Düzeltme: Kayıtlı RDP Kimlik Bilgileri Windows'ta Çalışmadı
Yerleşik Windows Uzak Masaüstü istemcisi (
mstsc.exe) uzak bilgisayara bağlanmak için kullanılan kullanıcı adını ve parolayı kaydetmenize olanak tanır. Bu sayede kullanıcının bilinen bir Uzak Masaüstü ana bilgisayarına bağlanmak için her defasında parola girmesi gerekmez. Bu makalede, Windows'ta RDP bağlantıları için kayıtlı kimlik bilgilerinin kullanılmasına nasıl izin verileceği ve kullanıcılar Uzak Masaüstü bağlantıları için kayıtlı şifreleri kullanamıyorsa ne yapılacağına bakacağız (şifre her seferinde istenir)
GPO aracılığıyla RDP Bağlantısı için Kayıtlı Kimlik Bilgileri Yetkilendirmesine İzin Ver
Varsayılan olarak Windows, kullanıcıların parolalarını RDP bağlantıları için kaydetmelerine izin verir. Bunu yapmak için, kullanıcının RDP bilgisayarının adını, kullanıcı adını girmesi ve Uzak Masaüstü Bağlantısı (mstsc.exe) istemci penceresinde “Kimlik bilgilerini kaydetmeme izin ver” kutusunu işaretlemesi gerekir. Bir kullanıcı "Bağlan " düğmesini tıkladıktan sonra, RDP sunucusu parolayı sorar ve Windows parolayı Kimlik Bilgisi Yöneticisine kaydeder (.RDP dosyasına değil).
Aynı kullanıcı altında uzak bir RDP ana bilgisayarına bir sonraki bağlanışınızda, istemci kaydedilen parolayı Windows Kimlik Bilgileri Yöneticisi'nden otomatik olarak alacak ve RDP kimlik doğrulaması için kullanacaktır.
Bu bilgisayar için kaydedilmiş bir şifre varsa, RDP istemci penceresinde aşağıdaki mesaj görünecektir:
Saved credentials will be used to connect to this computer. You can edit or delete these credentials.
Çoğu durumda yöneticiler, kullanıcıların bağlantı parolalarını Windows'ta kaydetmelerini önermez. Örneğin, bir Active Directory etki alanında şeffaf kimlik doğrulama için RDP için SSO'yu (Tek Oturum Açma) yapılandırmak daha iyidir.
Varsayılan olarak Windows, bir kullanıcının Active Directory etki alanına katılmış bir bilgisayardan başka bir etki alanındaki veya çalışma grubundaki bir ana bilgisayara bağlanmak için kaydedilmiş bir RDP parolası (kimlik bilgileri) kullanmasına izin vermez. Bağlantı parolası Kimlik Bilgileri Yöneticisi'nde saklanmasına rağmen, Windows bunun kullanılmasına izin vermez ve kullanıcının her seferinde parola girmesini ister. Ayrıca Windows, etki alanınız yerine yerel hesabınızla bağlanırsanız kayıtlı RDP parolasını kullanmanızı engeller.
Bu durumda, kaydedilen RDP şifresini kullanarak bağlanmaya çalışırsanız şu hata mesajı görünür:
Your credentials did not work
Your system administrator does not allow the use of saved credentials to log on to the remote computer CompName because its identity is not fully verified. Please enter new credentials.
Bu bilgisayar ile başka bir etki alanındaki (veya bir çalışma grubundaki) uzak bilgisayar arasında güven olmadığından, Windows bağlantıyı güvensiz olarak kabul eder.
RDP bağlantısı kurmaya çalıştığınız bilgisayarda bu ayarları değiştirebilirsiniz:
basarak Yerel Grup İlkesi Düzenleyicisini açın.
Win + R-> gpedit.msc;
GPO düzenleyicide, Bilgisayar Yapılandırması -> Yönetim Şablonları -> Sistem -> Kimlik Bilgileri Yetkilendirmesi'ne gidin. Kayıtlı kimlik bilgilerinin yalnızca NTLM sunucu kimlik doğrulamasıyla devredilmesine izin ver adlı politikayı bulun;
Politikayı etkinleştirin ve Göster'i tıklayın;
RDP üzerinden erişildiğinde kayıtlı kimlik bilgilerini kullanmasına izin verilen uzak ana bilgisayarların listesini belirtin. Uzak bilgisayarların listesi aşağıdaki biçimde belirtilmelidir:
TERMSRV/server1— RDP üzerinden belirli bir bilgisayara/sunucuya erişmek için kayıtlı kimlik bilgilerinin kullanılmasına izin verin;
TERMSRV/*.a-d.site— a-d.site etki alanındaki tüm bilgisayarlara kaydedilmiş kimlik bilgileriyle RDP bağlantıları kurmaya izin verin;
TERMSRV/*— herhangi bir uzak bilgisayara bağlanmak için kayıtlı bir parolanın kullanılmasına izin verin.
İpucu. yazdığınızdan emin olunTERMSRVanahtar kelime büyük harfle. Bilgisayar adı, RDP istemci bağlantısı alanında belirttiğiniz adla tam olarak eşleşmelidir.
-
Benzer şekilde, TERMSRV/ değerlerinizi etkinleştirin ve Kayıtlı Kimlik Bilgilerinin Delegasyonuna İzin Ver politikasına ekleyin;
Aşağıdaki kayıt defteri ayarları, yukarıdaki GPO seçeneklerine karşılık gelir:
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation] "AllowSavedCredentialsWhenNTLMOnly"=dword:00000001 “AllowSavedCredentials”=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly] "1"="TERMSRV/*" [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials] "1"="TERMSRV/*" [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation] “AllowSavedCredentialsWhenNTLMOnly”=dword:00000001 “AllowSavedCredentials”=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly] "1"="TERMSRV/*" [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials] "1"="TERMSRV/*" Aşağıdaki seçeneğin devre dışı olup olmadığını kontrol edin Ağ erişimi: Ağ kimlik doğrulaması için parolaların ve kimlik bilgilerinin depolanmasına izin verme (Bilgisayar Yapılandırması -> Windows Ayarları -> Güvenlik Ayarları -> Yerel İlkeler -> Güvenlik Seçenekleri). Bu ayar etkinleştirilirse kullanıcı, parolayı Kimlik Bilgisi Yöneticisi kasasına kaydetmeye çalışırken bir hata alır:
Credential Manager Error Unable to save credentials. To save credentials in this vault, check your computer configuration. Error code: 0x80070520 Error Message: A specified logon session does not exist. It may already have been terminated.Kaydedilmiş kimlik bilgilerini devretmeyi reddet ilkesinin devre dışı (veya yapılandırılmamış) olduğundan emin olun. GPO'yu Reddet politikaları, izin verilenlere göre önceliklidir;
Bu komutu kullanarak değişiklikleri kaydedin ve GPO ayarlarını güncelleyin:
gpupdate /force
Artık, RDP ana bilgisayarına bağlanırken, mstsc istemcisi kayıtlı kimlik bilgilerinizi kullanabilir.
RDP bağlantıları için kayıtlı parolaları şu komutla listeleyebilirsiniz:
cmdkey /list ^| findstr "target=TERMSRV"
Kayıtlı bağlantı şifrelerini silmek için şu komutu çalıştırın:
For /F "tokens=1,2 delims= " %G in ('cmdkey /list ^| findstr "target=TERMSRV"') do cmdkey /delete %HYerel Grup İlkesi Düzenleyicisi'ni kullanarak yalnızca yerel bilgisayarda RDP kayıtlı kimlik bilgileri ilkesini değiştirebilirsiniz. Bu ayarları etki alanındaki birden çok bilgisayara uygulamak istiyorsanız, kullanılarak yapılandırılan etki alanı GPO'sunu kullanın.
gpmc.msc(Grup İlkesi Yönetimi) konsolu.
Windows Neden Uzak Masaüstü Kimlik Bilgilerini Kaydetmiyor?
Windows'u yukarıdaki yönergeleri izleyerek yapılandırdıysanız, ancak RDP istemciniz her bağlanmaya çalıştığınızda parola girmenizi istiyorsa, aşağıdakileri kontrol etmekte fayda var:
Uzak Masaüstü Bağlantısı penceresinde “Seçenekleri Göster”'i tıklayın ve “Her zaman kimlik bilgilerini sor” seçeneğinin işaretli olmadığından emin olun;
Bağlantı için bir .RDP dosyası kullanıyorsanız, "kimlik bilgilerini sor" parametresinin değerinin 0 olduğundan emin olun (
prompt for credentials:i:0);
Yerel GPO Düzenleyicisini açın (
gpedit.msc) ve Bilgisayar Yapılandırması -> Yönetim Şablonları -> Windows Bileşenleri -> Uzak Masaüstü Hizmetleri -> Uzak Masaüstü Bağlantı İstemcisi'ne gidin. Parolaların kaydedilmesine izin verme ve İstemci bilgisayarda kimlik bilgilerini sor” seçenekleri ayarlanmamalı veya devre dışı bırakılmamalıdır. Ayrıca, bilgisayarınızda ortaya çıkan Grup İlkesinde bu ilke ayarının devre dışı bırakıldığından emin olun (gpresult komutunu kullanarak uygulanan GPO ayarlarıyla bir HTML raporu oluşturabilirsiniz);
Kayıtlı tüm parolaları Windows Kimlik Bilgileri Yöneticisi'nden silin. Tip
control userpasswords2ve Kullanıcı Hesapları penceresinde Gelişmiş sekmesine gidin ve Şifreleri Yönet'i tıklayın;
Bir sonraki pencerede Windows Kimlik Bilgileri'ni seçin. Kayıtlı tüm RDP şifrelerini bulun ve silin (ile başlarlar)
TERMRSV/…).
Bu pencerede, RDP bağlantıları için kimlik bilgilerini manuel olarak ekleyebilirsiniz. Lütfen bir RDP sunucusunun/bilgisayarının adının belirtilmesi gerektiğini unutmayın.TERMRSV\server_name1biçim. Bilgisayarınızdaki RDP bağlantı geçmişini temizlediğinizde kayıtlı şifreleri silmeyi unutmayın.
Uzak sunucu uzun süredir güncellenmemişse ve sunucuya bağlanmaya çalışırken, kaydedilen RDP kimlik bilgileriyle oturum açamazsınız ve CredSSP şifreleme oracle düzeltme hatası görünür.
Bundan sonra, kullanıcılar kayıtlı şifrelerini RDP bağlantıları için kullanabilecekler.
Sunucunun Kimlik Doğrulama Politikası, Kayıtlı Kimlik Bilgileriyle Bağlantıya İzin Vermiyor
Kayıtlı kimlik bilgilerini kullanarak bir RDP ana bilgisayarına veya RDS grubuna bağlanırken bir hata görünebilir:
Windows Security
Your credentials did not work
The server’s authentication policy does not allow connection requests using saved credentials. Please enter new credentials.
Bu durumda, uzak sunucuda “Her zaman bağlantıda parola sor” GPO seçeneğini devre dışı bırakmanız gerekir (Bilgisayar Yapılandırması -> Yönetim Şablonları -> Windows Bileşenleri -> Uzak Masaüstü Hizmetleri -> Uzak Masaüstü Oturum Ana Bilgisayarı -> Güvenlik).
Bu politika etkinleştirilirse, RDP ana bilgisayarı her zaman istemciden bağlanmak için bir parola ister.
Bu seçeneği kayıt defteri aracılığıyla devre dışı bırakabilirsiniz:
REG add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fPromptForPassword /t REG_DWORD /d 0 /fWindows Defender Kimlik Bilgisi Koruması Kayıtlı Kimlik Bilgilerine İzin Vermiyor
Windows 11 22H2'ye güncelledikten sonra, kullanıcılar artık kayıtlı şifreleri RDP bağlantıları için kullanamayacaklarından şikayet etmeye başladılar:
Windows Security: Your credentials did not work
Windows Defender Credential Guard does not allow using saved credentials. Please enter your credentials.
Windows Defender Remote Credential Guard'ın (Windows 10 1607'de görünen), RDP bağlantıları için kimlik bilgilerinizi koruması beklenir. Varsayılan olarak Windows 11/10 22H2, RDP ana bilgisayarında Kerberos kimlik doğrulaması kullanılırken yalnızca kayıtlı kimlik bilgilerinin kullanılmasına izin verir. Kerberos'u kullanamıyorsanız (etki alanı denetleyicisi kullanılamıyorsa veya bir çalışma grubundaki bir ana bilgisayara bağlanıyorsanız), Remote Credential Guard, NTLM kimlik doğrulamasını engeller.
Credential Guard'ı kayıt defterinden devre dışı bırakarak bu sorunu çözebilirsiniz:
New-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\LSA" -Name "LsaCfgFlags" -PropertyType "DWORD" -Value 0 -Force