2.2.2 Windows远程桌面访问安全配置

一、试题及考试说明

某公司正在管理一台Windows服务器，这台服务器上运行着远程桌面服务，用于方便管理员进行远程管理。为了增强安全性并遵循最佳实践，决定对远程桌面服务进行一系列的安全配置。

1. 创建一个新的管理员组用户：名为zg，该用户具有管理员权限。修改本地策略，zg的组不允许执行远程关机或重启系统的操作；
2. 设置远程桌面会话主机安全：要求使用TLS1.0对会话主机服务器进行身份验证，客户端与服务器之间传送的数据使用128位强加密，远程桌面服务是否始终提示客户端连接时需要密码；
3. 用命令行方式，更改特定文件的权限：将C:\Windows\System32\compmgmt.msc文件的所有权更改为Administrators。

二、操作步骤

1. 创建用户zg，隶属管理员组；设置安全策略，使zg用户不能远程关机或重启系统

（1）创建一个新的管理员组用户：名为zg，该用户具有管理员权限。


（2）修改本地策略，zg的组不允许执行远程关机或重启系统的操作；
打开组策略工具，计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配，选择从远程系统强制关机，将⾥⾯的Administrators组删除

2. 设置远程桌面会话主机安全：

要求使用TLS1.0对会话主机服务器进行身份验证，客户端与服务器之间传送的数据使用128位强加密，远程桌面服务是否始终提示客户端连接时需要密码；
（1）正确设置远程桌面主机会话的安全层协议配置为SSL；
打开组策略⼯具，计算机配置 → 管理模板 → Windows组件 → 远程桌⾯服务 → 远程桌⾯会话主机 → 安全- → “远程(RDP)，连接要求使⽤指定的安全层”，设置为已启⽤，安全层选择SSL。

（2）正确设置远程桌面主机会话的安全始终在连接时提示输入密码；

（3）设置客户端连接加密级别高等级；

3. 用命令行方式，更改特定文件的权限：将C:\Windows\System32\compmgmt.msc文件的所有权更改为Administrators。

takeown /F C:\Windows\System32\compmgmt.msc							
icacls "C:\Windows\System32\compmgmt.msc" /grant administrators:F	// 利用icacls命令授予administrators组完全访问权限（grant参数是授予，F为完全访问权限）