Permitir acceso RDP a usuarios que no sean administradores a Windows Server
De forma predeterminada, el acceso RDP al escritorio de los servidores miembro de Windows Server o los controladores de dominio de Active Directory está restringido a los usuarios agregados a los grupos locales Administradores o Administradores de dominio. En esta publicación, le mostraremos cómo otorgar a los usuarios que no son administradores acceso RDP a los hosts o controladores de dominio de Windows Server sin asignarles derechos de administrador local.
De forma predeterminada, la configuración de seguridad de Windows permite que un usuario remoto realice conexiones RDP a través de Servicios de escritorio remoto (TermService) si:
El usuario es miembro del grupo local Administradores o Usuarios de escritorio remoto;
La política local Permitir el inicio de sesión a través de Servicios de escritorio remoto permite que el usuario se conecte.
Para iniciar sesión de forma remota, necesita el derecho de iniciar sesión a través de servicios de escritorio remoto
El usuario recibe un error cuando intenta conectarse de forma remota al escritorio de Windows Server:
To sign in remotely, you need the right to sign in Remote Desktop Services. By default only members of the Administrators group have this right. If the group you’re in doesn’t have this right, or if the right has been removed from Administrators group, you need to be granted this right manually.
Si la autenticación de nivel de red (NLA) está habilitada en la configuración de RDP en el host remoto, se produce otro error al conectarse:
The connection was denied because the user account is not authorized for remote login.
En este caso, simplemente debe agregar el usuario al grupo local Usuarios de escritorio remoto para permitirles conectarse a Windows Server a través de RDP:
Abra el complemento Usuarios y grupos locales de MMC (
lusrmgr.msc) y navegue a la sección Grupos;
Haga doble clic en el grupo Usuarios de escritorio remoto;
Haga clic en el botón Agregar e ingrese el nombre del usuario (o grupo) al que desea otorgar acceso RDP;
Luego, los usuarios pueden conectarse al host de Windows a través de RDP.
También es posible agregar un usuario a un grupo de acceso RDP desde la línea de comando:
net localgroup "Remote Desktop Users" /add a-d\testusero usando PowerShell (Obtenga más información sobre cómo administrar usuarios locales y grupos locales con PowerShell).
Add-LocalGroupMember -Group "Remote Desktop Users" -Member testuserEnumere los usuarios en el grupo Usuarios de escritorio remoto:
Get-LocalGroupMember -Group 'Remote Desktop Users'
Del mismo modo, puede otorgar a los usuarios acceso RDP a las estaciones de trabajo con Windows 10 u 11 (no olvide habilitar RDP en estos dispositivos).
De forma predeterminada, Windows Server permite dos sesiones simultáneas de Escritorio remoto. Esto significa que dos usuarios pueden trabajar simultáneamente en sus propias sesiones de Escritorio remoto. Si necesita más conexiones RDP simultáneas, deberá comprar y activar licencias (CAL de RDP) en el servidor de licencias RDS e instalar la función Servicios de escritorio remoto (puede ser un servidor RDSH independiente o una granja RDS completa que consta de varios hosts).
Puede usar Colecciones de RDS para proporcionar acceso de escritorio remoto en una granja de RDS. Abra Servidor Administrador -> Servicios de escritorio remoto -> Tareas -> Editar propiedades de implementación.
Abra la colección y la sección User Group enumerará el grupo de seguridad autorizado para conectarse a los hosts RDSH en esa colección.
Permitir acceso RDP al controlador de dominio para usuarios no administradores
Si necesita otorgar a un usuario normal (no administrador) acceso remoto al escritorio de un controlador de dominio, el método descrito anteriormente no funcionará.
Una vez que la función del servidor se promueve a un controlador de dominio de Active Directory, no puede administrar usuarios y grupos locales desde el complemento Administración de equipos de MMC. Cuando intenta abrir la consola Usuarios y grupos locales (
lusrmgr.msc), aparece el siguiente error:
The computer xxx is a domain controller. This snip-in cannot be used on a domain controller. Domain accounts are managed with the Active Directory Users and Computers snap-in.
Como puede ver, no hay grupos locales en el controlador de dominio. En lugar del grupo local Usuarios de escritorio remoto, el DC usa el grupo de dominio integrado Usuarios de escritorio remoto (ubicado en el contenedor Builtin). Puede administrar este grupo desde la consola ADUC o el símbolo del sistema de DC.
Sin embargo, no se recomienda usar este grupo para otorgar acceso a Escritorio remoto, ya que esto le dará al usuario acceso a todos los DC del dominio. En este caso, es mejor otorgar permisos usando la política Permitir inicio de sesión a través de Servicios de escritorio remoto.
Muchos podrían preguntarse razonablemente por qué los que no son administradores necesitan acceso remoto al escritorio de DC. De hecho, en infraestructuras pequeñas y medianas, donde toda la infraestructura está gestionada por varios administradores con permisos de administrador de dominio, es poco probable que esto sea necesario. En la mayoría de los casos, es suficiente delegar algunos permisos administrativos en Active Directory o usar PowerShell Just Enough Administration (JEA).
Sin embargo, en redes corporativas grandes con una gran cantidad de empleados, a menudo es necesario proporcionar acceso RDP al DC (generalmente a los DC o RODC de las sucursales) para diferentes grupos de administradores de servidores, administradores en servicio u otro personal técnico. También hay situaciones en las que los servicios de terceros administrados por administradores que no son de dominio se implementan en el DC y es necesario mantener estos servicios.
¿Cómo permitir el inicio de sesión a través de servicios de escritorio remoto?
Para permitir que un usuario o grupo de dominio se conecte de forma remota a Windows a través de RDP, debe otorgarles la
SeRemoteInteractiveLogonRightprivilegio. Puede otorgar este permiso mediante la política Permitir inicio de sesión a través de Servicios de escritorio remoto.
La política se denomina Permitir inicio de sesión a través de servicios de terminal en Windows Server 2003 y versiones anteriores.
Para permitir la conexión remota a los controladores de dominio para los miembros del grupo Usuarios de escritorio remoto, debe cambiar la configuración de esta política en su controlador de dominio:
Abra el Editor de políticas de grupo local (
gpedit.msc);
Vaya a la sección GPO Configuración del equipo -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Asignación de derechos de usuario;
Busque la política Permitir iniciar sesión a través de Servicios de escritorio remoto;
Una vez que el servidor se ha promovido a DC, el único grupo que permanece en esta política local es el grupo Administradores (estos son los administradores de dominio).
Edite la política y agregue el usuario o grupo de dominio directamente (
domain\CA_Server_Admins) a ella;
Actualice la configuración de la directiva de grupo local en el controlador de dominio con el comando: :
gpupdate /force
Tenga en cuenta que el grupo que agregó a la política Permitir inicio de sesión a través de Servicios de Escritorio remoto no debe estar presente en la política "Denegar inicio de sesión a través de Servicios de Escritorio remoto" porque tiene una prioridad más alta (consulte el artículo Bloquear el acceso remoto en cuentas de usuario locales). Además, si restringe la lista de equipos en los que los usuarios pueden iniciar sesión, debe agregar el nombre del servidor a las propiedades de la cuenta de usuario en AD (atributo de usuario de LogonWorkstations).
Nota. Para permitir que los usuarios inicien sesión en el DC localmente (a través de la consola del servidor), su cuenta o grupo también debe agregarse a la política "Permitir inicio de sesión local". De forma predeterminada, los siguientes grupos de dominio integrados tienen este permiso:
Operadores de respaldo
Administradores
Operadores de impresión
Operadores de servidor
Operadores de cuenta
Si no hace esto, recibirá un mensaje de error cuando intente conectarse a Escritorio remoto: El método de inicio de sesión que está tratando de usar no está permitido.
Para facilitar las cosas, puede crear un nuevo grupo de seguridad en el dominio, por ejemplo, AllowDCLogin. A continuación, agregue las cuentas a las que se debe permitir el acceso remoto al DC a la política. Si necesita permitir el acceso a todos los controladores de dominio de AD a la vez, en lugar de editar la política local en cada DC, es mejor agregar el grupo de usuarios a la Política de controladores de dominio predeterminada mediante la Consola de administración de políticas de grupo (
GPMC.msc). Edite el elemento de política Permitir iniciar sesión a través de Servicios de escritorio remoto en la sección Configuración del equipo\Configuración de Windows\Configuración de seguridad\Políticas locales\Asignación de derechos de usuario.
Advertencia. Si cambia la Política de controladores de dominio predeterminados, no olvide agregar el grupo Administradores de dominio/empresa a la política Permitir inicio de sesión a través de Servicios de escritorio remoto; de lo contrario, perderán el acceso remoto a los DC.
Los usuarios que agregó a la política ahora podrán conectarse al escritorio del controlador de dominio AD a través de RDP.
Si necesita permitir que los usuarios que no son administradores inicien/detengan ciertos servicios en un DC, use la siguiente guía.
El acceso de sesión RDP solicitado es denegado
En algunos casos, puede recibir el siguiente error cuando usa RDP para conectarse a un controlador de dominio o host miembro de dominio de Windows Server:
The requested session access is denied.
Pueden ocurrir los siguientes problemas si se conecta al DC usando una cuenta que no sea de administrador:
Está intentando conectarse a la consola del servidor (usando el
mstsc /adminmodo). Este modo de conexión solo está permitido para administradores. Intente conectarse al servidor con el cliente mstsc.exe en modo RDP normal (sin
/adminopción);
Es posible que ya haya dos sesiones de RDP activas en el host (de forma predeterminada, no más de dos sesiones de RDP simultáneas pueden conectarse a un servidor de Windows sin una función de RDS implementada). Puede obtener la lista de sesiones activas y usuarios registrados en la computadora remota usando el comando:
qwinsta /server:dc01No puede finalizar las sesiones de otros usuarios sin permisos de administrador. Debe esperar a que los administradores liberen o finalicen una sesión;
El modo de administrador restringido o la protección de credenciales remotas de Windows Defender están habilitados en el host de Windows Server