如果這臺服務器本身就是域控制器，則需要通過活動目錄用戶及計算機來進行設置。網(wǎng)絡管理員打開“活動目錄用戶與計算機”窗口，然后將用戶加入到遠程桌面用戶組內(nèi)。如果這臺服務器不是域控制器，而是域環(huán)境內(nèi)的普通服務器，則可以通過依次打開“開始”、“管理工具”、“計算機管理”、“系統(tǒng)工具”、“本地用戶和組”命令，將用戶加入到遠程桌面用戶組之內(nèi)。到此時為止，跟上面的沒有很大的不同，只是操作的地方存在差異而已。上面這種方式，可以直接在“遠程”標簽處把用戶加入到遠程桌面用戶組中。而此時則需要通過專門的用戶管理界面來配置帳戶。這從根本來說，不會造成他們的安全性差異。而之所以在域環(huán)境中能夠為終端服務提供更好的安全性，主要是因為下面這個設置。

　　在域環(huán)境中，遠程桌面用戶還必須具備“允許通過終端服務登陸”的權限。如果這臺服務器就是域控制器，則這個遠程桌面用戶組默認情況下是沒有“允許通過終端服務登陸”這個權限。這主要也是出于安全性的考慮。網(wǎng)絡管理員必須明確設定這臺服務器(域控制器)可以通過終端服務實現(xiàn)遠程登陸。也就是說網(wǎng)絡管理員必須另外賦予該組這個權限之后管理員錯菜可以進行遠程連接。若要賦予這個權限，網(wǎng)絡管理員需要依次打開“開始”、“管理工具”、“域控制器安全策略”、“安全設置”、“本地策略”、“用戶權限分配”，在打開的窗口中，再次點擊“通過終端服務允許登陸”選項，把這個遠程桌面用戶組加入進去即可。這個操作雖然簡單，但是卻極大的提高了終端服務遠程連接的安全性。因為有時候由于人為的疏忽，管理員可能在不需要這個終端服務的情況下，也會允許這個用戶組具有這個權限(默認情況下有)。而不會在不需要的時候，主動去禁用這個權限。所以這個措施可以大大的提高服務器的安全性，降低因為啟用了終端服務而對此造成的安全隱患。

　　這里要注意的是，這個設置不會馬上起效。設置完成之后，網(wǎng)絡管理員必須等到此策略應用域控制后才有效。默認情況下，系統(tǒng)會每隔五分鐘去檢測一下是否有新的安全策略，如果有的話，則會馬上應用。如果網(wǎng)絡管理員等不及的話，則可以重新啟動服務器。不過筆者不建議這么做。這主要是因為服務器頻繁啟動對于服務器的穩(wěn)定性不利。而且此時可能有其他用戶連接到服務器生正在進行操作，會影響他們的數(shù)據(jù)保存等等。如果網(wǎng)絡管理員連五分鐘也等不及，需要馬上啟用這個策略(如出于測試的需要)，則可以采用gpupdate /force命令來強制立即啟用策略。如此這個權限設置就會馬上生效。

　　三、用戶授權問題。

　　出于微軟的商業(yè)策略，微軟在終端服務上有授權的限制。當網(wǎng)絡管理員安裝終端服務器之后，雖然可以供多人同是執(zhí)行位于終端服務器內(nèi)的應用程序，但是這有一個120天的限制。終端服務器在120天后系統(tǒng)會拒絕用戶來連接，即拒絕網(wǎng)絡管理員通過終端服務登陸服務器。此時網(wǎng)絡管理員如果仍然需要利用這個終端服務的話，則必須在企業(yè)網(wǎng)絡中有一臺已經(jīng)被激活的“終端服務器授權服務器”，并且取得合法的授權連接數(shù)量。也就是說等到120天之后，網(wǎng)絡管理員必須經(jīng)過“終端服務器授權服務器”的授權后，才可以連接到終端服務器。換句話說，此時企業(yè)還需要一定的付出。不過相對于其收益來說，這個付出也是有必要的。通常情況下，網(wǎng)絡管理員可以先試用3到4個月來直觀感受一下其帶來的便利性。等到試用滿意后再考慮是否要部署“終端服務器授權服務器”。

最新評論