本文介绍如何将组策略对象应用于远程桌面服务（RDS）服务器。
适用于： 所有受支持的 Windows Server 版本原始 KB 编号： 260370
总结
当远程桌面服务服务器位于 Active Directory 域中时，域管理员将组策略对象（GPO）实现到远程桌面服务服务器以控制用户环境。 本文介绍将 GPO 应用到远程桌面服务的建议过程，而不会对网络上的其他服务器产生不利影响。
可通过不同的方法将 GPO 应用到远程桌面服务，具体取决于这些设置是适用于计算机还是用户。
计算机策略设置
将远程桌面服务计算机放入其自己的组织单位（OU）。 此配置允许将相关的计算机配置设置放入仅适用于远程桌面服务计算机的 GPO 中。 此配置不会影响工作站或其他服务器上的用户体验，并允许为用户创建严格控制的远程桌面服务体验。 此 OU 不应包含用户或其他计算机，以便域管理员可以微调远程桌面服务体验。 还可以将 OU 委派给从属组，例如服务器操作员或单个用户。
对于新 OU 的位置，请考虑以下选项：
- 将新 OU 放置为 RDS 服务器所在的子 OU。 这可确保按以前一样应用当前组策略。 当大多数或全部 RDS 服务器计算机帐户位于此父 OU 中时，此选项最有效。
- 或者，如果它更适合管理模型，请将新 OU 创建为当前 OU 的同级 OU，其中包含大多数或全部 RDS 服务器计算机对象。 在这种情况下，还需要将现有 OU 的所有策略链接到新的 OU。
有关详细信息，请参阅 将 GPO 链接到 Active Directory 容器。
若要为远程桌面服务服务器创建新的 OU，请执行以下步骤：
- 登录到安装了远程服务器管理工具（RSAT）的域控制器（DC）或计算机。
- 打开开始菜单并输入Active Directory 用户和计算机。 选择Active Directory 用户和计算机将其打开。
- 在Active Directory 用户和计算机控制台中，导航到要在其中创建新 OU 的域或容器。
- 右键单击域或容器。 选择“新建>组织单位”。
- 在 “新建对象 - 组织单位 ”对话框中，输入 远程桌面服务服务器 作为新 OU 的名称。
- 选择“确定”以创建 OU。
若要创建远程桌面服务组策略对象，请执行以下步骤：
- 打开开始菜单并输入组策略管理。 选择 组策略管理 将其打开。
- 在组策略管理控制台中，导航到域。
- 右键单击 组策略对象 容器，然后选择“ 新建”。
- 输入新 GPO 的名称，例如 远程桌面服务服务器策略。
- 选择“确定**”**以创建 GPO。
- 右键单击新创建的 GPO，然后选择“编辑**”以打开组策略管理编辑器**，可在其中根据需要配置策略设置。
- 在组策略管理控制台中，导航到远程桌面服务服务器 OU。
- 右键单击 远程桌面服务服务器 OU，然后选择“ 链接现有 GPO”。
- 在**“选择 GPO**”对话框中，从列表中选择远程桌面服务服务器策略。
- 选择“确定”将 GPO 链接到 OU。
备注
大部分相关设置位于“计算机配置**>Windows 设置>安全设置本地策略”>下。** 例如，在右侧列表中的“用户权限分配”下**，可在本地找到“登录”。 若要登录到远程桌面服务上的会话，需要此设置。 还可以从网络找到**“访问此计算机”。 若要连接到远程桌面服务会话外部的服务器，需要此设置。 这也是你可以阻止用户关闭系统的地方。 不应在此处应用该策略的用户部分的设置，因为用户尚未与远程桌面服务服务器一起放入此 OU。 本文针对计算机策略实现编写。 修改完成后，关闭组策略管理编辑器，然后选择“关闭以关闭 OU 属性”。
用户策略设置
仅当用户登录到远程桌面服务服务器时，才使用组策略环回功能向用户应用用户配置 GPO 设置。 为仅包含远程桌面服务服务器的 OU 中的计算机启用 GPO 环回处理时，这些计算机将从应用于该 OU 的 GPO 集中应用用户配置 GPO 设置。 在合并模式下使用 环回策略设置 时，计算机首先从链接到或继承的 OU 应用用户配置 GPO 设置，其中包含用户帐户的 OU，然后处理计算机策略的用户部分。
此实现在组策略的环回处理中介绍。
我们强烈建议出于以下原因在 DC 上使用远程桌面服务：
- 部署需要非域管理员登录到 DC，这与 DC 的安全敏感度冲突。 只有域管理员才应在 DC 上拥有“本地登录”。
- 如果用户以 RDS 服务器的形式处理 DC，将攻击者提升到 LocalSystem 的安全漏洞将立即授予攻击者访问整个林的权限。
有关详细信息，请参阅 本地策略不允许以交互方式登录。
应将远程桌面服务服务器的计算机帐户添加到为环回创建的 GPO 的安全属性。 要执行此操作，请执行以下步骤：
- 选择为环回创建的 GPO，然后选择“ 属性”。
- 选择 “安全 ”选项卡，然后选择“ 添加”。
- 在 “选择用户、计算机或组 ”框中，选择计算机帐户，然后选择“ 确定”。
- 从 “组”或“用户名 ”框中选择计算机帐户。
- 在“计算机名称的权限”框中，选中“允许**”列中的“读取和应用组策略”**复选框。
- 选择“ 确定 ”两次以关闭并保存策略设置。
数据收集
如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集信息中的 步骤收集组策略问题来收集信息。