Fjernkontroll av en Windows-serverbrukerøkt. Den mest radikale måten å avbryte økter på

Hvis du har en arbeidsstasjonsentrisk infrastruktur, vet du hvor vanskelig det kan være å fjerndiagnostisere og løse problemer for brukerne dine. Du bruker sannsynligvis verktøy som Microsoft Systems Management Server (SMS) og Windows XP Remote Support for å kjøre på en brukers PC, og du vet hvordan du eksternt kobler til et nettverksregister for å endre brukernes innstillinger.

Terminal Services gjør disse oppgavene enklere. I stedet for å søke etter en arbeidsstasjon på et eksternt nettsted på nettverket ditt, er både du og brukerne dine logget på samme datamaskin. Og siden dere begge bruker RDP til å overføre KVM-data, kan dere enkelt forstyrre. For å vise de forskjellige støtteteknikkene, la oss først introdusere støtteverktøy.

Terminal Services Manager

Når du kjører Terminal Services Manager-verktøyet, vises en liste over alle servere som Terminal Services er installert på. Med dette verktøyet kan du enkelt se hvilke servere brukere er koblet til og fra hvilke klientenheter, hvilke prosesser og applikasjoner som kjører i øktene deres.

Hvis du er kjent med Win2K Terminal Services Manager, vil du legge merke til flere forbedringer i versjonen som følger med WS2K3. For det første inneholder den nye versjonen en node Denne datamaskinen, som gir rask tilgang til øktene til serveren du er logget på. For det andre er det en node Favoritt servere, som lar deg få tilgang til noen av terminalserverne som du oftest administrerer. Til slutt noden Alle listede servere er ikke avslørt i utgangspunktet, så du trenger ikke vente lenge med å finne alle terminalservere før du bruker dette verktøyet.

Hvis du velger en server, vil verktøyet vise en liste over alle brukersesjoner på den serveren. Statusen for hver økt vises også:

Aktiv - Brukeren sender for øyeblikket tastatur- eller musinndata til serveren
Inaktiv (inaktiv) - Brukeren beveget ikke musen eller trykket på noen taster i en viss tidsperiode
Frakoblet - Brukeren har koblet fra serveren, men forlot økten kjører for videre tilkobling.

Hvis du velger en brukerøkt i venstre rute, vil høyre rute vise en liste over alle prosesser som kjøres av brukeren på serveren. I dette panelet kan du avslutte en fastkjørt prosess.

Tab Informasjon Den høyre ruten rapporterer klientens enhetsnavn og IP-adresse, samt RDP-klientversjon, skjermoppløsning og krypteringsnivå. Denne informasjonen vil hjelpe deg med å feilsøke problemer. Hvis du høyreklikker på en brukerøkt, vises en kontekstmeny:

Koble til - Lar deg koble til en annen økt som du har etablert på serveren
Koble fra - Kobler brukeren fra økten, men lar økten kjøre på serveren
Fjernkontroll - Lar deg se eller samhandle med en brukers økt uten å koble fra brukeren. Brukeren ser alle handlinger du utfører, og du kan på sin side overvåke brukerens handlinger.
Tilbakestill - Drep økten
Status – Viser et statusvindu som viser nettverksaktivitet mellom serveren og klienten.
Logg av – Tvunget avslutning av økten

Alternativ Logg av avslutter økten elegant og laster opp brukerens profil til den sentrale profilkatalogen. Det tillater imidlertid ikke brukeren å lagre arbeidet sitt.

Fjernkontroll

Når du velger alternativet Fjernkontroll, kobles du midlertidig fra økten og kobles til brukerens økt. RDP sender nå all videoinformasjon til både maskinen din og brukerens klientenhet, og mottar tastetrykk og musebevegelser fra dere begge (hvis dere har satt opp interaktiv fjernkontroll).

Under fjernstyring kan brukeren se deg starte applikasjoner, endre innstillinger osv., og du kan se brukerens handlinger. Det er viktig å huske at eventuelle begrensninger du bruker for en bruker som bruker gruppepolicy også vil gjelde under ekstern administrasjon, så hvis du har deaktivert registerredigering, vil du ikke kunne kjøre REGEDIT under ekstern administrasjon.

Redigering av registeret

Noen ganger er det nødvendig å redigere brukerens register. Når det gjelder arbeidsstasjoner, måtte du koble til brukerens datamaskins eksterne register. På en terminalserver deler du det samme registeret med brukerne dine. Det er bare én HKEY_LOCAL_MACHINE-nøkkel for alle brukere, og HKEY_CURRENT_USER-nøkkelen for hver økt kan finnes i HKEY_USERS.

Hvert brukerregister har sin egen SID. Den raskeste måten å finne brukeren du leter etter hvis du ikke kjenner SID-en deres, er å se påloggingen Flyktig miljø for hver bruker. Denne undernøkkelen inneholder APPDATA-variabelen, som inneholder brukernavnet. Eventuelle endringer blir umiddelbart synlige for brukeren.

Det hender at en systemadministrator trenger å administrere en av brukerens datamaskiner eksternt, samhandle med brukeren, ha til disposisjon ganske svak maskinvare. I dette tilfellet anses bruk av programvare som Team Viewer som upassende på grunn av deres store appetitt på prosessorressurser, noe som provoserer en økning i prosessorbelastningen med opptil 98 %. Bruk av standard RDP resulterer oftest i å "slå ut" den nåværende brukeren, noe som vil kreve å skrive inn et passord for å logge på kontoen lokalt. I dette tilfellet er skyggekommandoen en utmerket løsning. Faktisk vil vi snakke om hvordan du bruker det i denne situasjonen i dag.

For å overvåke andre Remote Desktop Services-økter, trenger du følgende innstillinger:

SKYGGE (<имя ceaнса> | }

< имя ceaнса >Øktens navn.

< ID ceaнса >Øktnummer.

/SERVER: Terminalserver (gjeldende standard).

/V Vis informasjon om fullførte handlinger.

Så, for eksempel, for å administrere konsolløkter, og det vil si nåværende brukere som sitter direkte ved arbeidsmaskinen, på terminalserveren, må du kjøre - shadow0. På vanlige datamaskiner brukes alt* for å avslutte, og på en terminalserver brukes ctrl*.

Det er noen ubehagelige nyanser her. En av disse er at denne kommandoen kan fungere utelukkende innenfor RDP-økter.

Når det gjelder maskiner som kjører Windows XP, kan det være nødvendig å utvide funksjonene ved å gjøre den om til en terminalserver. Samtidig er oppgaven betydelig forenklet - du kan koble til fra hvilken som helst brukerkonto med administratorrettigheter via RDP og, ved å kjøre kommandoen, utføre - shadow0. Dermed havner vi i en konsolløkt, som er det vi trengte å bevise. For å redusere maskinvarebelastning, når du oppretter en RDP-tilkobling, velg elementet for å starte neste program når du kobler til, og skriv deretter inn shadow0 der. I dette tilfellet får vi bare to kjørende prosesser.

For at ordningen skal fungere, må du koble til RemoteRPC, noe som kan gjøres gjennom registeret:

“AllоwRemoteRPє=dword:00000001

Deretter kan du ved å bruke "Remote Desktop Services Manager" se informasjon om hvilke brukere som er logget på datamaskinen, hvilke prosesser som kjørte på den lokale maskinen og hvilken ID hver bruker har.

Brukeren vil bli spurt om administrasjonstillatelser som standard. Dette kan deaktiveres eller overvåking kan gjøres eksternt. For å gjøre dette, gå til registeret igjen:

"Shadow"=dword:0000000x

I dette tilfellet kan "x" ha følgende verdier:

1 - mulighet for full kontroll med kundens tillatelse;

2 – absolutt kontroll uten forespørsel om tillatelse fra klienten;

3 – observere økten (med tillatelse);

4 – observer økten (uten kundens tillatelse)

I utgangspunktet er ikke denne linjen i registeret, og den må opprettes fra bunnen av.

Gjennom lokale retningslinjer kan du aktivere domene eller lokale. I tilfelle av en lokal tilkobling, må du kjøre gpedit.msc, velg deretter administrative maler, gå deretter til "Legg til og fjern maler"-elementet og legg til System.adm fra WINDOWS\inf-mappen. Etter dette kan du konfigurere den lokale maskinen ved å gå til administrative maler, deretter til "Windows-komponenter" - "Terminaltjenester", og angi administrasjonsregler i ekstern modus. (Windows XP)

For Windows 7, "Administrative maler" - "Components for Remote Desktop Services" - deretter "Remote Desktop Session Host" - "Connections" 0 angir reglene for ekstern administrasjon av brukerøkter av Remote Desktop Services.

Innenfor terminalserveren, gjennom RDP-egenskapene, kan vi sette fjernkontrollrettigheter for enhver bruker, sette opp administrasjon av eksterne sesjoner og interaksjon med dem separat.

Behovet for å slå av en bruker med makt oppstår hovedsakelig i følgende tilfeller:

Oppdatering av informasjonsgrunnlaget;
Legge til et nytt metadataobjekt i konfigurasjonen;
Utføre forebyggende og reparasjonsarbeid på serveren;
En hengt brukerøkt hindrer applikasjonen i å starte på nytt.

I denne artikkelen vil vi prøve å fortelle deg hvordan du avslutter en brukerøkt, hvilke verktøy en administrator har i sitt arsenal for å fullføre denne oppgaven, hvilke avslutningsalternativer som gis av filversjonen og hvilke av klient-serverversjonen av 1C .

Det er viktig å huske at kraftig avslutning av en økt kan føre til tap av data. Så, for å unngå ubehagelige situasjoner, er det tilrådelig å advare brukere på forhånd om frakoblingen.

Avslutningsøkter fra konfiguratoren

Når det gjøres endringer i databasestrukturen, er ikke lenger dynamiske konfigurasjonsoppdateringer tilgjengelige. Og et informasjonsvindu vises på skjermen (fig. 1).

Handlingssekvensen i dette tilfellet er åpenbar:

Du må klikke på "Avslutt økter og gjenta"-knappen;
Vent på databaserestruktureringsvinduet;
Klikk "OK".

Det skal bemerkes at endringer som er gjort i programkoden ikke krever at brukere slår seg av, men de vil ikke fungere på den enheten uten å starte applikasjonen på nytt på hver spesifikke datamaskin.

Avslutt økter direkte fra programmet

De fleste standard 1C-produkter, versjon 8, har en mekanisme som lar deg enkelt avslutte en brukers arbeid eksternt og gi administratoren eksklusiv tilgang til databasen. Dette er "Blokkering av tilkoblinger til infobase"-behandlingen.

Du finner den på en av to adresser:

I en av undermenyene i "Service"-delen;
Gå til delen Drift->Behandling.

Fig.2

Utseendet til behandlingen er vist i fig. 2.

Funksjoner ved denne behandlingen:

Hvis du merker av eller fjerner merket og klikker på Record-knappen, slår du brukerblokkering av og på, sletter økter og forhindrer at nye tilkoblinger opprettes;
Slutttiden for blokkering kan ikke være tom eller kortere enn starttiden.
Hvis parameteren "Tillatelseskode" er spesifisert, kan den legges inn i oppstartslinjen for å ignorere blokkeringen ved å spesifisere "/UC" før koden;
Hvis du ikke spesifiserer "Tillatelseskoden", vil det være problematisk å komme inn i databasen før blokkeringsperioden utløper (i filversjonen av arbeidet kan du prøve å slette 1CVcdn-filen fra databasemappen);
Hvis du i stedet for parameteren "/UC" og et passord atskilt med et mellomrom spesifiserer "/CAllow Users to Work", hvor C er latin, kan du deaktivere blokkering fullstendig for alle brukere;
Ved å klikke på "Aktive brukere"-knappen åpnes et vindu med en komplett liste over brukere (fig. 3), hvor du kan åpne "Registreringsloggen" eller avslutte økten til hver enkelt bruker.

Fig.3

De to alternativene ovenfor fungerer fint i både fil- og klient-server-modus. Videre vil vi vurdere tilfeller som bare er typiske for serverarbeid.

Fjerner brukere fra rdp

Det er viktig å huske at å koble fra brukerøkter fra servere kun er mulig hvis du har visse rettigheter til å gjøre dette.

Når du arbeider fra et eksternt skrivebord, kan du avslutte brukerøkter ved å bruke standard oppgavebehandling. Å bare avbryte økter er litt feil, men ganske effektivt.

Det andre alternativet er å bruke oppgavebehandling - ekstern tilkobling med muligheten til å kontrollere hver spesifikke økt og avslutte programmet i henhold til alle reglene. Denne metoden er lang, og ingen garanterer at mens én bruker logger ut, vil programmet ikke bli lansert av noen annen arbeider.

Fjerning av brukere via serverkonsollen

Hvis du har administratorrettigheter for en 1C-serverklynge, må du:

Svært ofte, når du jobber i servermodus, er ikke hengte brukerøkter synlige gjennom plattformverktøyene; de kan bare slettes via konsollen.

Den mest radikale måten å avbryte økter på

En situasjon der metodene ovenfor ikke fungerer er ekstremt sjelden. Men hvis det oppstår, er det en annen radikal måte å avbryte tilkoblinger til databasen: Start serveren på nytt fysisk.

Selvfølgelig vil brukere som ikke hadde tid til å fullføre arbeidet og lagre dataene bli ekstremt opprørte over en så skamløs holdning, men det er raskt og det er ekstremt effektivt.

På Windows 2012 R2 og Windows 8.1 Microsoft returnerte funksjonalitetFjernkontrollSkrivebordSkyggelegging(skyggeforbindelse). La oss minne deg på at skyggemodus (skyggeøkt) kan brukes av administratoren til å se og administrere den eksisterende RDP-økten til enhver bruker. Denne driftsmodusen har blitt støttet nesten siden de første versjonene av Microsofts terminalserver og ble uventet fjernet i Windows Server 2012 (på grunn av overføringen av rdp-stakken fra kjernemodus til brukermodus). RDS Shadow-funksjonalitet fungerer også i følgende OS-versjoner: Windows Server 2016 / Windows 10.

I tillegg har RDS Shadow-tilkoblingsmodusen og RDP-klienten en rekke nye interessante funksjoner. En komplett liste over mstsc.exe RDP-klientparametere som bestemmer muligheten for ekstern skyggekobling til en sluttbrukerøkt:

Mstsc.exe ]

/shadow:ID– koble til RDP-økten med spesifisert ID.

/v:servernavn– RDP/RDS-navnet til terminalserveren (hvis ikke spesifisert, brukes den gjeldende).

/kontroll– muligheten til å samhandle med brukersesjonen (hvis ikke spesifisert, brukes visningsmodus for brukerøkten).

/noConsentPrompt– ikke be brukeren om bekreftelse for å koble til økten.

/prompt – brukes til å koble til under forskjellig legitimasjon. Du blir bedt om et brukernavn og passord for å koble til en ekstern datamaskin.

Begrensninger for RDS-skyggeøkter i Windows 2012 R2

Bare serveradministratoren kan koble til andres økter. Disse rettighetene kan ikke delegeres av en vanlig bruker.
RDSskyggevil ikke fungere på arbeidsgruppebaserte nettverk

Bruke Remote Desktop Shadow fra det grafiske GUI

Du kan koble til en brukersesjon ved å bruke mstsc.exe-verktøyet eller direkte fra Server Manager-konsollen. For å gjøre dette, åpne QuickSessionCollection i Server Manager-konsollen

Ved å klikke på økten til brukeren du er interessert i, velg Shadow fra kontekstmenyen.

Vinduet Shadow Connection Settings vises. Mulig visning ( Utsikt) og kontroll ( Kontroll) økt. I tillegg kan du aktivere alternativet Spørtilbrukersamtykke(Be om brukersamtykke for å koble til økten).

Hvis alternativet «Be om brukersamtykke» er valgt, vil brukeren bli spurt i økten:

Forespørsel om fjernovervåking

Winitpro\administrator ber om ekstern visning av økten din. Du godtar denne forespørselen.

Winitpro\administrator ber om å se økten din eksternt. Godtar du forespørselen?

Hvis brukeren bekrefter tilkoblingen, vil administratoren i visningsmodus se skrivebordet sitt, men vil ikke kunne samhandle med det.

Råd. For å koble fra brukerøkten og gå ut av skyggemodus, trykk ALT+* på en arbeidsstasjon eller Ctrl+* på terminalserveren (med mindre alternative kombinasjoner er spesifisert).

Hvis brukeren avviser tilkoblingen, vil et vindu vises:

Skyggefeil:

Hvis du prøver å koble til en brukerøkt uten å spørre om bekreftelse, vises en feilmelding som indikerer at dette er forbudt av gruppepolicy:

Skyggefeil: Gruppepolicyinnstillingen er konfigurert til å kreve brukerens samtykke. Bekreft konfigurasjonen av policyinnstillingene.

Parametere for ekstern administrasjon av bruker RDS-sesjoner er konfigurert av policy Angi regler for fjernkontroll av Remote Desktop Services-brukerøkter (Angi fjernkontrollregler for Remote Desktop Services-brukerøkter), som ligger i delen Retningslinjer -> Administrative maler -> Windows-komponenter -> Eksternt skrivebordstjenester -> Eksternt skrivebordsvert -> Tilkoblinger (Administrative maler -> Windows-komponenter -> Eksternt skrivebordstjenester - Vert for eksternt skrivebord -> Tilkoblinger) i bruker- og datamaskindelen av GPO. Denne policyen tilsvarer dword-registerparameteren skygge i tråden HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services.

Denne policyen kan konfigurere følgende skyggetilkoblingsalternativer via RD Shadow shadow-tilkoblingen:

Ingen fjernkontroll tillatt - fjernkontroll er ikke tillatt (Shadow-registernøkkelverdi = 0);
Full kontroll med brukertillatelse - full kontroll med brukertillatelse (1);
Full kontroll uten brukers tillatelse - full kontroll uten brukertillatelse (2);
Se økt med brukertillatelse – overvåke økten med brukertillatelse (3);
Se økten uten brukertillatelse – overvåking av økten uten brukertillatelse (4).

RDS Shadow-tilkobling fra PowerShell

Du kan også bruke funksjonaliteten til en skyggetilkobling til en brukerøkt gjennom en skyggetilkobling for Remote Desktop Services fra Powershell.

Først av alt vil vi vise hvordan du får en liste over økter på terminalserveren (brukerøkter vil bli gruppert i grupper avhengig av status):

Get-RDUserSession | ft Brukernavn, UnifiedSessionId, SessionState, HostServer, ApplicationType -GroupBy Sessionstate

Vi fant tre aktive terminaløkter på denne serveren. La oss koble til brukerøkten med økt-ID 3:
Mstsc /shadow:3 /kontroll
Du kan også kjøre kommandoen for å få en liste over alle økter på serveren

Skjermen vil vise en liste over RDP-sesjoner, deres ID og status: aktiv økt (aktiv) eller frakoblet (frakoblet).

For å få en liste over økter på en ekstern server, kjør kommandoen:

spørringsøkt /server:servernavn

For mer praktisk skyggetilkobling til økter kan du bruke følgende skript. Skriptet vil be deg om å skrive inn navnet på den eksterne datamaskinen og viser en liste over alle økter og ber deg spesifisere økten du vil koble til:

shadow.bat

@ekko av

spørringsøkt /server:%rcomp%
set /P rid="Skriv inn RDP-bruker-ID: "

Du kan plassere denne filen i %Windir%\System32-katalogen, som et resultat, for en skyggeforbindelse trenger du bare å kjøre kommandoen skygge.

For å koble til en konsolløkt kan du bruke følgende skript:

@ekko av
set /P rcomp="Skriv inn navn eller IP på en ekstern PC: "
for /f "tokens=3 delims= " %%G i ("query session console /server:%rcomp%") må du angi rid=%%G
start mstsc /shadow:%rid% /v:%rcomp% /kontroll

Hvordan tillate standardbrukere å bruke en skyggeforbindelse

I eksemplene diskutert ovenfor, for å bruke en skyggeforbindelse til terminalsesjoner, trenger du lokale administratorrettigheter på RDS-serveren. Du kan imidlertid tillate bruk av en skyggeforbindelse for å koble til brukersesjoner og vanlige brukere (uten å gi dem lokale administratorrettigheter på serveren).

Hvis du for eksempel vil tillate medlemmer av AllowRDSShadow-gruppen å skygge tilkoblinger til brukerøkter, kjør kommandoen:

wmic /namespace:\\root\CIMV2\TerminalServices PATH Win32_TSPermissionsSetting WHERE (TerminalName="RDP-Tcp") CALL AddAccount "corp\AllowRDSShadow",2

I januar 2018, etter å ha installert oppdatering KB4056898 (), oppdaget brukere at skyggetilgang sluttet å fungere i Windows Server 2012 R2. Når du prøver å opprette en skyggeforbindelse til en annens økt, vises meldingen "Uidentifisert feil" (feilen STATUS_BAD_IMPERSONATION_LEVEL er tilstede i loggene). Et lignende problem oppstod på en RDS-farm basert på Windows Server 2016.

For å løse problemet må du installere separate oppdateringer:

for Windows Server 2016 - KB4057142(fra 17. januar 2018)
for Windows Server 2012 R2 - K.B.4057401 (fra 17. januar 2018)

cmd kommandoer:
Query Session - liste over økter
Mstsc.exe/shadow:sessionID /control /noConsentPrompt

http://winitpro.ru/index.php/2014/02/12/rds-shadow-v-windows-2012-r2/

I tillegg har RD Shadow-modusen og rdp-klienten en rekke nye interessante funksjoner. En komplett liste over mstsc.exe rdp-klientalternativer som bestemmer muligheten for ekstern tilkobling til en sluttbrukerøkt:

Mstsc.exe ]

/shadow:ID- koble til en terminalsesjon med den angitte IDen

/v:servernavn- terminalservernavn (hvis ikke spesifisert, brukes det gjeldende)

/kontroll- Muligheten til å samhandle med brukerøkten (hvis ikke spesifisert, brukes visningsmodus for brukerøkten).

/noConsentPrompt- ikke be brukeren om bekreftelse for å koble til økten

Begrensninger for RDS-skyggeøkter i Windows 2012 R2

Bare serveradministratoren kan koble til andres økter. Disse rettighetene kan ikke delegeres av en vanlig bruker.

RDS Shadow vil ikke fungere på arbeidsgruppebaserte nettverk

Remote Desktop Shadow - arbeider i GUI

Du kan koble til en brukersesjon ved å bruke mstsc.exe-verktøyet eller direkte fra Server Manager-konsollen. For å gjøre dette, åpne QuickSessionCollection i Server Manager-konsollen.

Ved å klikke på økten til brukeren du er interessert i, velg Shadow fra kontekstmenyen.

Vinduet Shadow Connection Settings vises. Mulig visning ( Utsikt) og kontroll ( Kontroll) økt. I tillegg kan du aktivere alternativet Spør om brukersamtykke(be om samtykke til tilkobling fra brukeren).

Hvis alternativet "Be om bekreftelse" er valgt, vil brukeren bli spurt i økten:

Winitpro\administrator ber om å se økten din eksternt. Godtar du forespørselen?

Hvis brukeren bekrefter tilkoblingen, vil administratoren se skrivebordet sitt og kunne samhandle med ham.

Råd. For å koble fra brukerøkten og gå ut av skyggemodus, trykk ALT+* på en arbeidsstasjon eller Ctrl+* på terminalserveren (med mindre alternative kombinasjoner er spesifisert).

Hvis brukeren avviser tilkoblingen, vil et vindu vises:

Skyggefeil:

Hvis du prøver å koble til en brukerøkt uten å spørre om bekreftelse, vises en feilmelding som indikerer at denne oppførselen er konfigurert av gruppepolicy:

Skyggefeil: Gruppepolicyinnstillingen er konfigurert til å kreve brukerens samtykke. Bekreft konfigurasjonen av policyinnstillingene.

Parametere for ekstern administrasjon av brukerterminaløkter er konfigurert av policyer Angi regler for fjernkontroll av Remote Desktop Services-brukerøkter, som er plassert i seksjonen Retningslinjer -> Administrative maler -> Windows-komponenter -> Eksternt skrivebordstjenester -> Vert for ekstern økt -> Tilkoblinger i bruker- og "datamaskin"-delen av GPO.

Denne policyen kan konfigurere følgende tilkoblingsalternativer via RD Shadow:

Ingen fjernkontroll tillatt - fjernkontroll er forbudt

Full kontroll med brukertillatelse - full kontroll med brukertillatelse

Full kontroll uten brukers tillatelse - full kontroll uten brukertillatelse

Se økt med brukers tillatelse - øktovervåking med bekreftelse

Se økt uten brukers tillatelse - overvåking av en økt uten bekreftelse