Я пытаюсь настроить лабораторию с виртуальной машиной, на которой размещены все роли для служб удаленных рабочих столов Windows 2016 Server (CB, SH, WA), чтобы опубликовать несколько приложений, которые будут доставлены клиентам Windows 10 Professional.
Все машины присоединены к домену. В домене установлен центр сертификации Active Directory, который выдал доверенные сертификаты для всех ролей сервера RDS. Выданный сертификат имеет правильное имя субъекта и альтернативное имя субъекта.
Записи DNS _msradc (тип TXT) указывают на веб-канал опубликованных приложений: https: //rds.lan....biz/rdweb/feed
Объект групповой политики предоставляет клиентам адрес веб-канала: https: //rds.lan....biz/RDWeb/feed/webfeed.aspx
Действительно, я проверил реестр клиентской машины, и в разделе HKCU \ Software \ Policies \ Microsoft \ Workspaces есть правильное значение DefaultConnectionURL. Ключ HKCU \ Software \ Microsoft \ Workspaces \ Feeds пуст.
Но в меню «Пуск» нет RemoteApp.
Если я перейду через панель управления, войду в RemoteApp и рабочий стол вручную и добавлю что-то @ lan .... biz, меня попросят ввести учетные данные.
Это немного удивительно, потому что:
Поскольку список RemoteApp настраивается для каждого пользователя, логично, что для получения этого списка требуется аутентификация. Поэтому я подозреваю, что нужно применить некоторые настройки / политики, чтобы учетные данные пользователей, вошедших в систему, автоматически передавались в IIS и RDS. Я надеюсь, что решение этой проблемы решит также проблему отсутствия приложений в меню «Пуск».
Думаю, у меня есть результат. Подвести итоги:
Windows 10 Pro v1709 кажется обязательной для правильной работы публикации RemoteApp через WebFeed; очень досадно, что обновление не доступно для предыдущих версий Windows 10, учитывая тот факт, что публикация WebFeed является официальным способом публикации RemoteApp;
в моем случае обновления до v1709 было недостаточно; но в журнале событий появилось хоть какое-то сообщение об ошибке; после переустановки роли RDWA дела пошли лучше;
несмотря на то, что написано выше, членство сервера RDWA в зоне локальной интрасети Internet Explorer кажется необязательным для SSO;
но обязательно добавить «TERMSRV / *. lan.mydomain.com» в список SPN, разрешенный для учетных данных по умолчанию, проходящих через CredSSP;
Также рекомендуется добавить отпечаток сертификата, который используется для подписи файлов .rdp, в соответствующую политику.