• Remote Desktop Services/Terminal Services - Настройка прозрачной доменной авторизации (Single Sign-On)

    23.12.2011 Автор:Алексей Максимов
    21 412 Просмотров 5 комментариев
    image02.03.2010
    Основное требование для SSO на стороне клиента:
    Клиентская ОС: Microsoft Windows XP SP3, Microsoft Windows Vista SP1, Microsoft Windows 7

    Для клиентов на базе Windows Vista никаких дополнительных настроек не требуется, т.к. данная функциональность уже присутствует в операционной системе, минимальное требование это наличие SP1. Для Windows 7 необходимый функционал работает в RTM.

    Для клиентов на базе Windows XP SP3 требуется правка системного реестра:

    HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders
    !Дописать! (не заменить а именно дополнить) значение параметра SecurityProviders строкой: credssp.dll

    HKLM\SYSTEM\CurrentControlSet\Control\Lsa
    !Дописать! (не заменить а именно дополнить) значение параметра Security Packages строкой: tspkg

    Вся информация по этому поводу изложена в статье Microsoft - Description of the Credential Security Service Provider (CredSSP) in Windows XP Service Pack 3
    Также привожу ссылку на пошаговую инструкцию по настройке доменных групповых политик для включения на клиентских компьютерах функции Single Sign-On -     How to enable Single Sign-On for my Terminal Server connections
    Если в трёх словах - то для того чтобы у клиентских компьютеров работала прозрачная авторизация требуется в доменных групповых политиках настраивающих клиентские ПК изменить следующие параметры:

    Внимание! Перечисленные ниже параметры GPO доступны только при просмотре оснастки gpedit.msc в операционных системах Windows Vista / Windows Server 2008 и выше.

    Конфигурация компьютера > Административные шаблоны > Система > Передача учетных данных

    "Разрешить передачу учетных данных, настроенных по умолчанию" – Включить.
    "Связать настройки системы по умолчанию с введенными ранее" – Включить и в список серверов (по кнопке "Показать") добавить запись типа:

    TERMSRV/*      (разрешена передача учётных данных любым терминальным серверам)
    или
    TERMSRV/*.mydom.com (разрешена передача учётных данных только к терминальным серверам домена mydom.com)

    "Разрешить сохраненные учетные данные с проверкой подлинности сервера "только NTLM" – Включено
    Список серверов в этом параметре настроить аналогично.

     image
    Замечание: для того чтобы это действительно работало при подключении к серверу имя сервера необходимо указывать полностью (FQDN).
    После написания полного имени сервера клиент RDP в поле имя пользователя автоматически подставит имя в формате     user@domain.
    Сохранив таким образом на рабочем столе пользователя RDP ярлык мы предоставим ему возможность одним кликом мыши попасть на терминальный сервер без дополнительного ввода его учётных данных.

    Update 23.12.2011

    При попытке заставить работать SSO на Windows XP SP3 с фермой RD Connection Broker можно столкнуться с ситуацией когда после входа на сервер возникает запрос ввода учетных данных. Для разрешения этой проблемы нужно установить обновление, доступное в статье KB953760 - When you enable SSO for a terminal server from a Windows XP SP3-based client computer, you are still prompted for user credentials when you log on to the terminal server. Через WSUS данное обновление не доступно и поэтому нужно его скачивать и устанавливать отдельно.

    Дополнительные источники информации:

    TechNet Blogs > if (ms) blog++; > XP Clients, CredSSP, SSO, Connection Broker and other animals

  • Remote Desktop Services - Используем перенаправление профилей пользователей и перемещаемые папки

    23.12.2011 Автор:Алексей Максимов
    90 198 Просмотров 47 комментариев

    imageВ прошлый раз мы развернули отказоустойчивую ферму RD Connection Broker с участием трёх серверов RD Session Host. В этой заметке будет описана часть процесса настройки серверов фермы, в частности, в части настройки пользовательской среды – включение механизмов перемещаемых профилей (Roaming User Profiles) и перенаправления папок пользователей (Folder Redirection).

    Для управления параметрами настройки пользовательских профилей воспользуемся групповыми политиками. Создадим объект доменной групповой политики (GPO), который будет настраивать все сервера RD Session Host (RDSH) в нашей ферме RD Connection Broker

    Читать далее...

  • Remote Desktop Services - Строим отказоустойчивую ферму RD Connection Broker

    09.12.2011 Автор:Алексей Максимов
    91 319 Просмотров 87 комментариев

    imageНачиная с этой записи, постараюсь сделать ряд заметок о Службах удалённых рабочих столов Microsoft Windows Server 2008 R2 – серверной роли Remote Desktop Services (RDS). Для начала рассмотрим процесс создания фермы серверов RDS с использованием механизма балансировки нагрузки с помощью Remote Desktop Connection Broker (RDCB).

    Описание задачи

    Не будем заострять внимания на описании функций служб Remote Desktop Services, так как этой информации более чем достаточно в официальных источниках Microsoft. Предметом этой заметки будет пошаговое практическое описание процесса создания фермы из трёх виртуальных серверов, на каждом из которых будут совмещены компоненты RD Session Host и кластеризованная служба RD Connection Broker. То есть мы попробуем при минимуме серверных экземпляров Windows Server 2008 R2 собрать отказоустойчивое решение RDS.

    По информации доступной из блога TechNet Blogs > Mark Ghazai's Blog > Windows Server 2008 R2 Highly Available (Clustered) Remote Desktop Connection Broker на каждом из серверов в кластере RD Connection Broker будет использоваться локальная база с информацией о всех пользовательских сессиях в ферме и лишь одна из нод кластера будет иметь активный экземпляр этой БД, который будет использоваться при обслуживании пользовательских запросов всей этой фермы. В случае недоступности активной ноды БД перестроится на другом сервере и начнёт обслуживать запросы клиентов.

    Читать далее...

  • Windows Server 2008 R2 RDS & Outlook – ассоциация с файлами *.eml

    01.08.2011 Автор:Алексей Максимов
    3 290 Просмотров Комментариев нет

    imageНа терминальном сервере с Windows Server 2008 R2 с установленным Office 2010 в пользовательских сессиях нет возможности открывать *.eml файлы, так как в системе по умолчанию отсутствует ассоциация этого типа файлов с каким-либо приложением. В Windows Server 2003 такой проблемы не было так как *.eml файлы были ассоциированы с имеющимся по умолчанию в ОС приложением Outlook Express. В новой же системе отсутствие ассоциации приводит к тому, что при попытке открытия такого файла пользователь получает окно выбора приложения с помощью которого ОС может открыть этот файл…и в этом окне как правило бездумно щёлкает по значку IE, так как он самый первый. К чему это всё приводит нетрудно догадаться.

    Чтобы решить эту проблему мы можем сделать ассоциацию *.eml файлов с любым доступным просмотрщиком такого формата, например если в ОС уже имеется установленный Office 2010 то сделать это можно путём добавления соответствующей информации в системный реестр. Вот пример *.reg файла:

    Windows Registry Editor Version 5.00

    [HKEY_LOCAL_MACHINESOFTWAREClassesOutlook.File.eml]
    @="Сообщение электронной почты"
    "EditFlags"=hex:00,00,00,00

    [HKEY_LOCAL_MACHINESOFTWAREClassesOutlook.File.emlshell]
    @="Open"

    [HKEY_LOCAL_MACHINESOFTWAREClassesOutlook.File.emlshellOpen]

    [HKEY_LOCAL_MACHINESOFTWAREClassesOutlook.File.emlshellOpencommand]
    @=""C:\Program Files (x86)\Microsoft Office 2007\Office12\OUTLOOK.EXE" /eml "%1""

    [HKEY_CLASSES_ROOT.eml]
    @="Outlook.File.eml"

    [HKEY_CLASSES_ROOT.emlOpenWithProgids]
    "Outlook.File.eml"=""

    [HKEY_LOCAL_MACHINESOFTWAREClasses.eml]
    @="Outlook.File.eml"

    [HKEY_LOCAL_MACHINESOFTWAREClasses.emlOpenWithProgids]
    "Outlook.File.eml"=""

  • Windows Server 2008 R2 – Добавление скриптов входа на сервере RDS через ключ реестра AppSetup

    11.12.2010 Автор:Алексей Максимов
    8 023 Просмотров 4 комментария

    imageПри настройке сервера служб Remote Desktop Services (RDS) на Windows Server 2008 R2 c включённым UAC, столкнулся с интересной ситуацией. Стояла такая задача, чтобы при входе в систему для каждого пользователя отрабатывал *.cmd файл, в котором исполнялись бы все необходимые директивы дополнительной настройки пользовательского окружения.

    По старой памяти, запустив редактор реестра от имени Администратора, я открыл ветку реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon и с удивлением обнаружил отсутствие строкового параметра AppSetup (параметр служит для запуска скриптов обеспечения совместимости приложений в многопользовательской среде). Без задней мысли я создал этот параметр, вписал в него имя моего командного файла (USRLOGON_2.CMD), расположенного в папке C:\Windows\System32 и перезагрузил систему. Но к моему удивлению после перезагрузки, при входе пользователей в систему, файл не отрабатывал.

    Читать далее...

Предыдущая страница