RDS 2012 R2 Serverfarm mit GPO absichern

[andreas222 12]

Hallo zusammen,

 

Wir werden eine Serverfarm betreiben und Anwendungen veröffentlichen.

Nun stellt sich die Frage wie man die RDS Host relativ sauber und vor UserManipulation schützt ?

 

Wir dachten an:

1. Lokale Laufwerke ausblenden

2. Maschinen in eigene OU und Loopback.

 

Unklar:

Einsatz von Mandatory TS Profiles

Folder Redirection

 

Hat irgendjemand ähnliche Anforderungen umgesetzt ?

 

VG & Merci

Andi

bearbeitet 3. Dezember 2014 von andreas222

[daabm 1.187]

Laufwerke ausblenden: Secirity by obscurity...

Loopback: wenn mans braucht, ok.

Mandatory profile: was trägt das bitte zur sicherheit bei? genauso vielmwie folder redirection: gar nix :D

 

Terminal Server macht man auf die gleiche weise sicher wie jeden anderen server und client auch :)

Schau Dir den SCM an (Security Compliance Manager)

[andreas222 12]

Hi daabm,

 

Ok evtl. hab ich mich auch etwas falsch ausgedrückt.

Zum einen geht es auch um Sicherheit im allgemeinen, da hab ich zu wenig Erfahrung mit dem SCM.

Wobei ich einem Wizard wenig vertraue, meist verbiegen die Wizards mehr als einem lieb ist.

 

Mandatory um Ladezeiten gering zu halten, gibt es etwas Besseres ?

Laufwerke und Bibiotheken Zeug ausblenden, um User mit zuviel Elemente im Explorer Fenster nicht zu verwirren.

User soll nur Homedir, Groupshare und USB Stick wenn vorhanden sehen.

 

 

Gut das letzte TS Setup bei uns basiert auf Windows 2003.

Denke mit Windows 2012 R2 hat sich viel getan.

Welche dieser Neuerungen nun auch wirklich in der Praxis Bestand haben ist mir noch nicht geläufig.

User Profile Disks sind bisher kein Thema.

Wenn Mandatory TS Profiles verwendet werden, ist dann Ordnerumleitung überhaupt noch sinnvoll bzw. kann man das kombinieren ?

 

 

Also im Prinzip ist eine Art best practices für RDS gesucht ?

Euer aktuelles Buch zum Thema GPO besitze ich ... prima geschrieben.

 

VG & Merci

Andi

bearbeitet 3. Dezember 2014 von andreas222

[daabm 1.187]

Danke für die Blumen :cool:  Leider hatten wir eigentlich nur 500 Seiten, da hat dann trotz 650 Seiten halt nicht alles reingepasst...

 

Du mußt unterscheiden zwischen Anwenderfreundlichkeit - da kann ich Deine Argumente nachvollziehen - und Sicherheit. SCM hat keine Assistenten, schau's Dir einfach mal an. Hat auch jede Menge Hintergrundinfos zu den einzelnen Settings drin, da hat sich MS echt Mühe gegeben.

 

FR und mandatory Profile sollte miteinander funktionieren, aber ich hab noch nie mandatory Profiles verwendet. Wenn Du Ladezeiten gering halten willst: LOKALE Profile sind der Schlüssel - und NICHT löschen beim Abmelden.

 

Und wegen der Userverwirrung - frag doch mal rum, was die so zuhause benutzen. Je ähnlicher Dein TS-Setup aussieht, um so einfacher ist es - vergessen die meisten Admins leider.