Yönetici Olmayan Kullanıcıların Windows Sunucusuna RDP Erişimine İzin Ver

Varsayılan olarak, Windows Server üye sunucularının veya Active Directory etki alanı denetleyicilerinin masaüstüne RDP erişimi, yerel Yöneticiler veya Etki Alanı Yöneticileri gruplarına eklenen kullanıcılarla sınırlıdır. Bu gönderide, yönetici olmayan kullanıcılara yerel yönetici hakları atamadan Windows Server ana bilgisayarlarına veya etki alanı denetleyicilerine nasıl RDP erişimi vereceğinizi göstereceğiz.

Varsayılan olarak, Windows güvenlik ayarları, aşağıdaki durumlarda uzak bir kullanıcının Uzak Masaüstü Hizmetleri (TermService) aracılığıyla RDP bağlantıları yapmasına izin verir:

• Kullanıcı, yerel Yöneticiler veya Uzak Masaüstü Kullanıcıları grubunun bir üyesidir;

• Yerel Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver politikası, kullanıcının bağlanmasına izin verir.

Uzaktan Oturum Açmak İçin Uzak Masaüstü Hizmetleri Aracılığıyla Oturum Açma Hakkına İhtiyaç Duyarsınız

Kullanıcı, Windows Server masaüstüne uzaktan bağlanmaya çalışırken bir hata alıyor:

To sign in remotely, you need the right to sign in Remote Desktop Services. By default only members of the Administrators group have this right. If the group you’re in doesn’t have this right, or if the right has been removed from Administrators group, you need to be granted this right manually.

Uzak ana bilgisayardaki RDP ayarında Ağ Düzeyinde Kimlik Doğrulama (NLA) etkinleştirildiyse, bağlanırken başka bir hata oluşur:

The connection was denied because the user account is not authorized for remote login.

Bu durumda, RDP aracılığıyla Windows Server'a bağlanmasına izin vermek için kullanıcıyı yerel Uzak Masaüstü Kullanıcıları grubuna eklemeniz yeterlidir:

1. Yerel Kullanıcılar ve Gruplar MMC ek bileşenini açın (

   lusrmgr.msc

   ) ve Gruplar bölümüne gidin;

2. Uzak Masaüstü Kullanıcıları grubunu çift tıklayın;

3. Ekle düğmesine tıklayın ve RDP erişimi vermek istediğiniz kullanıcının (veya grubun) adını girin;

   

4. Kullanıcılar daha sonra Windows ana bilgisayarına RDP aracılığıyla bağlanabilir.

Komut satırından bir RDP erişim grubuna kullanıcı eklemek de mümkündür:

net localgroup "Remote Desktop Users" /add a-d\testuser

veya PowerShell kullanarak (Yerel kullanıcıları ve yerel grupları PowerShell ile nasıl yöneteceğiniz hakkında daha fazla bilgi edinin).

Add-LocalGroupMember -Group "Remote Desktop Users" -Member testuser

Uzak Masaüstü Kullanıcıları grubundaki kullanıcıları listeleyin:

Get-LocalGroupMember -Group 'Remote Desktop Users'

Varsayılan olarak, Windows Server iki eşzamanlı Uzak Masaüstü oturumuna izin verir. Bu, iki kullanıcının kendi Uzak Masaüstü oturumlarında aynı anda çalışabileceği anlamına gelir. Daha fazla eşzamanlı RDP bağlantısına ihtiyacınız varsa, RDS Lisans Sunucusunda lisanslar (RDP CAL'ler) satın alıp etkinleştirmeniz ve Uzak Masaüstü Hizmetleri rolünü yüklemeniz gerekir (bu, bağımsız bir RDSH sunucusu veya birkaç ana bilgisayardan oluşan tam bir RDS grubu olabilir) .

Bir RDS grubunda uzak masaüstü erişimi sağlamak için RDS Koleksiyonlarını kullanabilirsiniz. Sunucu Yönetici -> Uzak Masaüstü Hizmetleri -> Görevler -> Dağıtım Özelliklerini Düzenle'yi açın >.

Koleksiyonu açın ve Kullanıcı Grubu bölümü, o koleksiyondaki RDSH ana bilgisayarlarına bağlanmasına izin verilen güvenlik grubunu listeleyecektir.

Yönetici Olmayan Kullanıcı için Etki Alanı Denetleyicisine RDP Erişimine İzin Ver

Bir etki alanı denetleyicisinin masaüstüne normal (yönetici olmayan) bir kullanıcıya uzaktan erişim izni vermeniz gerekirse, yukarıda açıklanan yöntem çalışmaz.

Sunucu rolü, Active Directory etki alanı denetleyicisine yükseltildikten sonra, yerel kullanıcıları ve grupları Bilgisayar Yönetimi MMC ek bileşeninden yönetemezsiniz. Yerel Kullanıcılar ve Gruplar konsolunu açmaya çalıştığınızda (

lusrmgr.msc

), aşağıdaki hata görünür:

The computer xxx is a domain controller. This snip-in cannot be used on a domain controller. Domain accounts are managed with the Active Directory Users and Computers snap-in.

Gördüğünüz gibi, etki alanı denetleyicisinde yerel grup yok. DC, yerel Uzak Masaüstü Kullanıcıları grubu yerine yerleşik etki alanı grubu Uzak Masaüstü Kullanıcıları'nı kullanır (Yerleşik kapsayıcıda bulunur). Bu grubu ADUC konsolundan veya DC komut isteminden yönetebilirsiniz.

Ancak, kullanıcının etki alanındaki tüm DC'lere erişmesini sağlayacağından, Uzak Masaüstü erişimi vermek için bu grubun kullanılması önerilmez. Bu durumda, Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver politikasını kullanarak izin vermek daha iyidir.

Uzak Masaüstü Hizmetleri Üzerinden Oturum Açmaya Nasıl İzin Verilir?

Bir etki alanı kullanıcısının veya grubun Windows'a RDP aracılığıyla uzaktan bağlanmasına izin vermek için onlara şu izni vermelisiniz:

SeRemoteInteractiveLogonRight

ayrıcalık. Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver politikasını kullanarak bu izni verebilirsiniz.

Uzak Masaüstü Kullanıcıları grubunun üyeleri için alan denetleyicilerine uzaktan bağlantıya izin vermek üzere alan denetleyicinizde bu politikanın ayarlarını değiştirmeniz gerekir:

1. Yerel Grup İlkesi Düzenleyicisini açın (

   gpedit.msc

   );

2. Bilgisayar Yapılandırması -> Windows ayarları -> Güvenlik Ayarları -> Yerel ilkeler -> Kullanıcı Hakları Ataması GPO bölümüne gidin;

3. Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver politikasını bulun;

   Sunucu bir DC'ye yükseltildikten sonra, bu yerel ilkede kalan tek grup Yöneticiler grubudur (bunlar Etki Alanı Yöneticileridir).

4. Politikayı düzenleyin ve etki alanı kullanıcısını veya grubunu doğrudan ekleyin (

   domain\CA_Server_Admins

   ) ona;

   

5. Şu komutu kullanarak DC'deki Yerel Grup İlkesi ayarlarını güncelleyin: :

   gpupdate /force

Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver ilkesine eklediğiniz grubun, "Uzak Masaüstü Hizmetleri aracılığıyla oturum açmayı reddet " ilkesinde bulunmaması gerektiğini unutmayın; daha yüksek bir öncelik (Yerel kullanıcı hesapları altında uzaktan erişimi engelle makalesine bakın). Ayrıca, kullanıcıların oturum açabilecekleri bilgisayarların listesini kısıtlarsanız, sunucu adını AD'deki kullanıcı hesabı özelliklerine (LogonWorkstations kullanıcı özniteliği) eklemeniz gerekir.

İşleri kolaylaştırmak için etki alanında yeni bir güvenlik grubu oluşturabilirsiniz, örneğin AllowDCLogin. Ardından, DC'ye uzaktan erişmesine izin verilmesi gereken hesapları ilkeye ekleyin. Tüm AD etki alanı denetleyicilerine aynı anda erişime izin vermeniz gerekiyorsa, her DC'deki yerel ilkeyi düzenlemek yerine, Grup İlkesi Yönetim Konsolu'nu kullanarak kullanıcı grubunu Varsayılan Etki Alanı Denetleyicileri İlkesi'ne eklemek daha iyidir. (

GPMC.msc

). Bilgisayar Yapılandırması\Windows Ayarları\Güvenlik Ayarları\Yerel İlkeler\Kullanıcı Hakları Ataması bölümü altındaki Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver politika öğesini düzenleyin.

İlkeye eklediğiniz kullanıcılar artık AD etki alanı denetleyicisinin masaüstüne RDP aracılığıyla bağlanabilecektir.

İstenen RDP Oturum Erişimi Reddedildi

Bazı durumlarda, Windows Server etki alanı üyesi bir ana bilgisayara veya etki alanı denetleyicisine bağlanmak için RDP'yi kullandığınızda aşağıdaki hatayı alabilirsiniz:

The requested session access is denied.

Yönetici olmayan bir hesap kullanarak DC'ye bağlanırsanız aşağıdaki sorunlar ortaya çıkabilir:

• Sunucu konsoluna bağlanmaya çalışıyorsunuz (kullanarak

  mstsc /admin

  modu). Bu bağlantı moduna yalnızca yöneticiler için izin verilir. Sunucuya mstsc.exe istemcisi ile normal RDP modunda bağlanmaya çalışın (olmadan

  /admin

  seçenek);

• Ana bilgisayarda halihazırda iki etkin RDP oturumu olabilir (Varsayılan olarak, bir RDS rolü konuşlandırılmadan bir Windows Sunucusuna ikiden fazla eşzamanlı RDP oturumu bağlanamaz). Uzak bilgisayardaki etkin oturumların ve oturum açmış kullanıcıların listesini şu komutu kullanarak alabilirsiniz:

  qwinsta /server:dc01

  Yönetici izinleri olmadan diğer kullanıcıların oturumlarını sonlandıramazsınız. Yöneticilerin bir oturumu serbest bırakmasını veya sonlandırmasını beklemeniz gerekir;

• Windows Server ana bilgisayarında Kısıtlı Yönetici modu veya Windows Defender Remote Credential Guard etkin