RDP działa tylko dla administratora

RDP działający tylko dla administratora wskazuje na brak dodania konta standardowego do grupy Użytkownicy pulpitu zdalnego.

Dlaczego RDP wpuszcza administratora, a odrzuca konto standardowe

RDP, czyli Remote Desktop Protocol, pozwala otworzyć sesję pulpitu systemu Windows z innego urządzenia. Jeżeli logowanie przez Pulpit zdalny działa wyłącznie dla konta administratora, a konto standardowe otrzymuje komunikat o braku uprawnień, najczęściej oznacza to różnicę w członkostwie grup lokalnych. Administratorzy mają domyślnie uprawnienie do logowania przez usługę Pulpit zdalny, natomiast zwykłe konto powinno zostać dodane do lokalnej grupy „Użytkownicy pulpitu zdalnego”, której angielska nazwa systemowa to „Remote Desktop Users”.

Samo istnienie konta użytkownika nie wystarcza do nawiązania sesji. System sprawdza między innymi, czy konto może logować się za pomocą usługi Remote Desktop Services oraz czy nie znajduje się na liście użytkowników objętych zakazem takiego logowania. Administrator może więc korzystać z RDP dzięki uprawnieniom wynikającym z członkostwa w grupie administratorów, podczas gdy konto standardowe zostanie zatrzymane przed utworzeniem sesji, jeśli nie ma odpowiedniego członkostwa lub lokalnego prawa użytkownika.

Grupa „Użytkownicy pulpitu zdalnego” i lokalne prawa logowania

Na komputerze z systemem Windows można sprawdzić ustawienie w właściwościach systemu, w sekcji dotyczącej Pulpitu zdalnego, używając przycisku wyboru użytkowników mogących łączyć się zdalnie. Dodanie konta do tej listy zwykle powoduje dodanie go do grupy „Użytkownicy pulpitu zdalnego”. W edycjach systemu, które udostępniają narzędzia administracyjne, członkostwo można również zweryfikować w „Zarządzaniu komputerem”, w gałęzi „Użytkownicy i grupy lokalne”, w grupie „Użytkownicy pulpitu zdalnego”.

Do sprawdzenia konfiguracji można użyć wiersza polecenia uruchomionego z uprawnieniami administratora. Polecenie net localgroup "Użytkownicy pulpitu zdalnego" wyświetla członków grupy, choć nazwa grupy może różnić się zależnie od języka instalacji systemu. W systemach anglojęzycznych będzie to net localgroup "Remote Desktop Users". Dodanie konkretnego konta wykonuje się poleceniem net localgroup "Remote Desktop Users" nazwa_konta /add, ale właściwą nazwę grupy należy dopasować do lokalizacji systemu. Po zmianie członkostwa warto zakończyć istniejącą sesję użytkownika i zalogować się ponownie, ponieważ część informacji o uprawnieniach jest pobierana podczas logowania.

Co jeszcze może zatrzymać logowanie standardowego użytkownika

Jeżeli konto znajduje się już w grupie „Użytkownicy pulpitu zdalnego”, należy sprawdzić lokalne zasady zabezpieczeń. W narzędziu „Zasady zabezpieczeń lokalnych” ustawienie „Zezwalaj na logowanie za pośrednictwem Usług pulpitu zdalnego” powinno obejmować grupę administratorów oraz grupę użytkowników pulpitu zdalnego albo konkretnie wskazane konto. Równocześnie ustawienie „Odmowa logowania za pośrednictwem Usług pulpitu zdalnego” ma pierwszeństwo nad zezwoleniem. Jeśli konto lub jedna z grup, do których należy, znajduje się na liście odmowy, samo dodanie użytkownika do grupy zezwalającej nie rozwiąże problemu.

W środowisku zarządzanym zasadami grupy ustawienia lokalne mogą być nadpisywane przy odświeżaniu konfiguracji. Wtedy trzeba sprawdzić, czy reguła domenowa lub inna polityka bezpieczeństwa nie usuwa członkostwa z grupy albo nie ogranicza prawa logowania. Należy także rozdzielić problem uprawnień od problemu połączenia sieciowego. Jeśli klient RDP nie dociera do komputera, przyczyną może być wyłączony Pulpit zdalny, zapora blokująca reguły dla tego protokołu, błędny adres lub brak dostępności komputera. Jeśli pojawia się ekran uwierzytelniania, a odrzucenie następuje dopiero po podaniu danych, bardziej prawdopodobna jest konfiguracja konta lub polityka logowania.

Bezpieczne uporządkowanie dostępu przez Pulpit zdalny

Przy diagnozie należy potwierdzić nazwę konta, jego typ oraz rzeczywiste członkostwo w grupach, zamiast zakładać, że konto standardowe zostało dodane poprawnie. Pomocne jest sprawdzenie, czy konto nie jest wyłączone, czy hasło nie wygasło oraz czy logowanie lokalne tego użytkownika działa prawidłowo. W systemach obsługujących uwierzytelnianie na poziomie sieci użytkownik może zostać poproszony o podanie danych jeszcze przed utworzeniem pełnej sesji pulpitu. Błąd na tym etapie może wynikać zarówno z poświadczeń, jak i z braku prawa do korzystania z usługi zdalnego logowania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z kontami użytkowników, usługą Pulpit zdalny oraz konfiguracją systemu Windows. Podczas sprawdzania RDP można ustalić, czy źródłem problemu jest brak członkostwa w grupie „Użytkownicy pulpitu zdalnego”, konflikt zasad zabezpieczeń, nieprawidłowa konfiguracja usługi czy blokada komunikacji przez zaporę. Zmiana uprawnień powinna obejmować tylko wymagane konto i zakres dostępu, ponieważ przyznanie uprawnień administratora wyłącznie po to, aby obejść problem z RDP, zwiększa zakres możliwości użytkownika bardziej, niż jest to potrzebne do zwykłej pracy.