Minden rendszeradminisztrátor felhasználónak egy nagyon őszinte gondja van: a hitelesítési adatok biztosítása távoli asztali^(Desktop) kapcsolaton keresztül. Ennek az az oka, hogy a rosszindulatú programok bármelyik másik számítógépre eljuthatnak az asztali kapcsolaton keresztül, és potenciális veszélyt jelenthetnek az Ön adataira. Ez az oka annak, hogy a Windows operációs rendszer^{(Windows OS)} egy figyelmeztetést villog: „ Győződjön meg arról, hogy megbízik ebben a számítógépben, mert egy nem megbízható számítógéphez való csatlakozás károsíthatja a számítógépet^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} ”, amikor megpróbál csatlakozni egy távoli asztalhoz.

Ebben a bejegyzésben látni fogjuk, hogy a Windows 10 rendszerben^{(Windows 10)} bevezetett  Remote Credential Guard funkció hogyan segíthet a távoli asztal hitelesítő adatainak védelmében a Windows 10 Enterprise és a Windows Server rendszerben^{(Windows Server)} .

Remote Credential Guard a Windows 10 rendszerben^{(Windows 10)}

A funkció célja, hogy kiküszöbölje a fenyegetéseket, mielőtt azok súlyos helyzetté válnának. Segít megvédeni hitelesítő adatait távoli asztali^(Desktop) kapcsolaton keresztül azáltal, hogy a Kerberos kéréseket visszairányítja a kapcsolatot kérő eszközre. Egyszeri bejelentkezési élményt is biztosít a távoli asztali^{(Remote Desktop)} munkamenetekhez.

Bármilyen szerencsétlenség esetén, amikor a céleszköz veszélybe kerül, a felhasználó hitelesítő adatai nem kerülnek nyilvánosságra, mivel a hitelesítő adatok és a hitelesítő adatok származékai soha nem kerülnek elküldésre a céleszközre.

A Remote Credential Guard működési módja nagyon hasonló a Credential Guard által a helyi gépeken kínált védelemhez, kivéve, hogy a Credential Guard a tárolt tartományi hitelesítő adatokat is védi a Credential Manageren^{(Credential Manager)} keresztül .

Az egyén a Remote Credential Guard szolgáltatást a következő módokon használhatja:

1. Mivel az adminisztrátori^{(Administrator)} hitelesítési adatok nagy privilegizáltak, védeni kell őket. A Remote Credential Guard használatával biztos lehet benne, hogy hitelesítő adatai védettek, mivel nem teszi lehetővé a hitelesítési adatok hálózaton keresztül történő átadását a céleszköznek.
2. A szervezetben a Helpdesk^(Helpdesk) alkalmazottainak csatlakozniuk kell a tartományhoz csatlakoztatott eszközökhöz, amelyek veszélybe kerülhetnek. A Remote Credential Guard segítségével a helpdesk alkalmazottja az RDP segítségével csatlakozhat a céleszközhöz anélkül, hogy a hitelesítő adatait kártékony programokkal veszélyeztetné.

Hardver és szoftver követelmények

A Remote Credential Guard zökkenőmentes működése érdekében győződjön meg arról, hogy a Távoli asztal^{(Remote Desktop)} kliensével és kiszolgálójával kapcsolatos alábbi követelmények teljesülnek.

1. A távoli asztali klienst^{(Remote Desktop Client)} és a kiszolgálót egy Active Directory tartományhoz kell csatlakoztatni
2. Mindkét eszköznek vagy ugyanahhoz a tartományhoz kell csatlakoznia, vagy a távoli asztali^{(Remote Desktop)} kiszolgálót egy olyan tartományhoz kell csatlakoztatni, amely az ügyféleszköz tartományával megbízható kapcsolatban van.
3. A Kerberos hitelesítést engedélyezni kellett volna.
4. A Remote Desktop ügyfélnek legalább Windows 10 1607-es verziójának vagy Windows Server 2016 -nak kell futnia .
5. A Remote Desktop Universal Windows Platform alkalmazás nem támogatja a Remote Credential Guard szolgáltatást^{(Remote Credential Guard)} , ezért használja a Remote Desktop klasszikus Windows alkalmazást.

A Remote Credential Guard^{(Remote Credential Guard)} engedélyezése a rendszerleíró adatbázison^(Registry) keresztül

A Remote Credential Guard engedélyezéséhez a céleszközön nyissa meg a Rendszerleíróadatbázis-szerkesztőt^{(Registry Editor)} , és lépjen a következő kulcsra:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Adjon hozzá egy új, DisableRestrictedAdmin^{(DisableRestrictedAdmin)} nevű duplaszó-értéket . A Remote Credential Guard^{(Remote Credential Guard)} bekapcsolásához állítsa a beállításjegyzék értékét 0 -ra .

Zárja be a Rendszerleíróadatbázis-szerkesztőt.

A Remote Credential Guard engedélyezéséhez futtassa a következő parancsot egy emelt szintű CMD-ről:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Kapcsolja be a Remote Credential Guard funkciót^{(Remote Credential Guard)} a csoportházirend segítségével^{(Group Policy)}

A Remote Credential Guard az ügyféleszközön csoportházirend beállításával vagy a ^{(Group Policy)}Remote Desktop Connection paraméter használatával lehetséges .

A Csoportházirend-kezelési konzolon^{(Group Policy Management Console)} lépjen a Computer Configuration > Administrative Templates > System > Credentials Delegation.

Most kattintson duplán a Hitelesítési adatok delegálásának korlátozása távoli kiszolgálókra^{(Restrict delegation of credentials to remote servers)} lehetőségre a Tulajdonságok ablak megnyitásához.

Most a következő korlátozott mód használata^{(Use the following restricted mode)} mezőben válassza a Távoli hitelesítési adatok őrének megkövetelése lehetőséget. ^{( Require Remote Credential Guard. )}A másik lehetőség Korlátozott rendszergazdai mód^{(Restricted Admin mode)} is rendelkezésre áll. Ennek az a jelentősége, hogy ha a Remote Credential Guard nem használható, akkor a korlátozott rendszergazdai^{(Restricted Admin)} módot használja.

Mindenesetre sem a Remote Credential Guard , sem a Restricted Admin (Korlátozott rendszergazdai mód) nem küldi el a hitelesítési adatokat tiszta szövegben a távoli asztali^{(Remote Desktop)} kiszolgálónak.

Engedélyezze a Remote Credential Guard szolgáltatást^{(Allow Remote Credential Guard)} a „ Távoli hitelesítési adatok előnyben részesítése^{(Prefer Remote Credential Guard)} ” lehetőség kiválasztásával.

Kattintson az OK gombra^{(Click OK)} , és lépjen ki a Csoportházirend-kezelő konzolból^{(Group Policy Management Console)} .

Most a parancssorból futtassa a gpupdate.exe /force , hogy megbizonyosodjon a csoportházirend-^{(Group Policy)} objektum alkalmazásáról.

Használja a Remote Credential Guard funkciót a ^{(Use Remote Credential Guard)}Remote Desktop Connection paraméterrel

Ha nem használja a csoportházirendet a szervezetében, akkor a Remote ^{(Group Policy)}Desktop Connection indításakor hozzáadhatja a remoteGuard paramétert, hogy bekapcsolja a távoli hitelesítési adatok őrét^{(Remote Credential Guard)} az adott kapcsolathoz.

mstsc.exe /remoteGuard

A Remote Credential Guard^{(Remote Credential Guard)} használatakor szem előtt tartandó dolgok

1. A Remote Credential Guard^{(Remote Credential Guard)} nem használható az Azure Active Directoryhoz^{(Azure Active Directory)} csatlakoztatott eszközhöz való csatlakozáshoz .
2. A Remote Desktop Credential Guard^{(Remote Desktop Credential Guard)} csak az RDP protokollal működik.
3. A Remote Credential Guard^{(Remote Credential Guard)} nem tartalmazza az eszközigényeket. Például, ha távolról próbál elérni egy fájlszervert, és a fájlszerverhez eszközigénylés szükséges, a hozzáférés meg lesz tagadva.
4. A kiszolgálónak és az ügyfélnek a Kerberos használatával kell hitelesítenie .
5. A tartományoknak bizalmi kapcsolatnak kell lenniük, vagy az ügyfélnek és a kiszolgálónak is ugyanahhoz a tartományhoz kell csatlakozniuk.
6. A Remote Desktop Gateway^{(Remote Desktop Gateway)} nem kompatibilis a Remote Credential Guard programmal .
7. Nem szivárogtak ki hitelesítési adatok a céleszközre. A céleszköz azonban továbbra is önállóan szerzi meg a Kerberos szolgáltatási ^{(Kerberos Service)} jegyeket^(Tickets) .
8. Végül annak a felhasználónak a hitelesítő adatait kell használnia, aki bejelentkezett az eszközre. A mentett vagy az Önétől eltérő hitelesítő adatok használata nem megengedett.

Erről bővebben a Techneten^(Technet) olvashat .

Kapcsolódó^(Related) : Hogyan lehet növelni a távoli asztali kapcsolatok számát a^{(increase the number of Remote Desktop Connections)} Windows 10 rendszerben.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very genuine concern – securing credentials over a Remote Desktop connection. Thіs іs because malware can find its way to any other соmputer over the desktop cоnnection and pose a potential threat to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Növelje a távoli asztali kapcsolatok számát a Windows 11/10 rendszerben

• A Windows billentyű beragadt a távoli asztali munkamenetről való váltás után

• A beillesztés nem másolható a távoli asztali munkamenetben a Windows 10 rendszerben

• Hitelesítési hiba történt, a kért funkció nem támogatott

• Hozzon létre Távoli asztali kapcsolat parancsikont a Windows 11/10 rendszerben

• A távoli asztal nem csatlakozik Windows 10 rendszerben

• Nincsenek távoli asztali licenckiszolgálók; A távoli munkamenet megszakadt

• A távoli asztali kapcsolat engedélyezése és használata a Windows 11/10 rendszerben

• Engedélyezze a Távoli asztalt a Parancssor vagy a PowerShell segítségével

• A távoli asztal blokkolása a Windows PC-n -

• A távoli asztal nem működik, vagy nem csatlakozik a Windows 11/10 rendszerben

• Az RDP-kapcsolat megszakad, ha engedélyezi a Sound on Remote Desktop funkciót

• A Távoli asztal (RDP) használata a Windows 11/10 Home rendszerben

• Engedélyezze a Távoli asztalt a Windows 10 rendszeren 2 perc alatt

• A Távoli asztal opció szürkén jelenik meg a Windows 10 rendszeren

• Hajtsa végre a CTRL+ALT+DEL billentyűkombinációt a távoli számítógépen a Remote Desktop használatával

• Parancssori paraméterek a távoli asztali kapcsolatokhoz

• A legjobb ingyenes távoli asztali szoftver Windows 10 rendszerhez

• A hitelesítési adatok nem működtek a Távoli asztalon a Windows 11/10 rendszeren

• Ctrl+Alt+Delete küldése távoli asztali munkamenetben