Мне нужно опубликовать одно приложение через RDP для анонимных пользователей. Сервер (ы) - Windows 2008 R2, и пользовательское соединение обрабатывается с помощью решения Ericom WebConnect. Что особо не меняет - для Терминального сервера это по-прежнему обычное RDP-соединение.
Может ли сервер терминалов Windows 2008 R2 вообще изолировать параллельные сеансы одного и того же пользователя? Или мне нужно поместить приложение в своего рода песочницу?
Чтобы позволить неизвестному посетителю подключиться к приложению, общая учетная запись гостя домена названный visitor используется. Чтобы разрешить более одного параллельного сеанса на сервере, я отключил настройку Restrict each user to a single session.
Теперь я хочу, чтобы каждый посетитель получил новый сеанс. Чтобы быть конкретным: пользователь подключается, настроенные приложения запускаются, пользователи работают с ним, вносят изменения (сохраняются в реестре), закрывают приложение и сеанс удаляется. Я настроил групповую политику, чтобы пользователь получал только временный профиль, который не будет синхронизироваться с перемещаемым профилем через Delete cached copies of roaming profiles и Prevent Roaming Profile changes from propagating to the server.
Вышеупомянутое отлично работает, пока есть только один visitor подключены к серверу одновременно. Основная проблема возникает, если одновременно работает больше пользователей, например visitor #1 и visitor #2. Они используют одну и ту же среду - среди прочего, реестр пользователя. Таким образом, эти два экземпляра влияют друг на друга, что плохо.
Вторая проблема заключается в том, что недавно закрытое соединение может быть возобновлено другим пользователем. Это не должно быть возможным. (Я все еще ищу способ предотвратить это, но это не главный вопрос. Мы, вероятно, вообще запретим переподключение.)
Безопасность в этом сценарии не имеет большого значения. Но мы хотим, чтобы каждый пользователь видел то же самое.
Спасибо
Между входами в одну и ту же учетную запись пользователя нет изоляции безопасности. Вам нужно будет создать несколько учетных записей пользователей, чтобы обеспечить изоляцию на уровне ОС между входами пользователей в систему.
Лучший способ завершить отключенные сеансы - установить «Установить ограничение по времени для отключенных сеансов» параметр политики. Насколько мне известно, нет варианта, который бы немедленно завершил отключенные сеансы служб терминалов, но этот параметр завершит их в течение 1 минуты после их отключения.