Wszyscy administratorzy systemu mają jeden bardzo poważny problem — zabezpieczenie poświadczeń przez połączenie pulpitu^(Desktop) zdalnego . Dzieje się tak, ponieważ złośliwe oprogramowanie może znaleźć drogę do dowolnego innego komputera przez połączenie z komputerem stacjonarnym i stanowić potencjalne zagrożenie dla Twoich danych. Dlatego system operacyjny Windows^{(Windows OS)} wyświetla ostrzeżenie „ Upewnij się, że ufasz temu komputerowi, łączenie się z niezaufanym komputerem może uszkodzić Twój komputer^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} ” podczas próby połączenia z pulpitem zdalnym.

W tym poście zobaczymy, jak funkcja Remote Credential Guard , która została wprowadzona w  systemie Windows 10^{(Windows 10)} , może pomóc w ochronie poświadczeń pulpitu zdalnego w systemach Windows 10 Enterprise^{(Windows 10 Enterprise)} i Windows Server .

Zdalna ochrona poświadczeń^{(Remote Credential Guard)} w systemie Windows 10^{(Windows 10)}

Ta funkcja ma na celu eliminowanie zagrożeń, zanim rozwinie się w poważną sytuację. Pomaga chronić poświadczenia za pośrednictwem połączenia pulpitu^(Desktop) zdalnego , przekierowując żądania Kerberos z powrotem do urządzenia żądającego połączenia. Zapewnia również jednokrotne logowanie w sesjach pulpitu zdalnego .^{(Remote Desktop)}

W przypadku jakiegokolwiek nieszczęścia, w którym urządzenie docelowe zostanie naruszone, poświadczenia użytkownika nie są ujawniane, ponieważ zarówno poświadczenia, jak i pochodne poświadczeń nigdy nie są wysyłane do urządzenia docelowego.

Sposób działania Remote Credential Guard jest bardzo podobny do ochrony oferowanej przez Credential Guard na komputerze lokalnym, z wyjątkiem tego, że Credential Guard chroni również przechowywane poświadczenia domeny za pośrednictwem Credential Manager .

Osoba fizyczna może korzystać ze zdalnej ochrony poświadczeń^{(Remote Credential Guard)} na następujące sposoby:

1. Ponieważ poświadczenia administratora^{(Administrator)} są wysoce uprzywilejowane, muszą być chronione. Używając Remote Credential Guard , możesz mieć pewność, że Twoje poświadczenia są chronione, ponieważ nie pozwalają na przekazywanie poświadczeń przez sieć do urządzenia docelowego.
2. Pracownicy działu^(Helpdesk) pomocy technicznej w Twojej organizacji muszą łączyć się z urządzeniami przyłączonymi do domeny, które mogą zostać naruszone. Dzięki Remote Credential Guard pracownik działu pomocy technicznej może używać protokołu RDP^(RDP) do łączenia się z urządzeniem docelowym bez narażania swoich danych uwierzytelniających na złośliwe oprogramowanie.

Wymagania sprzętowe i programowe

Aby umożliwić płynne działanie funkcji Remote Credential Guard , upewnij się, że spełnione są następujące wymagania klienta i serwera pulpitu zdalnego .^{(Remote Desktop)}

1. Klient pulpitu zdalnego^{(Remote Desktop Client)} i serwer muszą być przyłączone do domeny Active Directory
2. Oba urządzenia muszą albo być przyłączone do tej samej domeny, albo serwer pulpitu^{(Remote Desktop)} zdalnego musi być przyłączony do domeny z relacją zaufania z domeną urządzenia klienckiego.
3. Uwierzytelnianie Kerberos powinno być włączone.
4. Klient pulpitu zdalnego^{(Remote Desktop)} musi działać co najmniej w systemie Windows 10^{(Windows 10)} w wersji 1607 lub Windows Server 2016 .
5. Aplikacja Remote Desktop Universal Windows Platform nie obsługuje Remote Credential Guard , więc użyj klasycznej aplikacji Remote Desktop dla ^{(Remote Desktop)}systemu Windows^(Windows) .

Włącz zdalną ochronę poświadczeń^{(Remote Credential Guard)} za pośrednictwem rejestru^(Registry)

Aby włączyć Remote Credential Guard na urządzeniu docelowym, otwórz Edytor rejestru^{(Registry Editor)} i przejdź do następującego klucza:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Dodaj nową wartość DWORD o nazwie DisableRestrictedAdmin . Ustaw wartość tego ustawienia rejestru na 0 , aby włączyć funkcję Remote Credential Guard .

Zamknij Edytor rejestru.

Funkcję Remote Credential Guard^{(Remote Credential Guard)} można włączyć , uruchamiając następujące polecenie z podwyższonego CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Włącz funkcję Remote Credential Guard^{(Remote Credential Guard)} za pomocą zasad grupy^{(Group Policy)}

Na urządzeniu klienckim można używać funkcji Remote Credential Guard , ustawiając ^{(Remote Credential Guard)}zasady grupy^{(Group Policy)} lub używając parametru w przypadku usługi Podłączanie pulpitu zdalnego^{(Remote Desktop Connection)} .

W konsoli zarządzania zasadami grupy^{(Group Policy Management Console)} przejdź do opcji Computer Configuration > Administrative Templates > System > Credentials Delegation.

Teraz kliknij dwukrotnie Ogranicz delegowanie poświadczeń do serwerów zdalnych,^{(Restrict delegation of credentials to remote servers)} aby otworzyć okno Właściwości.

Teraz w polu Użyj następującego trybu ograniczonego^{(Use the following restricted mode)} wybierz opcję Wymagaj zdalnej ochrony poświadczeń. ^{( Require Remote Credential Guard. )}Obecna jest również inna opcja Tryb ograniczonego administratora . ^{(Restricted Admin mode)}Jego znaczenie polega na tym, że gdy nie można użyć Remote Credential Guard , użyje trybu Zastrzeżonego administratora .^{(Restricted Admin)}

W każdym razie ani Remote Credential Guard , ani tryb administratora z ograniczeniami^{(Restricted Admin)} nie będą wysyłać poświadczeń w postaci zwykłego tekstu do serwera usług pulpitu^{(Remote Desktop)} zdalnego.

Zezwól na Remote Credential Guard^{(Allow Remote Credential Guard)} , wybierając opcję „ Preferuj Remote Credential Guard ”.^{(Prefer Remote Credential Guard)}

Kliknij OK^{(Click OK)} i zamknij konsolę zarządzania zasadami grupy^{(Group Policy Management Console)} .

Teraz z wiersza polecenia uruchom gpupdate.exe /force aby upewnić się, że obiekt zasad grupy^{(Group Policy)} jest stosowany.

Użyj funkcji Remote Credential Guard^{(Use Remote Credential Guard)} z parametrem połączenia z pulpitem zdalnym^{(Remote Desktop)}

Jeśli nie używasz zasad grupy^{(Group Policy)} w swojej organizacji, możesz dodać parametr remoteGuard podczas uruchamiania Podłączania pulpitu^{(Desktop Connection)} zdalnego, aby włączyć Remote Credential Guard dla tego połączenia.

mstsc.exe /remoteGuard

O czym należy pamiętać podczas korzystania ze zdalnej ochrony poświadczeń^{(Remote Credential Guard)}

1. Remote Credential Guard nie może być używany do łączenia się z urządzeniem, które jest przyłączone do Azure Active Directory .
2. Remote Desktop Credential Guard działa tylko z protokołem RDP .
3. Remote Credential Guard nie obejmuje oświadczeń dotyczących urządzeń. Na przykład, jeśli próbujesz uzyskać dostęp do serwera plików ze zdalnego, a serwer plików wymaga żądania urządzenia, dostęp zostanie odmówiony.
4. Serwer i klient muszą uwierzytelnić się przy użyciu protokołu Kerberos^(Kerberos) .
5. Domeny muszą mieć relację zaufania lub zarówno klient, jak i serwer muszą być przyłączone do tej samej domeny.
6. Brama usług pulpitu zdalnego^{(Remote Desktop Gateway)} nie jest zgodna z funkcją Remote Credential Guard^{(Remote Credential Guard)} .
7. Żadne poświadczenia nie zostały ujawnione na urządzeniu docelowym. Jednak urządzenie docelowe nadal samodzielnie uzyskuje bilety ^(Tickets)usługi Kerberos^{(Kerberos Service)} .
8. Na koniec musisz użyć poświadczeń użytkownika, który jest zalogowany na urządzeniu. Używanie zapisanych poświadczeń lub poświadczeń innych niż Twoje jest niedozwolone.

Możesz przeczytać więcej na ten temat w Technet .

Powiązane^(Related) : Jak zwiększyć liczbę połączeń pulpitu zdalnego^{(increase the number of Remote Desktop Connections)} w systemie Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one verу genuine cоncern – securing credentials over a Remote Desktop connection. This is because malware can find its way to any other computer over the desktop connection and рose a potential threat to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Zwiększ liczbę połączeń pulpitu zdalnego w systemie Windows 11/10

• Klawisz Windows zablokowany po przełączeniu z sesji pulpitu zdalnego

• Nie można skopiować i wkleić w sesji pulpitu zdalnego w systemie Windows 10

• Wystąpił błąd uwierzytelniania, Żądana funkcja nie jest obsługiwana

• Utwórz skrót Podłączanie pulpitu zdalnego w systemie Windows 11/10

• Jak włączyć Pulpit zdalny w systemie Windows 10 (lub Windows 7)

• Włącz Pulpit zdalny w systemie Windows 10 w ciągu 2 minut

• Najlepsze bezpłatne oprogramowanie pulpitu zdalnego dla systemu Windows 10

• Proste pytania: co to są połączenia pulpitu zdalnego?

• Ulterius: bezpłatne oprogramowanie Remote Desktop do zdalnego zarządzania komputerami

• Najlepsze darmowe oprogramowanie pulpitu zdalnego dla systemu Windows 10

• Napraw kod błędu pulpitu zdalnego 0x204 w systemie Windows 11/10

• Uzyskaj zdalny dostęp do komputera za pomocą Pulpitu zdalnego Chrome

• Aplikacja Microsoft Remote Desktop dla Windows 11/10

• Jak wysłać Ctrl+Alt+Delete w sesji zdalnego pulpitu?

• Wystąpił błąd wewnętrzny Błąd połączenia pulpitu zdalnego

• Połącz się z komputerem z systemem Windows z Ubuntu za pomocą połączenia pulpitu zdalnego

• Brak serwerów licencji usług pulpitu zdalnego; Sesja zdalna rozłączona

• Aplikacja pulpitu zdalnego czy TeamViewer Touch — która aplikacja jest lepsza?

• Pulpit zdalny nie działa lub nie łączy się w systemie Windows 11/10