RemoteApp .rdp 嵌入凭证？

Question

运行远程桌面服务的 Windows 2008 R2 服务器（我们过去常常称之为终端服务）。该服务器是托管应用程序的入口点——我想您可以将其称为软件即服务。我们有 3rd 方客户端连接使用它。

使用 RemoteApp 管理器构建 RemoteApp .rdp 快捷方式以分发到客户端工作站。这些工作站与 RDS 服务器不在同一个域中。域之间没有信任关系（也不会有）。在工作站和 RDS 服务器之间有一个严格控制的站点到站点 VPN，我们非常有信心我们可以访问锁定的服务器。

正在运行的 remoteApp 是一个具有自己的身份验证方案的 ERP 应用程序。

问题？我试图避免在连接到 RemoteApp 服务器时为每个最终用户创建 AD 登录名。事实上，由于我们正在做一个 remoteApp 并且他们必须对该应用程序进行身份验证，我宁愿根本不提示他们提供 AD 凭据。我当然不希望他们陷入管理仅用于获取 ERP 登录名的帐户的 AD 密码（和定期到期）中。

但是，我不知道如何在 RemoteApp .rdp 文件中嵌入 AD 凭据。我真的不想在该级别关闭 RDS 服务器上的所有身份验证。

有什么好的选择吗？我的目标是使最终用户尽可能无缝。

欢迎澄清问题。

Answer 1

可以在 .rdp 文件中嵌入密码，但密码是使用本地用户帐户的 SID 加密的，这样 .rdp 文件就不能在用户或计算机之间互换。这种行为是设计使然：Microsoft 不希望入侵者能够通过从某人的桌面窃取 .rdp 文件来获取终端服务器的密钥。

幸运的是，有一个相当详细的解决方法。基本上，您需要通过用户运行的批处理文件或脚本“即时”创建 .rdp 文件，而不是mstsc.exe直接调用。您的脚本会创建适当的 .rdp 文件，并mstsc.exe在此过程中以在当前用户的上下文中接受密码的方式对密码进行加密。

资源：

• RDP 密码是如何加密的（包括源代码和二进制文件）
• 使用密码自动创建 RDP 文件（包括二进制文件）
• 在 Python 中加密 RDP 密码（包括源代码）

上述每篇文章都包含指向可用于加密 RDP 密码和/或源代码的工具的链接。如果可行，我建议从源代码工作。（与往常一样，使用由 Internet 陌生人编译的二进制文件需要您自担风险。）