Remoteverbindungsprofile im Configuration Manager

Gilt für: Configuration Manager (Current Branch)

Verwenden Sie Configuration Manager Remoteverbindungsprofile, um Ihren Benutzern die Remoteverbindung mit Arbeitscomputern zu ermöglichen. Mit diesen Profilen können Sie Remotedesktopverbindungseinstellungen für Benutzer in Ihrer Hierarchie bereitstellen. Benutzer können über Remotedesktop über eine VPN-Verbindung auf jeden ihrer primären Arbeitscomputer zugreifen.

Configuration Manager erstellt eine Sicherheitsgruppe auf Clients, Remote PC Connect. Wenn Sie ein Remoteverbindungsprofil bereitstellen, fügt der Client dieser Gruppe die primären Benutzer des Computers hinzu. Ein lokaler Administrator kann Benutzer manuell zu dieser Gruppe hinzufügen oder daraus entfernen, aber Configuration Manager aktualisiert die Mitgliedschaft, wenn die Compliance des Profils das nächste Mal ausgewertet wird.

Voraussetzungen

Externe Abhängigkeiten

• Wenn Sie Benutzern die Möglichkeit geben möchten, eine Verbindung über das Internet herzustellen, installieren und konfigurieren Sie einen Remotedesktopgatewayserver. Weitere Informationen zum Installieren und Konfigurieren eines Remotedesktopgatewayservers finden Sie unter Remotedesktopdienste – Zugriff von überall.

• Wenn Clients eine hostbasierte Firewall ausführen, muss sie das mstsc.exe Programm aktivieren. Wenn Sie ein Remoteverbindungsprofil konfigurieren, aktivieren Sie die Einstellung Windows-Firewallausnahme für Verbindungen in Windows-Domänen und in privaten Netzwerken zulassen. Mit dieser Einstellung kann der Configuration Manager die Windows-Firewall automatisch konfigurieren.

  Tipp

  Gruppenrichtlinien-Einstellungen zum Konfigurieren der Windows-Firewall können die Konfiguration außer Kraft setzen, die Sie im Configuration Manager festgelegt haben. Wenn Sie Gruppenrichtlinie zum Konfigurieren der Windows-Firewall verwenden, stellen Sie sicher, dass Gruppenrichtlinie Einstellungen mstsc.exe nicht blockieren.

  Wenn Clients eine andere hostbasierte Firewall ausführen, konfigurieren Sie diese Firewallabhängigkeit manuell.

Configuration Manager dependencies

• Damit ein Benutzer eine Verbindung mit einem Arbeitscomputer herstellen kann, muss dieser Computer ein primäres Gerät des Benutzers sein. Weitere Informationen finden Sie unter Verknüpfen von Benutzern und Geräten mit Benutzer-Gerät-Affinität.

• Um Remoteverbindungsprofile zu verwalten, benötigt Ihr Benutzerkonto bestimmte Berechtigungen im Configuration Manager. Die integrierte Rolle des Complianceeinstellungs-Managers enthält die Berechtigungen, die zum Verwalten dieser Profile erforderlich sind. Weitere Informationen finden Sie unter Konfigurieren der rollenbasierten Verwaltung.

Überlegungen zu Sicherheit und Datenschutz

Sicherheitsüberlegungen

• Geben Sie die Affinität zwischen Benutzer und Gerät manuell an, anstatt den Benutzern die Möglichkeit zu geben, ihr primäres Gerät zu identifizieren. Aktivieren Sie die nutzungsbasierte Konfiguration nicht.

  • Bevor Sie ein Remoteverbindungsprofil bereitstellen können, müssen Sie die Option Allen primären Benutzern des Arbeitscomputers erlauben, eine Remoteverbindung herzustellen, aktivieren. Bei dieser Konfiguration sollten Sie die Affinität zwischen Benutzer und Gerät immer manuell angeben. Betrachten Sie die Informationen, die Configuration Manager von Benutzern oder vom Gerät sammelt, nicht als bindend. Wenn Sie ein Profil bereitstellen und ein vertrauenswürdiger Administrator die Affinität zwischen Benutzer und Gerät nicht angibt, erhalten nicht autorisierte Benutzer möglicherweise erhöhte Berechtigungen und können remote eine Verbindung zu Computern herstellen.

  • Configuration Manager sammelt nutzungsbasierte Informationen über Statusmeldungen, einen schnellen, aber unsicheren Kommunikationskanal. Um diese Bedrohung zu verringern, verwenden Sie die Server Message Block (SMB)-Signatur oder IPsec (Internet Protocol Security) zwischen Clientcomputern und dem Verwaltungspunkt.

• Schränken Sie die lokalen Administratorrechte auf dem Standortservercomputer ein. Ein lokaler Administrator auf dem Standortserver kann der Remote PC Connect-Sicherheitsgruppe, die Configuration Manager automatisch erstellt und verwaltet, manuell Mitglieder hinzufügen. Diese Aktion kann zu Rechteerweiterungen führen, da Mitglieder Remotedesktopberechtigungen erhalten.

Überlegungen zum Datenschutz

Wenn ein Benutzer eine Remoteverbindung mit einem Arbeitscomputer herstellt, lädt er eine WSRDP-Datei herunter. Diese Datei enthält den Gerätenamen und den Namen des Remotedesktopgatewayservers. Diese Werte sind zum Erstellen der Remotedesktopsitzung erforderlich. Die WSRDP-Datei wird heruntergeladen und automatisch lokal gespeichert. Diese Datei wird überschrieben, wenn der Benutzer das nächste Mal eine Remotedesktopsitzung ausführt.

Erstellen eines Profils

1. Wechseln Sie in der Configuration Manager-Konsole zum Arbeitsbereich "Assets und Kompatibilität", erweitern Sie "Complianceeinstellungen", und wählen Sie "Remoteverbindungsprofile" aus.

2. Wählen Sie auf der Registerkarte Start des Menübands in der Gruppe "Erstellen " die Option Remoteverbindungsprofil erstellen aus.

3. Geben Sie auf der Seite "Allgemein" des Assistenten zum Erstellen von Remoteverbindungsprofilen einen Namen und optional eine Beschreibung für das Profil an. Beide Werte dürfen maximal 256 Zeichen lang sein.

4. Legen Sie auf der Seite Profileinstellungen die folgenden Einstellungen fest:

   • Vollständiger Name und Port des Remotedesktopgatewayservers (optional): Geben Sie den Namen des Remotedesktopgatewayservers an, der für Verbindungen verwendet werden soll. Für diesen Wert gelten die folgenden Anforderungen:

     • Der Servername darf nicht länger als 256 Zeichen sein.
     • Sie kann Großbuchstaben, Kleinbuchstaben und numerische Zeichen enthalten.
     • Abgesehen von Punkten (.) zwischen den Segmenten und einem Doppelpunkt (:) vor dem Port sind die einzigen Sonderzeichen Bindestrich (–) und Unterstrich (_).
     • Der Configuration Manager unterstützt die Verwendung eines internationalisierten Domänennamens für diesen Wert nicht.

   • Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird: Diese Einstellung ist standardmäßig aktiviert und fügt der Verbindung eine zusätzliche Sicherheitsebene hinzu. Weitere Informationen finden Sie unter Erteilen von Remotedesktopzugriff.

   • Aktivieren Sie die folgenden Verbindungseinstellungen:

     • Remoteverbindungen für Arbeitscomputer zulassen

     • Allen primären Benutzern des Arbeitscomputers erlauben, eine Remoteverbindung herzustellen

     • Windows-Firewallausnahme für Verbindungen in Windows-Domänen und in privaten Netzwerken zulassen

     Wichtig

     Alle drei Einstellungen müssen identisch sein, bevor Sie fortfahren können.

     Deaktivieren Sie diese Einstellungen nur, wenn Sie ein Profil zum Deaktivieren von Remoteverbindungen bereitstellen.

5. Schließen Sie den Assistenten ab.

Das neue Profil wird im Arbeitsbereich "Asset- und Compliance" im Knoten "Remoteverbindungsprofile" angezeigt.

Bereitstellen

1. Wechseln Sie in der Configuration Manager-Konsole zum Arbeitsbereich "Assets und Kompatibilität", erweitern Sie "Complianceeinstellungen", und wählen Sie "Remoteverbindungsprofile" aus.

2. Wählen Sie in der Liste der Remoteverbindungsprofile das Profil aus, das Sie bereitstellen möchten. Wählen Sie auf der Registerkarte Start des Menübands in der Gruppe Bereitstellung die Option Bereitstellen aus.

3. Geben Sie im Fenster Remoteverbindungsprofil bereitstellen die folgenden Informationen an:

   • Sammlung: Wählen Sie die Gerätesammlung aus, in der Sie das Profil bereitstellen möchten.

   • Nicht konforme Regeln bereinigen, wenn unterstützt: Aktivieren Sie diese Einstellung, damit die Profileinstellungen automatisch korrigiert werden, wenn sie auf einem Gerät nicht kompatibel sind. Das Profil kann nicht kompatibel sein, wenn es nicht vorhanden ist.

   • Wartung außerhalb des Wartungsfensters zulassen: Wenn Sie ein Wartungsfenster für die Sammlung konfigurieren, für die Sie das Profil bereitstellen, aktivieren Sie diese Option, damit Configuration Manager sie außerhalb des Wartungsfensters korrigieren kann. Weitere Informationen finden Sie unter Verwenden von Wartungsfenstern.

   • Generieren einer Warnung: Aktivieren Sie diese Option, um eine Konformitätswarnung zu konfigurieren.

   • Geben Sie den Zeitplan für die Konformitätsbewertung für diese Konfigurationsbaseline an: Geben Sie einen einfachen oder benutzerdefinierten Zeitplan an, nach dem der Client das Profil auswertet.

4. Wählen Sie OK aus, um das Fenster zu schließen und die Bereitstellung zu erstellen.

Kundenbewertung

Der Client wertet das Profil aus, wenn sich ein Benutzer anmeldet.

Wenn ein Gerät eine Sammlung verlässt, für die Sie ein Remoteverbindungsprofil bereitstellen, deaktiviert Configuration Manager die Einstellungen auf dem Gerät. Damit dieser Prozess jedoch ordnungsgemäß ausgeführt wird, müssen Sie bereits mindestens ein Konfigurationselement oder eine Konfigurationsbaseline bereitgestellt haben, die ein Konfigurationselement von Ihrer Site enthält.

Konfliktlösung

Stellen Sie nicht mehr als ein Remoteverbindungsprofil mit widersprüchlichen Einstellungen auf demselben Gerät bereit. Beispiel: Sie stellen zwei Profile mit unterschiedlichen Einstellungen für dieselbe Sammlung bereit. Sie konfigurieren nur die Bereitstellung eines Profils, um nicht konforme Regeln zu korrigieren, wenn dies unterstützt wird. Diese Bereitstellung kann die Einstellungen im anderen Profil außer Kraft setzen. Configuration Manager unterstützt diese Art der Bereitstellung von Remoteverbindungsprofilen nicht.

Überwachen

Wechseln Sie in der Configuration Manager-Konsole zum Arbeitsbereich "Überwachung", und wählen Sie Bereitstellungen aus. Wählen Sie in der Liste Bereitstellungen das Remoteverbindungsprofil aus.

Auf der Hauptseite finden Sie zusammenfassende Informationen zur Konformität der Bereitstellung des Remoteverbindungsprofils. Um ausführlichere Informationen anzuzeigen, wählen Sie die Profilbereitstellung aus. Wählen Sie dann auf der Registerkarte Start des Menübands in der Gruppe Bereitstellung die Option Status anzeigen aus. Durch diese Aktion wird die Seite "Bereitstellungsstatus" geöffnet.

Die Seite "Bereitstellungsstatus " enthält die folgenden Registerkarten:

• Konform: Zeigt die Konformität des Remote-Verbindungsprofils basierend auf der Anzahl der betroffenen Assets an.

  Wichtig

  Der Client wertet ein Remoteverbindungsprofil nicht aus, wenn es nicht anwendbar ist. Sie meldet jedoch weiterhin die Konformität.

• Fehler: Zeigt eine Liste aller Fehler für die ausgewählte Remote-Verbindungsprofilbereitstellung basierend auf der Anzahl der betroffenen Ressourcen an.

• Nicht konform: Zeigt eine Liste aller nicht konformen Regeln innerhalb des Remote-Verbindungsprofils basierend auf der Anzahl der betroffenen Assets an.

• Unbekannt: Zeigt eine Liste aller Geräte an, die keine Konformität für die ausgewählte Remoteverbindungsprofilbereitstellung gemeldet haben, zusammen mit dem aktuellen Client-Status der Geräte.

Öffnen Sie auf einer beliebigen Registerkarte eine Regel, um einen temporären Unterknoten unter dem Knoten Benutzer im Arbeitsbereich Bestand und Kompatibilität zu erstellen. Dieser Unterknoten enthält alle Geräte mit dem Konformitätsstatus der ausgewählten Registerkarte.

Im Bereich "Objektdetails " werden die Geräte mit dem ausgewählten Konformitätsstatus für dieses Profil angezeigt. Öffnen Sie ein Gerät in der Liste, um zusätzliche Informationen anzuzeigen.

Berichte

Configuration Manager enthält integrierte Berichte, mit denen Sie Informationen zu Remoteverbindungsprofilen überwachen können. Diese Berichte weisen die Berichtskategorie Compliance- und Einstellungsverwaltung auf.

Weitere Informationen zum Konfigurieren der Berichterstellung in Configuration Manager finden Sie unter Einführung in die Berichterstellung.