只允许 RemoteApp，不允许远程桌面

Question

我发现以下问题具有类似的前提，但是问题的答案是将问题改写为陈述！

RemoteApp 阻止用户运行远程桌面

如何允许 RemoteApp 但不允许远程桌面？为了允许远程应用程序，我似乎不得不将用户添加到“远程桌面用户”组。这允许远程桌面。

我尝试使用“TS Web Access Computers”组，但这并没有授予他们运行 RemoteApp 的权限。

禁用远程桌面的配置在哪里，同时保持 RemoteApp 功能不变？

Answer 1

没有“官方认可”的方式来做到这一点，因为从根本上说，TS RemoteApp 功能只是利用现有的远程桌面代码。你可以做一些愚蠢的事情，比如使用组策略将用户的 shell 设置为“logoff.exe”，这样如果他们试图访问机器的桌面，他们就会被立即注销。但是，任何使用通用“文件/打开”对话框的应用程序都可用于在服务器桌面上打开命令提示符或其他程序。

您最好确保遵循最小权限原则，并为您的 TS RemoteApp 用户提供运行预期软件所需的最少权限。如果他们最终出现在服务器计算机的桌面上，他们的受限权限应该可以防止他们对服务器计算机进行任何损害。