如何利用win 10远程凭据保护,实现安全的远程桌面连接
时间:2023-08-11 20:49:20
对于大多数系统管理员来说,远程桌面是最常用的 Windows 功能之一。但每次选择「信任远程 PC」时,都需要冒一些远程桌面凭据泄漏的风险,如果你对所连接的远程计算机并不了解,甚至在连接一台已受感染或被动了手脚的远程系统,凭据泄漏风险就更大了。
为了消除这一潜在安全威胁,微软在 Windows 10 周年更新和 Windows Server 2016 中引入了远程凭据保护(Remote Credential Guard)功能。「远程凭据保护」可以帮助用户通过远程桌面连接将 Kerberos 请求重定向回请求发起设备来保护您的凭据,同时还为远程桌面会话提供了 SSO(单点登录)支持。如果远程服务器已被恶意攻陷,由于凭据和凭据衍生的验证信息都不会发往目标服务器,也可保证验证凭据不会暴露。
远程凭据保护的常见使用场景如下:
由于 Administrator 拥有很高特权,必需受到最大程度的保护。通过使用「远程凭据保护」进行 Remote Desktop 连接,凭据不会通过网络传递到目标设备。
Helpdesk 团队管理的设备可能已经被感染,「Remote Credential Guard」可以保护 Helpdesk 成员在进行 RDP 连接时不被恶意软件窃取凭据。
下图为 Remote Credential Guard 的工作示意图,可以帮助大家了解其工作原理。
远程凭据保护软、硬件要求
远程桌面客户端和服务器必须满足以下要求才能使用远程凭据保护特性:
Remote Desktop 服务器和客户端必需是 Active Directory 成员。(服务器和客户端必需加入同一域或加入的域有信任关系)
必须使用 Kerberos 身份验证
操作系统必需是 Windows 10 version 1607 或 Windows Server 2016
必需使用 Windows 10 或 WS 2016 中内置的经典「远程桌面连接」应用,UWP 应用不支持此特性。
启用远程凭据保护功能
Remote Credential Guard 功能默认不启用,我们可以通过更改注册表或配置组策略的方式手动开启。
注册表方法
1使用 Windows + R 快捷键打开「运行」— 执行 regedit 打开注册表编辑器。
2导航到如下路径:
HKEY_LOCAL_MACHINESystemCurrentControlSetControlLsa
3新建一个名为 DisableRestrictedAdmin 的 DWORD (32 位)值,并将其值设置为 0 即可。
如果你想偷懒,也可在「命令提示符」中直接使用如下命令更改注册表:
reg add HKLMSYSTEMCurrentControlSetControlLsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD
组策略方法
如果要在域成员中批量启用,最好的办法就是通过组策略为特定客户端启用「远程凭据保护」支持。
1使用 Windows + R 快捷键打开「运行」— 执行 gpedit.msc 打开组策略编辑器(域管理员直接使用 GPMC)。
2导航到如下路径:
计算机配置—管理模板—系统—凭据分配
3在右侧找到「限制向远程服务器分配凭据」将其启用,再在下拉列表中选择「需要远程 Credential Guard」后点击「确定」
4更改完成后,等待一些时间即可生效或者执行 gpupdate /force 强制刷新策略。
临时启用远程凭据保护
使用参数为RDP连接启用远程凭据保护
除了通过注册表或组策略直接启用远程凭据保护功能外,还可以通过附加参数临时启用。
mstsc.exe /remoteGuard
使用远程凭据保护时的注意事项
远程凭据保护不包括「设备声明」。 例如,如果您尝试从远程访问文件服务器,并且文件服务器需要设备声明,则访问将被拒绝。
远程凭据保护不能用于连接到加入 Azure Active Directory 的设备。
远程桌面凭证保护仅适用于 RDP 协议。
虽然不会有凭据直接发送到目标设备,但目标设备仍然自己获取 Kerberos 服务的 Ticket。
远程桌面网关与远程凭据保护不兼容。
无能使用「已保存」或非自身的凭据,必须使用登录到设备的用户凭据。
客户端和服务器都必须加入到同一个域或域必须具有信任关系。
服务器和客户端必须使用 Kerberos 进行身份验证。
如何利用win 10远程凭据保护,实现安全的远程桌面连接的下载地址:
![](/images/zang.png)
![](/images/jiucuo.png)
猜你喜欢
xbox控制台小帮手一直停在请稍等_ xbox控制台小帮手一直停在请稍等解决方法
![](https://img.aspxhome.com/file/2023/3/a301821_0s.jpg)
你是苹果全新M1芯片MacBook Pro的目标用户吗?
![](https://img.aspxhome.com/file/2023/2/a209292_0s.jpeg)
PS新手教程-如何使用PS制作波尔卡圆点效果海报
![](https://img.aspxhome.com/file/2023/10/a344001_0s.jpeg)
360免费WIFI怎么用?360免费WIFI好用吗?
![](https://img.aspxhome.com/file/2023/9/a340739_0s.jpg)
笔记本搜索不到无线网的解决方法
![](https://img.aspxhome.com/file/2023/2/a287345_0s.png)
Windows7系统资源管理器文件夹智能(自动展开)
![](https://img.aspxhome.com/file/2023/29/a257663_0s.jpg)
共享文件时提示没有启动文件服务器服务怎么办
![](https://img.aspxhome.com/file/2023/2/a287175_0s.png)
Win10开机任务栏转圈怎么解决?
![](https://img.aspxhome.com/file/2023/26/a220038_0s.png)
Win10 build 18865中已经包含基于Chromium的Edge浏览器
![](https://img.aspxhome.com/file/2023/4/a310367_0s.jpg)
Snipaste、FS、ShareX,专业截图工具哪个更好用?
![](https://img.aspxhome.com/file/2023/9/a342848_0s.jpg)
AutoCAD 2010怎么创建临时块?AutoCAD2010创建临时块的方法
![](https://img.aspxhome.com/file/2023/7/a331691_0s.jpg)
Win10使用小娜搜索文件没有反应的解决方法
![](https://img.aspxhome.com/file/2023/1/a280195_0s.jpg)
excel怎么求男职工平均年龄
![](https://img.aspxhome.com/file/2023/6/a140206_0s.png)
win10系统c盘多大适合_win10系统c盘多大适合解答
![](https://img.aspxhome.com/file/2023/2/a289268_0s.png)
win10和win8的区别在哪_win10和win8的区别
![](https://img.aspxhome.com/file/2023/3/a300283_0s.jpg)
在excel中制作曲线图的方法步骤详解
会声会影怎么录制画外音_会声会影录制画外音教程
![](https://img.aspxhome.com/file/2023/5/a316935_0s.png)
PPT中常出现的错误做法
Word怎么做工程进度计划表?用word快速绘制工程进度计划表的方法流程
![](https://img.aspxhome.com/file/2023/0/22770_0s.jpg)
快手集福卡万能卡怎么快速获得?集齐5张福牛卡玩法
![](https://img.aspxhome.com/file/2023/6/a324600_0s.jpg)