В статията, ще се използва следната терминология:

· Administrator- служител, който свързва отдалечено да изпълнява никакви действия от компютъра на потребителя, като технически сътрудник помощен персонал. Не е задължително, че този човек е имал административни привилегии на дистанционното управление.

· Удобна за всяко лице, което работи в местната сесия пред компютъра, както и че искате да помогнете.

Първите две - установени методи за осигуряване на отдалечен достъп до Windows. Отдалечена помощ се препоръчва използването на механизма за подпомагане на потребителя. Например, необходимо е да се отбележи, действията на потребителя, което води до грешка, или обратно, за да покаже на потребителя нещо. Remote Desktop трябва да се използва, когато трябва да изпълнява всякакви административни задачи, които не изискват намеса на потребителя. Например: инсталиране на актуализацията на приложение, сигурност, промяна на системните настройки на Windows. Тъй като клиентски системи Windows могат да бъдат използвани едновременно от само един потребител, а след това се свържете с помощта Remote Desktop ще отмени текущия потребител. Помислете за това, което се случва, когато се опитате да се свържете чрез ПРСР към машината, на която местните влезли.

В този момент, когато администратор инициира свързване към работната станция с помощта на Remote Desktop, се показва уведомление, че потребителят се открива активна.

Ако администраторът избира "Да", а след това на работното място се показва съобщение за текущия потребител се опитва да се свърже с отдалечен работен плот.

Трябва да кажа, потребителят може да отхвърли връзката, като изберете "Отказ", а след това на администратора ще видите следното съобщение:

Байпас този механизъм не може, и в този случай, правилното нещо е да се прибягва до административни и организационни мерки.

Ако потребителят избере опцията "Yes", или в рамките на 30 секунди, не изберете нито един от вариантите, има дистанционна връзка на сесия, а текущия потребител сесия се движи на заден план и потребителят вижда приветстващ екран Ctrl-Alt-Delete.

Потребителят може да се опита да влезе в сесията, в същото време той е уведомен, че компютърът работи на отдалечения потребител

Администратор в сесията на ПРСР, ще бъдете помолени да свържете

Администраторът, по същия начин, като потребителят може да отхвърли искането.

Още веднъж искам да подчертая, че потребителската сесия не е завършен, и се движи на заден план. По този начин, всички потребителски приложения са активни ще продължи да работи.

На конзолата във всеки дом!

Свържете се с клиентския компютър с помощта на трите метода (дистанционно Инструменти, отдалечена помощ, Remote Desktop) е възможно с помощта на ConfigMgr Management Console конзолата администрация. В допълнение на достъп до отдалечено управление конзола с помощта на помощния персонал може да получи същата информация инвентаризация през Resource Explorer. Разбира се, ако на сервизната дейност има голям брой на служителите, които се нуждаят само от отдалечен достъп функционалност, монтаж SCCM Administrator Console, при такъв сценарий може да не изглежда много удобно решение. Има няколко начина за решаване на този проблем.

Отдалечена помощ

Достъп до отдалечена помощ е възможно, когато стартирате съветника: отдалечена помощ на Windows (% Windir% \ system32 \ msra.exe)

Същата съветника може да се стартира чрез изпълняване на командата:% Windir% \ system32 \ msra.exe / offerra

Дистанционни Инструменти

Използване на конзолата за управление ConfigMgr конзолата администрация е само подкрепя и препоръчва начин за достъп чрез инструменти за отдалечено. Въпреки това, ако не искате да инсталирате SCCM конзола само с цел да се даде възможност за подкрепа на персонала, за да се свържете с клиенти, можете ръчно да прехвърляте файлове, необходими за работата. За стартиране на дистанционното инструменти, необходими файлове: rdpencom.dll и rc.exe намира в% Console_Path% \ AdminUI \ бин \ i386 папката.

За инструменти за отдалечено съдействие, ние трябва да работим за защитната стена, за да отворите конкретни пристанища. За простота в следната таблица, в рамките на сървъра е всеки компютър, на който администраторът започва средствата за отдалечено съдействие, и клиент - компютър, към който са свързани.

Ако някои помощен персонал, отговорен за поддръжка на клиенти, но само в определени отдели или клонове е препоръчително да добавите тези сметки към групата на сигурността на работниците и служителите само за тези компютри, в които тя е наистина необходимо. Можете да използвате Group Policy и по-специално механизма на ограничени групи.

Управление на потребителските акаунти (UAC)

UAC е въведена в Windows Vista, а след това е било променено в Windows 7. В идеалния случай, UAC, така трябва да бъде конфигуриран, че да не позволяват на потребителя да увеличи правата си. За съжаление, реалността е далеч от идеалното. Най-малкото зло (в сравнение с блокирането UAC) е да се конфигурира UAC да иска идентификационни данни. Желателно е да се използва SecureDesktop - това е само оцветяване, което се появява, когато се изкачи на UAC кутия с искане идентификационни данни. Използването сигурност Desktop успешно могат да се защитават срещу набор от спуфинг атаки, защото той заключи прозорец UAC с помощта на Secure Desktop идва със системата от правила, а в отделно помещение от потребителската програма.

В груповите правила, има няколко параметъра, които определят поведението на UAC (още)

· Контрол на потребителите на профила: одобрение от администратор режим за вградената Administrator акаунт

· Контрол на потребителите на профила: Позволете UIAccess приложения, за да подканват за надморска височина, без да използвате защитен работен плот

· Управление на потребителските акаунти: Поведение на ред кота за администратори в Admin Mode Одобряване

· Управление на потребителските акаунти: Поведение на ред кота за стандартни потребители

· Управление на потребителските акаунти: Откриване на инсталации за кандидатстване и подкани за издигане

· Управление на потребителските акаунти: издигане Само изпълними файлове, подписани и заверени

· Управление на потребителските акаунти: издигане Само UIAccess приложения, които са инсталирани в безопасни места

· Управление на потребителските акаунти: Изпълняване на всички администратори в Admin Mode Одобряване

· Управление на потребителските акаунти: Превключи на защитен работен плот, когато накара за издигане

· Управление на потребителските акаунти: Виртуализиране файлове и регистър запис неуспехи, в местата на отделните потребители

Превъртете до настройката, която може да се наложи да се промени. Фактът, че Отдалечено съдействие и инструменти за отдалечено, по силата на техните характеристики, може да не се показват на прозорец с подкана UAC, ако използвате Secure Desktop.

Ако работникът или служителят на подкрепа ще се опитват да извършват действия, които изискват повишаване и показване на UAC (в режим на Secure Desktop), той ще видите черен екран в случай на оферта за отдалечена помощ и да се възползват от Remote Desktop, ако използвате инструменти за отдалечено.

Правилният и безопасен начин за решаване на този проблем е да се използва за отдалечен работен плот, за всички случаи, когато се изисква повишени привилегии. Remote Desktop подкрепя напълно UAC работа във всички режими. В допълнение, използването на Remote Desktop е сигурен начин да се работи с повишени привилегии на клиента, с мнението, че крайният потребител не може да деактивира дистанционно сесия и по този начин няма да може, дори и временно, за да получат повишени привилегии на компютъра. Ако използвате функцията за отдалечена помощ или ръководство за дистанционно инструменти във всеки един момент може да бъде деактивирано от администратора на системата, както и да бъде сам, например, работи командния ред с администраторски права. Така че се опитват да използват Remote Desktop, когато е възможно.

Ако все пак ще трябва да използвате функцията за отдалечена помощ \ Дистанционни Инструменти за работа с UAC, има два начина да направите това.

За инструменти за отдалечен

Трябва да зададете следните параметри

Показва UAC, е необходимо да се премине в режим на Secure Desktop, преди да поискате да увеличи правата

ConfigMgr представител, когато е свързан с инструменти за отдалечен, самостоятелно временно деактивира Secure Desktop. По този начин, по време на сесия на техническа подкрепа на служителите може да повиши прав. След Инструменти сесия Remote е пълна, ConfigMgr Агент отново включва защитен работен плот. По-малко от този подход е, че когато ненормално завършване (потребителят е завършил процеса чрез Task Manager) Secure Desktop ще остане на разстояние до следващото прилагане на политиката.

За отдалечена помощ

В груповите правила, има параметър «Позволете UIAccess приложения, за да подканват за надморска височина, без да използвате защитен десктоп», която в случай на включване на функцията за отдалечена помощ ви позволява да забраните временно Secure Desktop. Плюс това, този подход е, че дори ако потребителят завършва процеса на отдалечено съдействие на компютъра си, системата автоматично ще се включи Secure Desktop.