Создание настраиваемой групповой политики для управления доступом RDP к виртуальным машинам.

Когда я добавляю нового пользователя в нашу локальную Active Directory, я хочу назначить эту учетную запись определенной группе безопасности, такой как «Prod Group», «Developer Group» или «Support Group».

Моя цель - контролировать доступ пользователей к конкретным типам виртуальных сред, чтобы пользователи «группы поддержки» могли получить доступ только к виртуальным машинам, которые я классифицирую как поддержка, а не к рабочим виртуальным машинам.

Я разработчик по чертам характера, поэтому я не очень хорошо разбираюсь в том, как это сделать, я искал много мест, таких как это ссылка на сайт чтобы помочь мне, и вот что я уже сделал:

Создайте пользователя и группу в Active Directory - пользователи и компьютеры:

1. Создать группу: Группа разработчиков
2. Добавьте его в родительскую группу: Удалить пользователей рабочего стола
3. Создайте пользователя: MyDomain \ rdptest
4. Назначьте пользователя MyDomain \ rdptest в «Группу разработчиков»

Создать организационную единицу:

1. Создайте организационную единицу в нашем домене под названием «Тестовые компьютеры»
2. Назначьте тестовую виртуальную машину этой вновь созданной организационной единице, эта виртуальная машина является членом «компьютеров домена».

Создайте объект групповой политики с помощью управления групповой политикой:

1. Создайте объект групповой политики под названием «Dev RDP Access» в организационной единице «Тестовый компьютер».
2. Измените этот объект групповой политики, чтобы он имел следующие параметры:

Связать объект групповой политики:

1. Свяжите объект групповой политики Dev RDP Access с организационной единицей «Тестовые компьютеры»
2. Применяйте групповую политику Dev RDP Access к организационному модулю «Тестовые компьютеры»
3. Назначьте группу безопасности «Группа разработчиков» групповой политике «Доступ RDP для разработчиков».

Отправьте обновление политики Active Directory:

1. Я запускаю команду с компьютера DC, чтобы принудительно синхронизировать политику с машиной, на которой я хочу протестировать свой RDP: gpupate / force
2. Я также попытался запустить команду PowerShell gpupdate, чтобы убедиться: Invoke-Command -ComputerName TEST_PC -ScriptBlock {gpupdate / force}

После всего этого я все еще не могу подключить RDP к самой машине из-за этой ошибки.

Вы видите какие-либо проблемы с шагами, которые я опубликовал, и если я что-то пропустил? Я исследую немного больше, и некоторые предложили:

«Члены группы пользователей удаленного рабочего стола домена не являются автоматически членами локальной группы пользователей удаленного рабочего стола на вашем сервере RDS. Вам необходимо добавить группу пользователей удаленного рабочего стола домена в локальную группу пользователей удаленного рабочего стола на сервере».

Это тот шаг, который мне не хватает, если да, как это сделать из Active Directory, потому что, если нам нужно перейти к каждой виртуальной машине, чтобы сделать это, это нарушит цель централизованного управления, которую Active Directory пытается решить.

Изменить: я думаю, что сделал этот шаг, пожалуйста, см. Изображение ниже: