域用户可以通过 RDP 进入域控制器吗？

Question

普通 Windows Server 2008 x64 标准 DC​​（AD、DNS）。我远程登录到我的 DC 进行一些工作，出于习惯，我使用常规域帐户而不是域管理员登录到服务器。我很震惊地发现我能够通过 RDP 进入这个盒子！为什么会这样？我查看了策略，对于域控制器，“允许通过终端服务登录”是“未定义”。我使用的用户帐户不是域管理员组的成员。还有其他策略建模可以用来找出为什么这个用户帐户能够登录到域控制器吗？

Answer 1

有一个内置组名为远程桌面用户可以通过 RDP 连接到域控制器。检查该组中有哪些帐户。

Answer 2

我将在域控制器上运行 rsop.msc - 这将为您提供通过 gpo 应用的所有设置的列表。检查是否有某个地方定义了适用的设置。如果有，我将转到组策略管理控制台并运行建模向导。这将告诉您在哪里应用了哪些策略。

Answer 3

首先，远程登录功能显然已启用，因为您通常以域管理员的身份进行远程登录。未定义“允许通过终端服务登录”设置这一事实仅仅意味着该设置不受策略管理。如果您查看系统属性的“远程”选项卡，您会发现“在此计算机上启用远程桌面”设置已选中。

查看 TS 配置中的 RDP 协议的权限选项卡，您将看到服务器上 RDP 协议的 RDP 权限。我敢打赌，您会在具有用户和来宾访问权限的权限列表中找到域\远程桌面用户组，因此请检查该组的成员并进行相应调整。

您可能会发现另一个具有用户和访客访问权限的组。您需要相应地调整这些权限。