У всех пользователей-системных администраторов есть одна очень насущная проблема — защита учетных данных при подключении к удаленному рабочему столу^(Desktop) . Это связано с тем, что вредоносное ПО может проникнуть на любой другой компьютер через настольное подключение и создать потенциальную угрозу для ваших данных. Вот почему ОС Windows^{(Windows OS)} выдает предупреждение « Убедитесь, что вы доверяете этому ПК, подключение к ненадежному компьютеру может нанести вред вашему ПК^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} » при попытке подключения к удаленному рабочему столу.

В этом посте мы увидим, как функция Remote Credential Guard , представленная в  Windows 10 , может помочь защитить учетные данные удаленного рабочего стола в Windows 10 Enterprise и Windows Server .

Удаленная защита учетных данных^{(Remote Credential Guard)} в Windows 10

Эта функция предназначена для устранения угроз до того, как они перерастут в серьезную ситуацию. Это помогает защитить ваши учетные данные при подключении к удаленному рабочему столу^(Desktop) , перенаправляя запросы Kerberos обратно на устройство, запрашивающее подключение. Он также обеспечивает возможность единого входа для сеансов удаленного рабочего стола .^{(Remote Desktop)}

В случае любой неудачи, когда целевое устройство скомпрометировано, учетные данные пользователя не раскрываются, поскольку ни учетные данные, ни производные учетные данные никогда не отправляются на целевое устройство.

Метод работы Remote Credential Guard очень похож на защиту, предлагаемую Credential Guard на локальном компьютере, за исключением того, что Credential Guard также защищает сохраненные учетные данные домена через Credential Manager .

Пользователь может использовать Remote Credential Guard следующими способами:

1. Поскольку учетные данные администратора^{(Administrator)} имеют высокие привилегии, они должны быть защищены. Используя Remote Credential Guard , вы можете быть уверены, что ваши учетные данные защищены, поскольку он не позволяет учетным данным передаваться по сети на целевое устройство.
2. Сотрудники службы поддержки^(Helpdesk) в вашей организации должны подключаться к присоединенным к домену устройствам, которые могут быть взломаны. С помощью Remote Credential Guard сотрудник службы поддержки может использовать RDP для подключения к целевому устройству, не подвергая свои учетные данные вредоносному ПО.

Требования к оборудованию и программному обеспечению

Чтобы обеспечить бесперебойную работу Remote Credential Guard , убедитесь, что соблюдены следующие требования к клиенту и серверу удаленного рабочего стола .^{(Remote Desktop)}

1. Клиент и сервер удаленного рабочего стола^{(Remote Desktop Client)} должны быть присоединены к домену Active Directory.
2. Оба устройства должны быть либо присоединены к одному и тому же домену, либо сервер удаленного рабочего стола^{(Remote Desktop)} должен быть присоединен к домену с отношением доверия к домену клиентского устройства.
3. Аутентификация Kerberos должна быть включена.
4. Клиент удаленного рабочего стола^{(Remote Desktop)} должен работать под управлением как минимум Windows 10 , версии 1607 или Windows Server 2016 .
5. Приложение универсальной платформы Windows для удаленного рабочего стола^{(Remote Desktop Universal Windows Platform)} не поддерживает Remote Credential Guard , поэтому используйте классическое приложение Windows для ^(Windows)удаленного рабочего стола^{(Remote Desktop)} .

Включить Remote Credential Guard через реестр^(Registry)

Чтобы включить Remote Credential Guard на целевом устройстве, откройте редактор реестра^{(Registry Editor)} и перейдите к следующему ключу:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Добавьте новое значение DWORD с именем DisableRestrictedAdmin . Установите для этого параметра реестра значение 0 , чтобы включить Remote Credential Guard .

Закройте редактор реестра.

Вы можете включить Remote Credential Guard , выполнив следующую команду из CMD с повышенными привилегиями:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Включите Remote Credential Guard с помощью групповой политики .^{(Group Policy)}

Можно использовать Remote Credential Guard на клиентском устройстве, настроив групповую политику^{(Group Policy)} или используя параметр подключения к удаленному рабочему столу^{(Remote Desktop Connection)} .

В консоли управления групповыми политиками^{(Group Policy Management Console)} выберите Computer Configuration > Administrative Templates > System > Credentials Delegation.

Теперь дважды щелкните Ограничить делегирование учетных данных удаленным серверам,^{(Restrict delegation of credentials to remote servers)} чтобы открыть окно «Свойства».

Теперь в поле « Использовать следующий ограниченный режим^{(Use the following restricted mode)} » выберите « Требовать удаленную защиту учетных данных». ^{( Require Remote Credential Guard. )}Другой вариант ограниченного режима администратора^{(Restricted Admin mode)} также присутствует. Его значение заключается в том, что когда Remote Credential Guard нельзя использовать, он будет использовать режим Restricted Admin .

В любом случае ни Remote Credential Guard , ни режим Restricted Admin не будут отправлять учетные данные в открытом виде на сервер удаленного рабочего стола .^{(Remote Desktop)}

Разрешить удаленную защиту учетных данных^{(Allow Remote Credential Guard)} , выбрав параметр « Предпочитать удаленную защиту учетных данных^{(Prefer Remote Credential Guard)} ».

Нажмите OK^{(Click OK)} и выйдите из консоли управления групповыми политиками^{(Group Policy Management Console)} .

Теперь из командной строки запустите gpupdate.exe /force , чтобы убедиться, что объект групповой политики применен.^{(Group Policy)}

Использовать Remote Credential Guard^{(Use Remote Credential Guard)} с параметром для подключения к удаленному рабочему^{(Remote Desktop)} столу

Если вы не используете групповую политику^{(Group Policy)} в своей организации, вы можете добавить параметр remoteGuard при запуске подключения к удаленному рабочему столу^{(Desktop Connection)} , чтобы включить Remote Credential Guard для этого подключения.

mstsc.exe /remoteGuard

О чем следует помнить при использовании Remote Credential Guard

1. Remote Credential Guard нельзя использовать для подключения к устройству, присоединенному к Azure Active Directory .
2. Credential Guard для удаленного рабочего стола^{(Remote Desktop Credential Guard)} работает только с протоколом RDP .
3. Remote Credential Guard не включает утверждения устройств. Например, если вы пытаетесь получить доступ к файловому серверу удаленно, а файловый сервер требует утверждения устройства, в доступе будет отказано.
4. Сервер и клиент должны аутентифицироваться с помощью Kerberos .
5. Домены должны иметь доверительные отношения, или и клиент, и сервер должны быть присоединены к одному и тому же домену.
6. Шлюз удаленных рабочих столов^{(Remote Desktop Gateway)} несовместим с Remote Credential Guard .
7. Учетные данные не передаются на целевое устройство. Однако целевое устройство по-прежнему получает билеты ^(Tickets)службы Kerberos^{(Kerberos Service)} самостоятельно.
8. Наконец, вы должны использовать учетные данные пользователя, который вошел в систему на устройстве. Использование сохраненных учетных данных или учетных данных, отличных от ваших, не разрешено.

Подробнее об этом можно прочитать на Technet .

Связанный^(Related) : Как увеличить количество подключений к удаленному рабочему столу^{(increase the number of Remote Desktop Connections)} в Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very genuinе concern – securing credеntials over a Remоte Desktop connection. This is beсause malware can find its wаy to any other cоmputer oνer the desktop connection and pose a potential threаt to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Увеличить количество Remote Desktop Connections в Windows 11/10

• Windows ключ застрял после переключения с Remote Desktop session

• Невозможно скопировать Paste в Remote Desktop Session в Windows 10

• RDP connection authentication error; Запрошенная Function не поддерживается

• Create Remote Desktop Connection shortcut в Windows 11/10

• Fix Remote Desktop не может найти computer error в Windows 11/10

• Microsoft Remote Desktop App для Windows 10

• Подключитесь к ПК с Windows из Ubuntu с помощью подключения к удаленному рабочему столу.

• NoMachine - бесплатный и портативный Remote Desktop Tool для Windows PC

• Как управлять ПК с Windows с помощью удаленного рабочего стола для Mac

• Remote Desktop Services вызывает High CPU в Windows 10

• Изменение listening port для Remote Desktop

• Нет Remote Desktop License Servers; Remote session отключен

• Как включить и Use Remote Desktop Connection в Windows 10

• Как использовать Remote Desktop (RDP) в Windows 11/10 Home

• Как настроить удаленный рабочий стол через маршрутизатор

• Microsoft Remote Desktop Assistant для Windows 10

• Удаленный рабочий стол не может подключиться к удаленному компьютеру на Windows 11/10

• RDP connection отключается при включении звука на Remote Desktop

• Как использовать приложение удаленного рабочего стола в Windows 10