Solución: las credenciales RDP guardadas no funcionaron en Windows
El cliente integrado de Escritorio remoto de Windows (
mstsc.exe) le permite guardar el nombre de usuario y la contraseña utilizados para conectarse a la computadora remota. Gracias a esto, el usuario no necesita ingresar una contraseña cada vez que se conecta a un host de escritorio remoto conocido. En este artículo, veremos cómo permitir el uso de credenciales guardadas para conexiones RDP en Windows y qué hacer si los usuarios no pueden usar contraseñas guardadas para conexiones de escritorio remoto (la contraseña se solicita cada vez)
Permitir la delegación de credenciales guardadas para la conexión RDP a través de GPO
De forma predeterminada, Windows permite a los usuarios guardar sus contraseñas para conexiones RDP. Para hacerlo, un usuario debe ingresar el nombre de la computadora RDP, el nombre de usuario y marcar la casilla “Permitirme guardar las credenciales” en la ventana del cliente Conexión a Escritorio remoto (mstsc.exe). Después de que un usuario haya hecho clic en el botón "Conectar", el servidor RDP solicita la contraseña y Windows la guarda en Credential Manager (no en el archivo .RDP).
La próxima vez que se conecte a un host RDP remoto con el mismo usuario, el cliente obtendrá automáticamente la contraseña guardada del Administrador de credenciales de Windows y la usará para la autenticación RDP.
Si hay una contraseña guardada para esta computadora, aparecerá el siguiente mensaje en la ventana del cliente RDP:
Saved credentials will be used to connect to this computer. You can edit or delete these credentials.
En la mayoría de los casos, los administradores no recomiendan que los usuarios guarden las contraseñas de conexión en Windows. Por ejemplo, en un dominio de Active Directory, es mejor configurar SSO (Single Sign-On) para RDP para una autenticación transparente.
De manera predeterminada, Windows no permite que un usuario use una contraseña RDP guardada (credenciales) para conectarse desde una computadora unida a un dominio de Active Directory a un host que se encuentra en otro dominio o grupo de trabajo. Aunque la contraseña de conexión se almacena en Credentials Manager, Windows no permite su uso y requiere que el usuario ingrese la contraseña cada vez. Además, Windows le impide usar la contraseña RDP guardada si se conecta con su cuenta local en lugar de la de su dominio.
En este caso, si intenta conectarse con la contraseña RDP guardada, aparece este mensaje de error:
Your credentials did not work
Your system administrator does not allow the use of saved credentials to log on to the remote computer CompName because its identity is not fully verified. Please enter new credentials.
Windows considera que la conexión es insegura ya que no existe confianza entre esta computadora y la computadora remota en otro dominio (o grupo de trabajo).
Puede cambiar esta configuración en la computadora desde la que intenta establecer una conexión RDP:
Abra el Editor de políticas de grupo local presionando
Win + R-> gpedit.msc;
En el editor de GPO, vaya a Configuración del equipo -> Plantillas administrativas -> Sistema -> Delegación de credenciales. Busque la política denominada Permitir delegar credenciales guardadas con autenticación de servidor solo NTLM;
Habilite la política y haga clic en Mostrar;
Especifique la lista de hosts remotos que pueden usar credenciales guardadas cuando se accede a través de RDP. La lista de equipos remotos debe especificarse en el siguiente formato:
TERMSRV/server1— permitir el uso de credenciales guardadas para acceder a una computadora/servidor específico a través de RDP;
TERMSRV/*.a-d.site— permitir establecer conexiones RDP con credenciales guardadas a todas las computadoras en el dominio a-d.site;
TERMSRV/*— permitir el uso de una contraseña guardada para conectarse a cualquier computadora remota.
Consejo. Asegúrese de escribir elTERMSRVpalabra clave en mayúsculas. El nombre de la computadora debe coincidir exactamente con el que especificó en el campo de conexión del cliente RDP.
-
Del mismo modo, habilite y agregue sus valores TERMSRV/ a la política Permitir delegar credenciales guardadas;
Las siguientes configuraciones de registro corresponden a las opciones de GPO anteriores:
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation] "AllowSavedCredentialsWhenNTLMOnly"=dword:00000001 “AllowSavedCredentials”=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly] "1"="TERMSRV/*" [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials] "1"="TERMSRV/*" [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation] “AllowSavedCredentialsWhenNTLMOnly”=dword:00000001 “AllowSavedCredentials”=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly] "1"="TERMSRV/*" [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials] "1"="TERMSRV/*" Compruebe si la siguiente opción está deshabilitada Acceso a la red: no permitir el almacenamiento de contraseñas y credenciales para la autenticación de red (Configuración de la computadora -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Opciones de seguridad). Si esta configuración está habilitada, el usuario recibirá un error cuando intente guardar la contraseña en la bóveda de Credential Manager:
Credential Manager Error Unable to save credentials. To save credentials in this vault, check your computer configuration. Error code: 0x80070520 Error Message: A specified logon session does not exist. It may already have been terminated.Compruebe que la directiva Denegar la delegación de credenciales guardadas esté deshabilitada (o no configurada). Las políticas de denegación de GPO tienen prioridad sobre las de permiso;
Guarde los cambios y actualice la configuración de GPO con este comando:
gpupdate /force
Ahora, al conectarse al host RDP, el cliente mstsc podrá usar sus credenciales guardadas.
Puede enumerar las contraseñas guardadas para las conexiones RDP con el comando:
cmdkey /list ^| findstr "target=TERMSRV"
Para borrar las contraseñas de conexión guardadas, ejecute el comando:
For /F "tokens=1,2 delims= " %G in ('cmdkey /list ^| findstr "target=TERMSRV"') do cmdkey /delete %HPuede cambiar la política de credenciales guardadas de RDP solo en la computadora local mediante el Editor de políticas de grupo local. Si desea aplicar esta configuración en varias computadoras en el dominio, use el GPO de dominio configurado usando el
gpmc.msc(Administración de directivas de grupo) consola.
¿Por qué Windows no guarda las credenciales de escritorio remoto?
Si configuró Windows siguiendo las instrucciones anteriores, pero su cliente RDP aún le solicita que ingrese una contraseña cada vez que intenta conectarse, vale la pena verificar lo siguiente:
Haga clic en "Mostrar opciones" en la ventana Conexión a escritorio remoto y asegúrese de que la opción "Solicitar siempre las credenciales" no esté marcada;
Si está utilizando un archivo .RDP para la conexión, asegúrese de que el valor del parámetro 'solicitar credenciales' sea 0 (
prompt for credentials:i:0);
Abra el Editor de GPO local (
gpedit.msc) y vaya a Configuración del equipo -> Plantillas administrativas -> Componentes de Windows -> Servicios de escritorio remoto -> Cliente de conexión de escritorio remoto. Las opciones No permitir que se guarden las contraseñas y Solicitar credenciales en el equipo cliente” no deben estar configuradas o deshabilitadas. Además, asegúrese de que esta configuración de política esté deshabilitada en la Política de grupo resultante en su computadora (puede crear un informe HTML con la configuración de GPO aplicada usando el comando gpresult);
Elimine todas las contraseñas guardadas del Administrador de credenciales de Windows. Tipo
control userpasswords2y en la ventana Cuentas de usuario vaya a la pestaña Avanzado y haga clic en Administrar contraseñas;
En la siguiente ventana, seleccione Credenciales de Windows. Encuentre todas las contraseñas RDP guardadas y elimínelas (comienzan con
TERMRSV/…).
En esta ventana puede agregar manualmente las credenciales para las conexiones RDP. Tenga en cuenta que el nombre de un servidor/computadora RDP debe especificarse en elTERMRSV\server_name1formato. No olvide eliminar las contraseñas guardadas cuando borre el historial de conexión RDP en su computadora.
No podrá iniciar sesión con las credenciales RDP guardadas si el servidor remoto no se ha actualizado durante mucho tiempo y, al intentar conectarse a él, aparece el error de corrección del oráculo de cifrado CredSSP.
Después de eso, los usuarios podrán usar sus contraseñas guardadas para conexiones RDP.
La política de autenticación del servidor no permite la conexión con las credenciales guardadas
Al conectarse a un host RDP o una granja RDS con credenciales guardadas, puede aparecer un error:
Windows Security
Your credentials did not work
The server’s authentication policy does not allow connection requests using saved credentials. Please enter new credentials.
En este caso, debe deshabilitar la opción de GPO "Solicitar siempre la contraseña al conectarse" en el servidor remoto (Configuración de la computadora -> Plantillas administrativas -> Componentes de Windows -> Servicios de escritorio remoto -> Host de sesión de escritorio remoto -> Seguridad).
Si esta política está habilitada, el host RDP siempre solicita al cliente una contraseña para conectarse.
Puede deshabilitar esta opción a través del registro:
REG add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fPromptForPassword /t REG_DWORD /d 0 /fCredential Guard de Windows Defender no permite guardar credenciales
Después de actualizar a Windows 11 22H2, los usuarios comenzaron a quejarse de que ahora no pueden usar contraseñas guardadas para conexiones RDP:
Windows Security: Your credentials did not work
Windows Defender Credential Guard does not allow using saved credentials. Please enter your credentials.
Se supone que Windows Defender Remote Credential Guard (que apareció en Windows 10 1607) protege sus credenciales para conexiones RDP. De forma predeterminada, Windows 11/10 22H2 solo permite que se usen las credenciales guardadas cuando se usa la autenticación Kerberos en el host RDP. Si no puede usar Kerberos (el controlador de dominio no está disponible o se está conectando a un host en un grupo de trabajo), Remote Credential Guard bloquea la autenticación NTLM.
Puede resolver este problema desactivando Credential Guard a través del registro:
New-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\LSA" -Name "LsaCfgFlags" -PropertyType "DWORD" -Value 0 -Force