通过组策略编辑“远程桌面用户”

Question

我在一个域中有许多 Windows 2003 和 2008 服务器。我想启用远程桌面并控制具有远程桌面权限（不是终端服务）的组，但我不知道如何通过组策略来做到这一点；即使在分配“允许通过终端服务登录”后，帐户也无法登录。

转到我的电脑 -> 远程设置 -> 选择用户并添加用户或组工作正常。

如何将此设置推送到组策略？

Answer 1

后者意味着为“计算机->远程设置->选择用户”填充特定机器的远程桌面用户组。默认情况下，远程桌面用户组有权通过 RDP 登录到服务器。

您的 GPO 方法应该有效。您确定没有另一个 GPO 强制执行允许通过终端服务登录的不同用户/组列表吗？

我建议通过组策略控制远程桌面用户的成员资格。组策略首选项使这变得容易。请参阅http://support.microsoft.com/kb/943729，了解需要在要 RDP 的服务器上安装的 CSE 和 XMLLite（2003 年版）的详细信息。创建 GPO（或编辑现有 GPO）以使用组策略首选项将预定义组添加到所有预期服务器的远程桌面用户组中。1. 导航计算机配置/首选项/本地用户和组。2. 添加新组 3. 从下拉列表中选择远程桌面用户（内置） 4. 选择要添加的用户/组

以上仅对远程桌面用户组成员资格进行排序。您还需要在机器上单独启用RDP。启用“允许用户使用远程桌面服务远程连接” computer configuration\policies\administrative templates\windows components\remote desktop services\remote desktop session host\connections。

您可能还需要启用防火墙规则。您可以使用computer configuration\policies\Windows Settings\Security\Windows firewall with advanced security\Windows Firewall with Advanced Security - LDAP://cn={GUID}启用相关配置文件并使用规则编辑器使用远程桌面的预定义服务创建规则。这可以处理 Windows 2008 及更高版本。

对于 2003，使用计算机配置\策略\管理模板\网络\网络连接\windows 防火墙，然后根据相关配置文件排除远程桌面流量。