筆者企業(yè)的服務(wù)器都是存放在一個相對獨立的機房中。如果每次去維護服務(wù)器都需要跑到機房中去的話，那不是要麻煩死了。筆者現(xiàn)在是通過微軟服務(wù)器的終端服務(wù)來實現(xiàn)服務(wù)器的遠程管理。筆者通過客戶端連接軟件連接到服務(wù)器上的終端服務(wù)。經(jīng)過身份驗證后筆者的本機桌面就會顯示服務(wù)器的桌面。并且筆者可以在自己的桌面上執(zhí)行服務(wù)器上的應用程序、存儲文件、網(wǎng)絡(luò)資源。除了速度稍有影響之外，就跟在本機上進行操作差不多。

　　一、終端服務(wù)器的本質(zhì)。

　　當筆者通過網(wǎng)絡(luò)連接到終端服務(wù)器后，需要運行服務(wù)器上的一些程序。其實這些應用程序是在終端服務(wù)器上執(zhí)行的，而不是在本機上執(zhí)行。也就是說筆者的電腦的作用就好像是鍵盤與鼠標。即筆者只在他的計算機上通過鍵盤與鼠標來操作應用程序，然后將終端服務(wù)器所傳送來的結(jié)果顯示在屏幕上。

　　而且通過終端服務(wù)，多人可以同時對服務(wù)器進行管理。如在微軟的服務(wù)器上部署有郵件服務(wù)、數(shù)據(jù)庫服務(wù)等應用服務(wù)。此時郵件管理員、數(shù)據(jù)庫管理員、服務(wù)器管理員等等可以同時連接到服務(wù)器上，執(zhí)行位于終端服務(wù)器內(nèi)的應用程序。

　　所以終端服務(wù)對于企業(yè)網(wǎng)絡(luò)管理員來說，是很實用的一個工具。特別是企業(yè)網(wǎng)絡(luò)規(guī)模比較大，有相對獨立的計算機房。此時管理員去服務(wù)器前面維護不怎么方便，那么管理員通過遠程來維護服務(wù)器則是最方便的辦法。

　　二、遠程連接的權(quán)限控制。

　　雖然遠程連接為網(wǎng)絡(luò)管理員提供了很大的方便。但是其也很有可能給服務(wù)器帶來一定的安全隱患。為此網(wǎng)絡(luò)管理員在方便了日常工作的同時，也需要關(guān)注終端服務(wù)的安全問題。微軟終端服務(wù)器在安全上也采取了一些措施。如要允許網(wǎng)絡(luò)管理員通過終端服務(wù)來管理服務(wù)器的話，必須滿足兩個前提條件。一是啟動服務(wù)器上的遠程桌面功能，二是將用戶賬戶加入到遠程桌面用戶組。這兩個是網(wǎng)絡(luò)管理員連接到服務(wù)器所必須的條件。

　　要把用戶加入到遠程桌面用戶組的方法，要視這臺服務(wù)器的具體配置來看。服務(wù)器的相關(guān)服務(wù)配置不同，其設(shè)置的方法也不同。大致來說，有如下幾種。

　　一是在服務(wù)器上如果沒有安裝終端服務(wù)器而只是啟動了遠程桌面管理的話，網(wǎng)絡(luò)管理員也可以通過終端服務(wù)來進行遠程管理。也就是說，遠程桌面是終端服務(wù)的一個簡化版本。此時，如果要把用戶加入到遠程桌面用戶組可以通過如下步驟來實現(xiàn)。網(wǎng)絡(luò)管理員可以依次選擇“開始”、“設(shè)置”、“控制面板”、“系統(tǒng)”。在打開的對話框中選擇“遠程”標簽，選擇“允許用戶遠程連接到此計算機”復選框來啟動遠程連接的功能。然后單擊“選擇遠程用戶”按鈕，把用戶加入到遠程桌面用戶組。如下圖所示：

　　為了安全起見，最好能夠為這個賬戶配置相關(guān)的安全策略。如可以通過密碼策略，強制實現(xiàn)密碼的復雜性;可以讓對這個賬戶的登陸時間事件審核;設(shè)置當密碼輸入錯誤超過三次時自動鎖定這個賬戶等的功能。通過這些措施來保障用戶名與密碼的安全性;從而保障遠程維護的安全性。

　　二是服務(wù)器部署了終端服務(wù)器，而且這個服務(wù)器又處在微軟域環(huán)境中則配置起來就相對復雜一些，不過其安全性也會更高。此時網(wǎng)絡(luò)管理員也首先需要啟用遠程桌面的功能。此時網(wǎng)絡(luò)管理員也可以依次選擇“開始”、“設(shè)置”、“控制面板”、“系統(tǒng)”。在打開的對話框中選擇“遠程”標簽，選擇“允許用戶遠程連接到此計算機”復選框來啟動遠程連接的功能。不過在配置帳戶的時候就有所區(qū)別。

#p#

　　如果這臺服務(wù)器本身就是域控制器，則需要通過活動目錄用戶及計算機來進行設(shè)置。網(wǎng)絡(luò)管理員打開“活動目錄用戶與計算機”窗口，然后將用戶加入到遠程桌面用戶組內(nèi)。如果這臺服務(wù)器不是域控制器，而是域環(huán)境內(nèi)的普通服務(wù)器，則可以通過依次打開“開始”、“管理工具”、“計算機管理”、“系統(tǒng)工具”、“本地用戶和組”命令，將用戶加入到遠程桌面用戶組之內(nèi)。到此時為止，跟上面的沒有很大的不同，只是操作的地方存在差異而已。上面這種方式，可以直接在“遠程”標簽處把用戶加入到遠程桌面用戶組中。而此時則需要通過專門的用戶管理界面來配置帳戶。這從根本來說，不會造成他們的安全性差異。而之所以在域環(huán)境中能夠為終端服務(wù)提供更好的安全性，主要是因為下面這個設(shè)置。

　　在域環(huán)境中，遠程桌面用戶還必須具備“允許通過終端服務(wù)登陸”的權(quán)限。如果這臺服務(wù)器就是域控制器，則這個遠程桌面用戶組默認情況下是沒有“允許通過終端服務(wù)登陸”這個權(quán)限。這主要也是出于安全性的考慮。網(wǎng)絡(luò)管理員必須明確設(shè)定這臺服務(wù)器(域控制器)可以通過終端服務(wù)實現(xiàn)遠程登陸。也就是說網(wǎng)絡(luò)管理員必須另外賦予該組這個權(quán)限之后管理員錯菜可以進行遠程連接。若要賦予這個權(quán)限，網(wǎng)絡(luò)管理員需要依次打開“開始”、“管理工具”、“域控制器安全策略”、“安全設(shè)置”、“本地策略”、“用戶權(quán)限分配”，在打開的窗口中，再次點擊“通過終端服務(wù)允許登陸”選項，把這個遠程桌面用戶組加入進去即可。這個操作雖然簡單，但是卻極大的提高了終端服務(wù)遠程連接的安全性。因為有時候由于人為的疏忽，管理員可能在不需要這個終端服務(wù)的情況下，也會允許這個用戶組具有這個權(quán)限(默認情況下有)。而不會在不需要的時候，主動去禁用這個權(quán)限。所以這個措施可以大大的提高服務(wù)器的安全性，降低因為啟用了終端服務(wù)而對此造成的安全隱患。

　　這里要注意的是，這個設(shè)置不會馬上起效。設(shè)置完成之后，網(wǎng)絡(luò)管理員必須等到此策略應用域控制后才有效。默認情況下，系統(tǒng)會每隔五分鐘去檢測一下是否有新的安全策略，如果有的話，則會馬上應用。如果網(wǎng)絡(luò)管理員等不及的話，則可以重新啟動服務(wù)器。不過筆者不建議這么做。這主要是因為服務(wù)器頻繁啟動對于服務(wù)器的穩(wěn)定性不利。而且此時可能有其他用戶連接到服務(wù)器生正在進行操作，會影響他們的數(shù)據(jù)保存等等。如果網(wǎng)絡(luò)管理員連五分鐘也等不及，需要馬上啟用這個策略(如出于測試的需要)，則可以采用gpupdate /force命令來強制立即啟用策略。如此這個權(quán)限設(shè)置就會馬上生效。

　　三、用戶授權(quán)問題。

　　出于微軟的商業(yè)策略，微軟在終端服務(wù)上有授權(quán)的限制。當網(wǎng)絡(luò)管理員安裝終端服務(wù)器之后，雖然可以供多人同是執(zhí)行位于終端服務(wù)器內(nèi)的應用程序，但是這有一個120天的限制。終端服務(wù)器在120天后系統(tǒng)會拒絕用戶來連接，即拒絕網(wǎng)絡(luò)管理員通過終端服務(wù)登陸服務(wù)器。此時網(wǎng)絡(luò)管理員如果仍然需要利用這個終端服務(wù)的話，則必須在企業(yè)網(wǎng)絡(luò)中有一臺已經(jīng)被激活的“終端服務(wù)器授權(quán)服務(wù)器”，并且取得合法的授權(quán)連接數(shù)量。也就是說等到120天之后，網(wǎng)絡(luò)管理員必須經(jīng)過“終端服務(wù)器授權(quán)服務(wù)器”的授權(quán)后，才可以連接到終端服務(wù)器。換句話說，此時企業(yè)還需要一定的付出。不過相對于其收益來說，這個付出也是有必要的。通常情況下，網(wǎng)絡(luò)管理員可以先試用3到4個月來直觀感受一下其帶來的便利性。等到試用滿意后再考慮是否要部署“終端服務(wù)器授權(quán)服務(wù)器”。

最新評論