通过Windows Server终端服务实现远程管理

　　如果这台服务器本身就是域控制器，则需要通过活动目录用户及计算机来进行设置。网络管理员打开“活动目录用户与计算机”窗口，然后将用户加入到远程桌面用户组内。如果这台服务器不是域控制器，而是域环境内的普通服务器，则可以通过依次打开“开始”、“管理工具”、“计算机管理”、“系统工具”、“本地用户和组”命令，将用户加入到远程桌面用户组之内。到此时为止，跟上面的没有很大的不同，只是操作的地方存在差异而已。上面这种方式，可以直接在“远程”标签处把用户加入到远程桌面用户组中。而此时则需要通过专门的用户管理界面来配置帐户。这从根本来说，不会造成他们的安全性差异。而之所以在域环境中能够为终端服务提供更好的安全性，主要是因为下面这个设置。

　　在域环境中，远程桌面用户还必须具备“允许通过终端服务登陆”的权限。如果这台服务器就是域控制器，则这个远程桌面用户组默认情况下是没有“允许通过终端服务登陆”这个权限。这主要也是出于安全性的考虑。网络管理员必须明确设定这台服务器(域控制器)可以通过终端服务实现远程登陆。也就是说网络管理员必须另外赋予该组这个权限之后管理员错菜可以进行远程连接。若要赋予这个权限，网络管理员需要依次打开“开始”、“管理工具”、“域控制器安全策略”、“安全设置”、“本地策略”、“用户权限分配”，在打开的窗口中，再次点击“通过终端服务允许登陆”选项，把这个远程桌面用户组加入进去即可。这个操作虽然简单，但是却极大的提高了终端服务远程连接的安全性。因为有时候由于人为的疏忽，管理员可能在不需要这个终端服务的情况下，也会允许这个用户组具有这个权限(默认情况下有)。而不会在不需要的时候，主动去禁用这个权限。所以这个措施可以大大的提高服务器的安全性，降低因为启用了终端服务而对此造成的安全隐患。

　　这里要注意的是，这个设置不会马上起效。设置完成之后，网络管理员必须等到此策略应用域控制后才有效。默认情况下，系统会每隔五分钟去检测一下是否有新的安全策略，如果有的话，则会马上应用。如果网络管理员等不及的话，则可以重新启动服务器。不过笔者不建议这么做。这主要是因为服务器频繁启动对于服务器的稳定性不利。而且此时可能有其他用户连接到服务器生正在进行操作，会影响他们的数据保存等等。如果网络管理员连五分钟也等不及，需要马上启用这个策略(如出于测试的需要)，则可以采用gpupdate /force命令来强制立即启用策略。如此这个权限设置就会马上生效。

　　三、用户授权问题。

　　出于微软的商业策略，微软在终端服务上有授权的限制。当网络管理员安装终端服务器之后，虽然可以供多人同是执行位于终端服务器内的应用程序，但是这有一个120天的限制。终端服务器在120天后系统会拒绝用户来连接，即拒绝网络管理员通过终端服务登陆服务器。此时网络管理员如果仍然需要利用这个终端服务的话，则必须在企业网络中有一台已经被激活的“终端服务器授权服务器”，并且取得合法的授权连接数量。也就是说等到120天之后，网络管理员必须经过“终端服务器授权服务器”的授权后，才可以连接到终端服务器。换句话说，此时企业还需要一定的付出。不过相对于其收益来说，这个付出也是有必要的。通常情况下，网络管理员可以先试用3到4个月来直观感受一下其带来的便利性。等到试用满意后再考虑是否要部署“终端服务器授权服务器”。

最新评论