Active Directory и служба терминалов одной машине

Хотите поделиться интересным решением, идеей, просто помочь другим не наступать на известные грабли? Или почитать заметки бывалых о работе с терминальными серверами Windows?
Ответить
aka
Разработчик
Разработчик
Сообщения: 11806
Зарегистрирован: Ср окт 01, 2003 12:06 am
Откуда: Роcсия, Тольятти
Контактная информация:

Active Directory и служба терминалов одной машине

Сообщение aka »

Microsoft по умолчанию запрещает работать простым пользователям на контроллере Active Directory. Но если вдруг очень понадобилось...

Содрано отсюда.

У пользователя должно быть разрешение на интерактивный вход в систему (регистрация с клавиатуры), поскольку подключение к терминальному серверу приравнивается системой безопасности Windows 2000 к интерактивному. На обычном сервере и рабочей станции это разрешение есть у всех пользователей, но на контроллере домена для обычных пользователей, не входящих в группы администраторов или операторов (Server Operators и т. д.), интерактивный вход по умолчанию запрещен. Как следствие, пользователи не могут подключиться к терминальному серверу, если он является контроллером домена. Сообщение об ошибке при этом выдается именно такое, которое указано в письме. Чтобы сменить разрешения на интерактивный вход, необходимо изменить групповую политику контроллеров домена. Следует открыть оснастку Active Directory Users and Computers -> [имя-домена] -> папка Domain Controllers -> свойства -> вкладка Group Policy. Там вы найдете объект групповой политики (GPO) под названием "Default Domain Controllers Policy". Нужно выделить этот объект и нажать кнопку Edit - запустится редактор групповой политики. В редакторе следует открыть раздел Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> User Rights Assigment. В этом разделе нужно найти разрешения на системные действия, такие, как интерактивный вход, перевод системных часов и т. д. Разрешение на интерактивный вход называется "Log on Locally". Требуется открыть его двойным щелчком мыши, добавить в список соответствующих пользователей, нажать OK. Записывать на диск ничего не нужно. Далее следует либо подождать 5 мин, либо вручную ускорить процесс применения групповой политики, набрав в командной строке: secedit /refreshpolicy machine_policy. Имейте в виду - если контроллеров домена несколько, может потребоваться дополнительное время на репликацию групповой политики с контроллера на контроллер.
Ejean
Сообщения: 403
Зарегистрирован: Сб апр 16, 2005 9:30 am
Контактная информация:

Сообщение Ejean »

Я делаю иначе. Если ОЧЕНЬ нужно работать на контролере:
создаю пользователя с МАКСИМАЛЬНО урезанными правами, делаю автологон, вместо эксплорера загружается скрипт с автоподключением к терминальной сессии 127.0.0.1.

В результате решаются проблемы: консольный пользователь максимально ограничен в правах, сеанс работабщего пользователя может переключатся на другие компы, забытый сеанс можно отключить (не завершая).
Sanya
Сообщения: 19
Зарегистрирован: Вс июн 27, 2004 5:17 pm
Откуда: Челябинск

Re: Active Directory и служба терминалов одной машине

Сообщение Sanya »

aka писал(а):Microsoft по умолчанию запрещает работать простым пользователям на контроллере Active Directory. Но если вдруг очень понадобилось...

Содрано отсюда.

У пользователя должно быть разрешение на интерактивный вход в систему (регистрация с клавиатуры), поскольку подключение к терминальному серверу приравнивается системой безопасности Windows 2000 к интерактивному. На обычном сервере и рабочей станции это разрешение есть у всех пользователей, но на контроллере домена для обычных пользователей, не входящих в группы администраторов или операторов (Server Operators и т. д.), интерактивный вход по умолчанию запрещен. Как следствие, пользователи не могут подключиться к терминальному серверу, если он является контроллером домена. Сообщение об ошибке при этом выдается именно такое, которое указано в письме. Чтобы сменить разрешения на интерактивный вход, необходимо изменить групповую политику контроллеров домена. Следует открыть оснастку Active Directory Users and Computers -> [имя-домена] -> папка Domain Controllers -> свойства -> вкладка Group Policy. Там вы найдете объект групповой политики (GPO) под названием "Default Domain Controllers Policy". Нужно выделить этот объект и нажать кнопку Edit - запустится редактор групповой политики. В редакторе следует открыть раздел Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> User Rights Assigment. В этом разделе нужно найти разрешения на системные действия, такие, как интерактивный вход, перевод системных часов и т. д. Разрешение на интерактивный вход называется "Log on Locally". Требуется открыть его двойным щелчком мыши, добавить в список соответствующих пользователей, нажать OK. Записывать на диск ничего не нужно. Далее следует либо подождать 5 мин, либо вручную ускорить процесс применения групповой политики, набрав в командной строке: secedit /refreshpolicy machine_policy. Имейте в виду - если контроллеров домена несколько, может потребоваться дополнительное время на репликацию групповой политики с контроллера на контроллер.
А что сначала ставить АД или ТС?
aka
Разработчик
Разработчик
Сообщения: 11806
Зарегистрирован: Ср окт 01, 2003 12:06 am
Откуда: Роcсия, Тольятти
Контактная информация:

Сообщение aka »

Не важно. И так, и так должно сработать.
Ответить

Вернуться в «Tips and tricks»