Terminalserver & RemoteApp, aber Anmeldung am Desktop verhindern

[justin0102 10]

Hallo,

 

ich stelle einen Windows 2008 Terminalserver bereit.

Über Web Access und Remote App sollen Nutzer genau 1 Anwendung, die auf diesem Weg publiziert wird, starten können. Klappt auch wunderbar.

Leider sind die Nutzer auch in der Lage, sich über Remotedesktopverbindung direkt an der Maschine anzumelden und dann auf Desktop, Windows Explorer etc. zuzugreifen

Wie kann ich verhindern, dass sich die Nutzer direkt über RDP anmelden können, aber trotzdem noch die RemoteApp starten können?

[grizzly999 11]

Das geht IMHO nicht. Du könntest höchstens ein TS-Gateway dazwischen schalten und dann den Zugriff auf den TS nur für das TS-GW zulassen.

 

 

grizzly999

[TruckerTom 10]

Man kann doch über RDP eine Anwendung benennen, die automatisch gestartet wird, wenn man RDP benutzt.

Könnte man da nicht irgendwas konstruieren, was die Benutzer dann direkt wieder automatisch abmeldet?

[justin0102 10]

Das geht IMHO nicht. Du könntest höchstens ein TS-Gateway dazwischen schalten und dann den Zugriff auf den TS nur für das TS-GW zulassen.

 

 

grizzly999

 

Okay, ich hatte schon befürchtet dass das eine nicht ohne das andere geht :nene: Deshalb werde ich wohl versuchen, die Berechtigungen der Nutzer soweit einzuschränken, dass sie trotz Anmeldung am Desktop keinen Schaden anrichten können. Gibt es eine Art Guideline was alles zu tun ist, um quasi "alle Türen zuzumachen", also die Möglichkeiten, die der Nutzer hat, auf ein Minimum zu beschränken?

[grizzly999 11]

Hier gibt es einige Ansätze: Download details: Windows Server 2003 Terminal Server Security

 

Aber eine komplette Anleitung mit allen Möglichkeiten gibt es wahrscheinlich nicht, weil die Anforderungen einfach zu individuell sind. Fange einfach mal an, deine Anforderungen an die Desktop-Sicherheit zu definieren.

 

Ein recht guter Ansatz für die Sicerheit, aber gut testen vorher, sind die im Whitepaper angesprochenen Software Restriction Policies, die sind dir ja nicht neu ;)

Auf jeden Fall sind die GPOs dazu das beste Tool.

 

 

grizzly999

[justin0102 10]

Hab noch was gefunden:

Locking Down Windows Server 2003 Terminal Server Sessions

Download details: Locking Down Windows Server 2003 Terminal Server Sessions