嵌套AD组RDP权限不应用于新的Windows 2019 VM

Question

没有答复的类似问题：在本地计算机组中工作的嵌套AD组，但是某些服务器不允许RDP？

我只是刚接触到这个环境，从我接手的人也经历过这个问题，但并没有走得太远(被认为是低优先级，因为它最终纠正了自己)。

在构建一个新的VM (VMWare)并在其上安装Windows2019之后，使用任务序列。任务序列为每个新服务器创建本地管理全局组，然后将它们添加到默认的本地管理组中。然后，全局组将我们的团队管理组添加到其中，并配置了一个GPO以允许RDP。有些服务器存在不允许网络管理员对其进行RDP访问的问题，但域管理工作是可行的。除了这个问题，我看不出他们之间有什么共同之处，只发生在星期五(这可能暗示了一些进程/任务，我不知道星期五是否运行，这会导致传播延迟)。

服务器1:新的VM，任务序列部署的操作系统，连接到域没有问题，我可以RDP到它没有问题。

服务器2:新VM，同一任务序列在几分钟后运行/同时连接到域，可以通过控制台登录，但RDP给出“未授权rdp”。

此后，每个服务器都有相同的问题，但它之前的服务器没有问题，尽管所有服务器都是在大致相同的时间创建的。前一天，我能够做到完全相同的事情(多个服务器同时使用相同的任务序列部署)，没有任何问题，然后大约到周五的一半时间，他们就开始出现RDP问题。我可以为他们下载更新和做其他事情，所以我知道这不是一个网络问题。

同样奇怪的是，我获得了这个组允许的其他权限(即:管理权限)，而不是RDP。

我注意到，如果我删除我们的团队管理组，并将我的帐户直接添加到本地管理全局组，RDP立即工作，但一旦我删除它并将我的团队添加回来，它就不起作用了。

这只发生在一些服务器上，而不是所有服务器上，我无法在它们之间找到任何联系，它们在组、权限和GPO方面看起来都完全一样，但有些服务器将允许RDP，而有些服务器则不允许RDP。值得注意的是，如果我等到下周一/周二，这一切都会好起来，你甚至都不会知道最初有什么问题。

我怀疑有某种bug在起作用，与一些我不知道的进程混合在一起，这导致了这个问题。然而，试图把它作为补救措施已经被证明是相当困难的。有什么想法/建议吗？

Answer 1

在快速阅读了您的问题之后，我怀疑这是与组策略相关的。如果您正确配置组策略，它们将提供一个稳定、安全、可靠的环境--需要考虑许多方面。·在计算机上启用远程桌面。谁可以这么做？？您是否使用防火墙?我有一个适用于所有可靠工作的计算机和用户的GPO。域结构如下:组策略管理林:您的域名称，本地域诉您的域-名称。本地公司名称OU -我在这里创建了我的GPO o计算机、台式机、膝上型计算机服务器

1. 创建名为CN_ GPO -001的新GPO，将IT支持添加到本地管理和RDP中
2. 在范围选项卡上，检查它应该包含的安全筛选：认证的用户域计算机
3. 编辑GPO Goto：

计算机配置策略Windows设置安全设置限制组=BUILTIN\管理员成员=您的-域名称\ItsupportUser，您的-域名\G-IT支持组，您的-域名\域管理员，您的-域名称\ad禁忌更新，您的-域名称\管理员YOUR

·组=BUILTIN\远程桌面用户·Members =您的域名\G-IT支持组您的域名\Itsupport用户

具有高级安全性的Windows防火墙与高级安全全局设置策略设置策略2.26禁用有状态FTP未配置禁用有状态PPTP未配置IPsec豁免未配置IPsec通过NAT未配置Preshared密钥编码未配置SA空闲时间未配置强检查未配置

入站规则名称描述远程桌面-阴影(TCP-In)远程桌面服务的入站规则，以允许对现有远程桌面会话进行隐藏。(TCP-In)此规则可能包含一些不能由当前版本的GPMC报告模块解释的元素。

启用真程序%SystemRoot%\system32\RdpSa.exe操作允许安全性要求认证授权计算机

授权用户

协议6本地端口、任何远程端口、任何ICMP设置、任何本地范围、任何配置文件、所有网络接口类型、所有服务、所有程序和服务允许边缘遍历、True Group远程桌面

远程桌面-远程桌面服务的用户模式(UDP-In)入站规则，以允许RDP通信。UDP 3389此规则可能包含一些不能由当前版本的GPMC报告模块解释的元素。

启用真程序%SystemRoot%\system32\svchost.exe操作允许安全性要求认证授权计算机

授权用户

协议17本地端口3389远程端口任何ICMP设置任何本地范围任何远程范围任何配置文件所有网络接口类型所有服务术语服务允许边缘遍历错误组远程桌面

远程桌面-远程桌面服务的用户模式(TCP-In)入站规则，以允许RDP通信。TCP 3389此规则可能包含一些不能由当前版本的GPMC报告模块解释的元素。

启用真程序%SystemRoot%\system32\svchost.exe操作允许安全性要求认证授权计算机

授权用户

协议6本地端口3389远程端口任何ICMP设置任何本地范围任何远程范围任何配置文件所有网络接口类型所有服务术语服务允许边缘遍历错误组远程桌面

 入站规则RDP端口3389 RDP端口3389入站规则RDP端口3389的入站规则可能包含一些不能由当前版本的GPMC报告模块解释的元素

启用的真程序任何允许安全的操作都需要认证授权的计算机

授权用户

协议6本地端口3389远程端口任何ICMP设置任何本地范围任何远程范围任何配置文件域网络接口类型所有服务所有程序和服务允许边缘遍历错误组

连接安全设置无

我已经为Windows的两个版本添加了管理模板文件，即从本地计算机检索的IE20H2和21H1管理模板策略定义(ADMX文件)。

Windows组件/远程桌面服务/远程桌面会话主机/连接策略设置注释允许用户使用启用的远程桌面服务进行远程连接

从本地计算机检索的用户配置(已启用)策略管理模板策略定义(ADMX文件)。Windows组件/远程桌面服务/远程桌面会话主机/连接策略设置已启用远程桌面服务用户会话远程控制的注释集规则

希望这能有所帮助

Answer 2

首先，自定义AD组是否在受影响的服务器上降落在正确的本地组中？如果它们已被添加，则应在每个框上的计算机管理中看到它们。在任务序列添加新组之前，您可能会在复制新组时遇到延迟。

如果可以，我建议创建组是您顺序中的第一项任务。希望构建的其余部分比AD更改传播到每个DC的间隔更长--显然，如果复制需要一个小时，这可能是一个问题。一个解决办法是在创建组SID时捕获它，并使用它添加到您的本地组中。当AD赶上时，您应该会在框中看到组名的更新。

如果组在问题服务器上，我建议运行一个GPResult /H，看看它是否得到了它应该得到的所有策略。顺便说一句，如果您的任务序列在安装操作系统后没有执行两次重新启动，我强烈建议您这样做。例如，执行OS基线安装，连接到域，重新启动，配置本地组，其他构建后活动，重新启动。

默认情况下，本地管理员具有RDP访问权限，因此我不明白为什么在其上面有一个额外的允许-RDP策略(除非已经以其他方式禁用了它)。如果管理员受到RDP访问的限制，或者您的组不应该在管理员中，我建议将AD组嵌套到任务序列中的远程桌面用户区域组中，而不是通过GPO (当然，这应该会起作用)。