如果這臺(tái)服務(wù)器本身就是域控制器，則需要通過活動(dòng)目錄用戶及計(jì)算機(jī)來進(jìn)行設(shè)置。網(wǎng)絡(luò)管理員打開“活動(dòng)目錄用戶與計(jì)算機(jī)”窗口，然后將用戶加入到遠(yuǎn)程桌面用戶組內(nèi)。如果這臺(tái)服務(wù)器不是域控制器，而是域環(huán)境內(nèi)的普通服務(wù)器，則可以通過依次打開“開始”、“管理工具”、“計(jì)算機(jī)管理”、“系統(tǒng)工具”、“本地用戶和組”命令，將用戶加入到遠(yuǎn)程桌面用戶組之內(nèi)。到此時(shí)為止，跟上面的沒有很大的不同，只是操作的地方存在差異而已。上面這種方式，可以直接在“遠(yuǎn)程”標(biāo)簽處把用戶加入到遠(yuǎn)程桌面用戶組中。而此時(shí)則需要通過專門的用戶管理界面來配置帳戶。這從根本來說，不會(huì)造成他們的安全性差異。而之所以在域環(huán)境中能夠?yàn)榻K端服務(wù)提供更好的安全性，主要是因?yàn)橄旅孢@個(gè)設(shè)置。

　　在域環(huán)境中，遠(yuǎn)程桌面用戶還必須具備“允許通過終端服務(wù)登陸”的權(quán)限。如果這臺(tái)服務(wù)器就是域控制器，則這個(gè)遠(yuǎn)程桌面用戶組默認(rèn)情況下是沒有“允許通過終端服務(wù)登陸”這個(gè)權(quán)限。這主要也是出于安全性的考慮。網(wǎng)絡(luò)管理員必須明確設(shè)定這臺(tái)服務(wù)器(域控制器)可以通過終端服務(wù)實(shí)現(xiàn)遠(yuǎn)程登陸。也就是說網(wǎng)絡(luò)管理員必須另外賦予該組這個(gè)權(quán)限之后管理員錯(cuò)菜可以進(jìn)行遠(yuǎn)程連接。若要賦予這個(gè)權(quán)限，網(wǎng)絡(luò)管理員需要依次打開“開始”、“管理工具”、“域控制器安全策略”、“安全設(shè)置”、“本地策略”、“用戶權(quán)限分配”，在打開的窗口中，再次點(diǎn)擊“通過終端服務(wù)允許登陸”選項(xiàng)，把這個(gè)遠(yuǎn)程桌面用戶組加入進(jìn)去即可。這個(gè)操作雖然簡單，但是卻極大的提高了終端服務(wù)遠(yuǎn)程連接的安全性。因?yàn)橛袝r(shí)候由于人為的疏忽，管理員可能在不需要這個(gè)終端服務(wù)的情況下，也會(huì)允許這個(gè)用戶組具有這個(gè)權(quán)限(默認(rèn)情況下有)。而不會(huì)在不需要的時(shí)候，主動(dòng)去禁用這個(gè)權(quán)限。所以這個(gè)措施可以大大的提高服務(wù)器的安全性，降低因?yàn)閱⒂昧私K端服務(wù)而對(duì)此造成的安全隱患。

　　這里要注意的是，這個(gè)設(shè)置不會(huì)馬上起效。設(shè)置完成之后，網(wǎng)絡(luò)管理員必須等到此策略應(yīng)用域控制后才有效。默認(rèn)情況下，系統(tǒng)會(huì)每隔五分鐘去檢測一下是否有新的安全策略，如果有的話，則會(huì)馬上應(yīng)用。如果網(wǎng)絡(luò)管理員等不及的話，則可以重新啟動(dòng)服務(wù)器。不過筆者不建議這么做。這主要是因?yàn)榉?wù)器頻繁啟動(dòng)對(duì)于服務(wù)器的穩(wěn)定性不利。而且此時(shí)可能有其他用戶連接到服務(wù)器生正在進(jìn)行操作，會(huì)影響他們的數(shù)據(jù)保存等等。如果網(wǎng)絡(luò)管理員連五分鐘也等不及，需要馬上啟用這個(gè)策略(如出于測試的需要)，則可以采用gpupdate /force命令來強(qiáng)制立即啟用策略。如此這個(gè)權(quán)限設(shè)置就會(huì)馬上生效。

　　三、用戶授權(quán)問題。

　　出于微軟的商業(yè)策略，微軟在終端服務(wù)上有授權(quán)的限制。當(dāng)網(wǎng)絡(luò)管理員安裝終端服務(wù)器之后，雖然可以供多人同是執(zhí)行位于終端服務(wù)器內(nèi)的應(yīng)用程序，但是這有一個(gè)120天的限制。終端服務(wù)器在120天后系統(tǒng)會(huì)拒絕用戶來連接，即拒絕網(wǎng)絡(luò)管理員通過終端服務(wù)登陸服務(wù)器。此時(shí)網(wǎng)絡(luò)管理員如果仍然需要利用這個(gè)終端服務(wù)的話，則必須在企業(yè)網(wǎng)絡(luò)中有一臺(tái)已經(jīng)被激活的“終端服務(wù)器授權(quán)服務(wù)器”，并且取得合法的授權(quán)連接數(shù)量。也就是說等到120天之后，網(wǎng)絡(luò)管理員必須經(jīng)過“終端服務(wù)器授權(quán)服務(wù)器”的授權(quán)后，才可以連接到終端服務(wù)器。換句話說，此時(shí)企業(yè)還需要一定的付出。不過相對(duì)于其收益來說，這個(gè)付出也是有必要的。通常情況下，網(wǎng)絡(luò)管理員可以先試用3到4個(gè)月來直觀感受一下其帶來的便利性。等到試用滿意后再考慮是否要部署“終端服務(wù)器授權(quán)服務(wù)器”。

最新評(píng)論