Active Directory в оснастке управления компьютером пропадает возможность управления локальными пользователями и группами. При попытке открыть консоль Local Users and Groups (lusrmgr.msc). появляется ошибка:
The computer xxx is a domain controller. This snip-in cannot be used on a domain controller. Domain accounts are managed with the Active Directory Users and Computers snap-in.
Как вы видите, на контроллере домена отсутствуют локальные группы. Вместо локальной группы Remote Desktop Users, на DC используется встроенная доменная группа Remote Desktop Users (находятся в контейнере Builtin). Управлять данной группой можно из консоли ADUC или из командной строки на DC.
Однако использовать эту группу для предоставления доступа нежелательно, т.к. она предоставит пользователю доступ ко всем DC в домене. В этом случае для предоставления прав лучше использовать политику Allow log on through Remote Desktop Services.
Многие могут вполне обоснованно возразить, зачем, собственно, рядовым пользователям нужен удаленный доступ к рабочему столу DC. Действительно, в small и middle-size инфраструктурах, когда всю инфраструктуру обслуживают несколько администраторов, обладающих правами администратора домена, такая необходимость вряд ли понадобится. Обычно хватает возможностей делегирования пользователям административных полномочия в Active Directory или предоставления прав с помощью PowerShell Just Enough Administration (JEA).
Однако в больших корпоративных сетях, обслуживаемых большим количеством персонала, нередко возникает необходимость предоставления RDP доступа к DC (как правило к филиальным DC или RODC) различным группам администраторов серверов, команде мониторинга, дежурным администраторам и прочим техническим специалистам. Также бывают ситуации, когда на DC разворачивают сторонние службы, управляемые не доменными администраторами, которое также необходимо как-то обслуживать.
Политика “Разрешить вход в систему через службу удаленных рабочих столов”
Чтобы разрешить доменному пользователю или группе удаленное RDP подключение к Windows, необходимо предоставить ему право SeRemoteInteractiveLogonRight. Вы можете предоставить это полномочие с помощью политики Allow log on through Remote Desktop Services (Разрешить вход в систему через службу удаленных рабочих столов).
В Windows Server 2003 и ранее политика называется Allow log on through terminal services.
Чтобы разрешить RDP подключение к DC членам группы SPB-Server-Admin, нужно изменить настройку этой политики на контроллере домена:
- Запустите редактор локальной политики (
gpedit.msc
); - Перейдите в раздел Computer Configuration -> Windows settings -> Security Settings -> Local policies -> User Rights Assignment;
- Найдите политику с именем Allow log on through Remote Desktop Services (Разрешить вход в систему через службу удаленных рабочих столов);
После повышения роли сервера до DC в этой локальной политике остается только группа Administrators (это администраторы домена).
- Отредактируйте политику, добавьте в нее непосредственно доменного пользователя или группу (в формате domain\somegroupname);
- Обновите настройки групповых политик командой:
gpupdate /force
Обратите внимание, что группа, которую вы добавили в политику Allow log on through Remote Desktop Services, не должны присутствовать в политике “Deny log on through Remote Desktop Services”, т.к. она имеет приоритет (см статью Ограничение сетевого доступа в домене под локальными учетками). Также, если вы ограничиваете список компьютеров, на которые могут логиниться пользователи, нужно добавить имя сервера в свойствах учетной записи в AD (поле Log on to в атрибуте LogonWorkstations).
Примечание. Чтобы разрешить пользователю локальный вход на DC (через консоль сервера), его учетную запись или группу, нужно добавить также в политику Allow log on locally. По умолчанию это право есть у следующих доменных групп:
- Account Operators
- Administrators
- Backup Operators
- Print Operators
- Server Operators.
Если это не сделать, при входе появится ошибка Этот метод входа запрещено использовать.
Для удобства вы можете создать в домене новую группу безопасности, например, AllowDCLogin. Затем нужно добавить в нее учетные записи пользователей, которым нужно разрешить удаленный доступ к DC. Если нужно разрешить доступ сразу на все контроллеры домена AD, вместо редактирования локальной политики на каждом DC, лучше через консоль управления доменными политиками (
GPMC.msc
) добавить группу пользователей в доменную политику Default Domain Controllers Policy (политика Allow log on through Remote Desktop Services находится в разделе Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment).
Важно. Если вы изменяете доменную политику, не забудьте добавить в нее группы администраторов домена/предприятия, иначе они потеряют удаленный доступ к контроллерам домена.
Теперь пользователи, которых вы добавили в политику, смогут подключаться к рабочему столу контроллеру домена по RDP.
Если вам нужно предоставить обычным пользователями права на запуск/остановку определенных служб на DC, воспользуйтесь следующей инструкцией.
Доступ к требуемому сеансу RDP отклонен
В нескорых случаях при подключении по RDP к контроллеру домена, вы можете получить ошибку:
The requested session access is denied
Доступ к требуемому сеансу отклонен
Если вы подключаетесь к DC под неадминистративной учетной записью, это может быть связано с двумя проблемами:
- Вы пытаетесь подключиться к консоли сервера (с помощью
mstsc /admin
). Такой режим подключения разрешен только пользователям с правами администратора сервера. Попробуйте подключиться к серверу в обычном режиме (без параметра
/admin
); - Возможно на сервере уже есть две активные RDP сессии (по умолчанию к Windows Server без службы RDS можно одновременно подключиться не более чем двумя RDP сеансами). Список активных сессий на удалённом компьютере и залогиненых пользователей можно вывести так:
qwinsta /server:dc01
Без прав администратора вы не сможете завершить сессии других пользователей. Нужно дождаться, пока администраторы освободят или завершат одну из сессий; - На хосте Windows Server включен режим Restricted Admin или Windows Defender Remote Credential Guard