[Windows 2016 RDS] Altijd twee maal inloggen

[mvandek2]

Zodra ik de policy
computer configuration\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Always prompt for password upon connection
activeer zodat mensen hun wachtwoord niet kunnen vastzetten dient men 2x in te loggen:
- één maal het RDP login scherm
- nog een keer op de server met de Windows 2016 achtergrond in beeld
Bij de tweede login werkt het klembord ook niet meer.

Ik weet dat de Windows 10 Creator update een bug bevat die ook dubbel inloggen veroorzaakt maar het is ook op Windows 7 en 8 dus het moet een server issue zijn.

Iemand een idee?

[tweakict]

Wellicht is dit een stuk verstandiger?

[Computer Configuration/Policies/Administrative Templates/Windows Components/Remote Desktop
Services/Remote Desktop Connection Client] "Do not allow passwords to be saved"

[Voor 10% gewijzigd door tweakict op 16-10-2018 16:50]

[BLACKfm]

tweakict schreef op dinsdag 16 oktober 2018 @ 16:49:
Wellicht is dit een stuk verstandiger?

~~~[Computer Configuration/Policies/Administrative Templates/Windows Components/Remote Desktop
Services/Remote Desktop Connection Client] "Do not allow passwords to be saved"

En dan in het .RDP bestanden het wachtwoord handmatig toevoegen?

In de RDP die ik moet gebruiken kan ik het wachtwoord niet opslaan in het invoerveld. Maar middels kladblock en een tooltje kan je het gehashde wachtwoord (in mijn geval) wel opgeven en log ik automatisch in zonder een wachtwoord te moeten invoeren. Scheelt een hoop inlogwerk op een dag (maar is verre van veilig natuurlijk). Maar of die bewuste instelling is toegepast weet ik niet.

[Voor 3% gewijzigd door BLACKfm op 16-10-2018 16:55]

[tweakict]

BLACKfm schreef op dinsdag 16 oktober 2018 @ 16:54:
[...]


En dan in het .RDP bestanden het wachtwoord handmatig toevoegen?

NOFI, maar de gemiddelde kantoor gebruiker gaat dit niet doen. Deze maatregel beperkt iig de mogelijkheid om het wachtwoord rechtstreeks binnen het RDP connectie venster op te slaan. AFAIK is dit de wens van de TS. 2FA is natuurlijk ook nog een optie om te implementeren

[BLACKfm]

tweakict schreef op dinsdag 16 oktober 2018 @ 17:02:
[...]


NOFI, maar de gemiddelde kantoor gebruiker gaat dit niet doen

Nee, dat zullen ze zeker niet doen.
_{Jammer eigenlijk dat de gemiddelde kantoorgebruiker niet zo 'efficiënt' probeert te zijn als ik. Scheelt een hoop gezeik op de werkvloer (altijd maar om mij heen de klaagzang dat ze de boel niet op kunnen slaan). Ik kan er verder ook niks van zeggen, want dan heb ik het zodadelijk weer gedaan bij de afdeling ICT .}

[MAX3400]

Gezien alle topics omtrent RDS2016, zou ik wel eens willen weten of je eventueel niet iets aan je forest functional level moet doen, wel/niet de laatste ADMX files hebt en, misschien net zo belangrijk, of GoT de plek is om al jouw werk op te lossen?

Want wat ik ook even mis als (aanvullende) policy, is of je ook nog screensaver met passwordlock op client en/of server hebt geactiveerd alsmede disconnect-timers hebt geactiveerd. In het ergste geval moet een user dus 5x zijn password invullen als het net te druk was bij de koffieautomaat.

Security is leuk maar auditing is minstens zo belangrijk, zo niet belangrijker. Auditing > policies.

[mvandek2]

@tweakict Die policy heeft geen effect, gebruikers kunnen gewoon lokaal hun wachtwoorden opslaan.

[HKLM_]

Misschien heb je hier nog wat aan.

https://social.technet.mi...e-login?forum=winserverTS

[Vorkie]

@mvandek2
https://docs.microsoft.co...or-network-authentication

. However, be aware, the "Save Credentials" checkbox will remain and if the user selects it, it will just re-prompt (without error) for the credentials again until they are entered without the checkbox being selected.

Klein beetje basis kennis is wel handig, waar je dus moet zoeken. Gezien je posthistorie beheer je iets wat je nog niet voldoende "beheerst" . Ga dit soort dingen thuis nabouwen en mee spelen, leer je veel meer van dan ad-hoc allerlei zaken in productie / bij klanten zit te doen.
Verder lijkt mij dat het om een domein gaat, dus ga je zaken ook in GPO's zetten en niet in LocalGPO's.

Verder dien je deze setting https://helpdeskgeek.com/...p-credentials-in-windows/ dus te doen op de Clients niet de RD server.

[mvandek2]

@Vorkie Als je iets weet of zelf vlot vind wil dat nog niet zeggen dat het basiskennis is.

Verder is dit geen antwoord op mijn vraag, die luidt waarom het activeren van de group policy uit mijn initiële post als resultaat heeft dat je 2x je wachtwoord moet invoeren en het klembord niet meer werkt.

Inderdaad kan je het opslaan van het RDP wachtwoord ook voorkomen via een local policy maar dat heeft uiteraard niet de voorkeur.

[Hero of Time]

Wil je echt weten waarom mensen hun wachtwoord nogmaals moeten invullen als je "Remote Desktop Services\Remote Desktop Session Host\Security\Always prompt for password upon connection" inschakelt moet je misschien eens gaan nadenken wat het nou precies betekend. Wat staat er in de omschrijving van het GPO? Daar vind je namelijk de oplossing. Er gebeurt precies wat je hebt ingesteld.

[mvandek2]

Ik begrijp dat er in 2 stappen een wachtwoord aan de orde is, in de Remote Desktop Client en daarna op de server in de Remote Desktop Services. Standaard wordt het client wachtwoord gebruikt in stap 2 op de server.

Om te voorkomen dat er zonder wachtwoord in te voeren wordt ingelogd heb je dus 2 opties:

1. beletten dat in de client het wachtwoord wordt opgeslagen via een local policy
2. beletten dat de Remote Desktop Services op de server het wachtwoord van de client automatisch overneemt via bovengenoemde group policy

Om te voorkomen dat je 2x een wachtwoord moet invoeren moet je dus niet beiden doen en moet optie 2 i.c.m. het wel lokaal opslaan van het wachtwoord.

Omdat je meestal/typisch geen grip hebt op alle clients waarmee men inlogt lijkt optie 2 me de beste i.c.m. de tip om het wachtwoord in de Remote Desktop Client op te slaan.

Tsja, dit is toch niet zo voor de hand liggend allemaal.

[nelizmastr]

Of je implementeert 2FA voor RDS logins. Dan boeit een wachtwoord onthouden niet meer omdat je zonder telefoon of token toch niet verder kan.

[Xelefim]

nelizmastr schreef op dinsdag 5 maart 2019 @ 21:58:
Of je implementeert 2FA voor RDS logins. Dan boeit een wachtwoord onthouden niet meer omdat je zonder telefoon of token toch niet verder kan.

This.

Also, ga voor een 3rd party tool voor 2FA in RDP. We gebruiken DUO bij verschillende klanten en hebben welgeteld 0 problemen gehad in 2 jaar.

Zelf een ADFS opzetten en de hele bazaar die erbij komt was het allemaal niet waard.