User trennen/abmelden RDS Umgebung

[BSChris 14]

Guten Tag,

 

ich habe eine 2016er RDS Umgebung aufgesetzt. Nun möchte ich gewisse User die Rechte geben, andere User vom Server zu trennen. Dabei habe ich mir gedacht den Task-Manager über

die Remote APP zu veröffentlichen. Wisst ihr welche Rechte man mindesten Lokal auf dem Server benötigt, um User trennen oder abmelden zu dürfen benötigt? Gibt es vielleicht auch ein Snap-In, welches nur die User anzeigt und ich Sie darüber managen kann?

Über einen Vorschlag oder eine Verbesserung des Vorhabens würde ich mich sehr freuen. Danke!

 

MfG

Chris

 

[Mr_Marple 15]

Hallo!

Was genau soll denn damit bezweckt werden, vor allem mit dem Trennen? Der getrennte Benutzer kann sich ja gleich wieder anmelden.

Evtl. gibt es ja andere Lösungen, als mit Benutzerberechtigungen herumzubasteln.

 

Reichen die normalen Sitzungslimits nicht aus?

[daabm 1.391]

Welche Rechte? Lokaler Admin...

[Sunny61 819]

vor 10 Stunden schrieb BSChris:

Nun möchte ich gewisse User die Rechte geben, andere User vom Server zu trennen.

Trennen oder eher abmelden?

[BSChris 14]

Hallo,

 

@Mr_Marple Naja es gibt immer mal eine Sitzung die sich aufhängt oder der User vergisst sich abzumelden und kommt am nächsten tag nicht mehr drauf. Dann muss man einen user abmelden.

Da ich dafür nicht immer Zeit habe und auch telefonisch nicht immer zu erreichen bin, möchte ich eine gewisse Gruppe die Rechte geben, die Verbindung von manchen User trennen zu können bzw. abzumelden.

@daabm Leider nur lokaler Admin ja?

Schade hätte gedacht es gibt noch eine andere Gruppe die nicht als so viele Rechte dann hat.

 

Mfg

Chris

vor 8 Stunden schrieb Sunny61:

Trennen oder eher abmelden?

Dann eher abmelden.

[Sunny61 819]

So einen Abmeldevorgang kann man sicher mit Hilfe der Powershell durchführen. Falls ja, dann könnte ein Würgaround helfen:

 

Ein User erstellt eine TXT mit dem Anmeldenamen des Users, der abgemeldet werden soll, legt die TXT in eine vordefinierte Freigabe. Dein Powershellscript prüft alle x Minuten nach ob es eine neue TXT in der Freigabe gibt. Wenn ja, TXT einlesen und löschen und den User abmelden.

[testperson 1.761]

Hi,

 

das konnte man früher™ bis 2008 R2 in der "tsconfig.msc" recht einfach und granular berechtigen. Mir ist nur ein Weg bekannt, einer Gruppe Vollzugriff zu erteilen, was wohl ein bisschen viel ist:

$TSPermCIM = Get-CimInstance -Namespace root/CIMV2/TerminalServices -ClassName Win32_TSPermissionsSetting -Filter 'TerminalName="RDP-Tcp"'
Invoke-CimMethod -InputObject $TSPermCIM -MethodName AddAccount -Arguments @{AccountName = '<Domäne>\<Gruppe>'; PermissionPreSet = 2}

Das Problem scheint hier das "PermissionPreset" (https://support.microsoft.com/en-us/help/290720/how-to-add-a-user-to-terminal-services-rdp-permissions-by-using-wmi) zu sein, welches nur 0, 1, 2 (und 3) kennt. Die Cim-Instanz liefert zumindest einen "StringSecurityDescriptor". Sofern der sich bearbeiten lässt, sollte man da die passenden Berechtigungen für eine Abmeldung setzen können.

 

Gruß

Jan

 

 

[Mr_Marple 15]

vor einer Stunde schrieb BSChris:

 

@Mr_Marple Naja es gibt immer mal eine Sitzung die sich aufhängt oder der User vergisst sich abzumelden und kommt am nächsten tag nicht mehr drauf. Dann muss man einen user abmelden.

Für die allermeisten Fälle reichen da die Sitzungseinstellungen, zB. eine getrennte Sitzung nach 3 Stunden automatisch beenden, bzw. Sitzungen im Leerlauf usw...

Lokale Adminrechte würde ich nicht vergeben, dann ist dein Terminal womöglich schneller hinüber als dir lieb ist!

Zur Not hätte ich es wie Sunny61 gemacht. Durch solche Trigger Skripts kann man viel machen lassen.

[BSChris 14]

Hi,

 

ich bedanke mich erst einmal bei euch. Werde dann wohl mal beide Versionen durchtesten, was am ende einfacher für die Benutzer zu händeln ist.

Mir fällt gerade ein, das man doch auch eine Interaktive Anmeldung am Server für einen User verbieten kann. Könnte er denn trotzdem noch ein App auf dem RDS Session Host starten?

Ich werde das auch noch einmal ausprobieren.

 

Ich werde berichten, vielen Dank hierfür.

 

Gruß

Chris

[magheinz 110]

Nicht vergessen dass dann auch Dateien und Anwendungen abgeschossen werden! 

[daabm 1.391]

RDP bedingt interaktiv, und "nur eine Anwendung" ist halt auch eine Anmeldesitzung. Also "nein".

[joehuabe 0]

Guten Morgen, 

 

um einen Benutzer remote auf einem Server abmelden zu können, werden Adiministrative Rechte auf dem jeweiligen Server benötigt.

Natürlich kann man die Sessions von jedem beliebigen CLient im Netzwerk erledigen.

Die Google-Suche hat hierzu eine gute Anleitung ausgespuckt:

https://www.itnator.net/windows-benutzer-remote-abmelden-mit-cmd/

 

Gruß