CSP-Richtlinie – RemoteDesktopDienste

AllowUsersToConnectRemote

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/AllowUsersToConnectRemotely

Mit dieser Richtlinieneinstellung können Sie den Remotezugriff auf Computer mithilfe der Remotedesktopdienste konfigurieren.

• Wenn Sie diese Richtlinieneinstellung aktivieren, können Benutzer, die auf dem Zielcomputer Mitglieder der Gruppe Remotedesktopbenutzer sind, über die Remotedesktopdienste eine Remoteverbindung mit dem Zielcomputer herstellen.

• Wenn Sie diese Richtlinieneinstellung deaktivieren, können Benutzer über die Remotedesktopdienste keine Remoteverbindung mit dem Zielcomputer herstellen. Der Zielcomputer behält alle aktuellen Verbindungen bei, akzeptiert aber keine neuen eingehenden Verbindungen.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, verwenden die Remotedesktopdienste die Remotedesktopeinstellung auf dem Zielcomputer, um zu bestimmen, ob die Remoteverbindung zulässig ist. Diese Einstellung befindet sich auf der Registerkarte "Remote" im Fenster "Systemeigenschaften". Standardmäßig sind Remoteverbindungen nicht zulässig.

Sie können die Anzahl der Benutzer begrenzen, die gleichzeitig eine Verbindung herstellen können, indem Sie die Richtlinieneinstellung unter Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Remotedesktopdienste\Remotedesktop-Sitzungshost\Verbindungen\Anzahl von Verbindungen begrenzen konfigurieren oder die Richtlinieneinstellung Maximale Verbindungen mithilfe des WMI-Anbieters für Remotedesktopsitzungs-Host konfigurieren.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

ClientConnectionEncryptionLevel

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/ClientConnectionEncryptionLevel

Gibt an, ob die Verwendung einer bestimmten Verschlüsselungsstufe erforderlich ist, um die Kommunikation zwischen Clientcomputern und RD-Sitzungshostservern während RDP-Verbindungen (Remotedesktopprotokoll) zu sichern. Diese Richtlinie gilt nur, wenn Sie die native RDP-Verschlüsselung verwenden. Eine native RDP-Verschlüsselung (im Gegensatz zur SSL-Verschlüsselung) wird jedoch nicht empfohlen. Diese Richtlinie gilt nicht für SSL-Verschlüsselung.

• Wenn Sie diese Richtlinieneinstellung aktivieren, muss für die gesamte Kommunikation zwischen Clients und RD-Sitzungshostservern während Remoteverbindungen die in dieser Einstellung angegebene Verschlüsselungsmethode verwendet werden. Standardmäßig ist die Verschlüsselungsstufe auf Hoch festgelegt. Die folgenden Verschlüsselungsmethoden stehen zur Verfügung:

• Hoch: Die Einstellung "Hoch" verschlüsselt Daten, die vom Client an den Server und vom Server an den Client gesendet werden, mit einer starken 128-Bit-Verschlüsselung. Verwenden Sie diese Verschlüsselungsstufe in Umgebungen, die nur 128-Bit-Clients enthalten (z. B. Clients, auf denen Remotedesktopverbindungen ausgeführt werden). Clients, die diese Verschlüsselungsstufe nicht unterstützen, können keine Verbindung mit RD-Sitzungshostservern herstellen.

• Clientkompatibel: Die clientkompatible Einstellung verschlüsselt Daten, die zwischen dem Client und dem Server gesendet werden, mit der maximalen Schlüsselstärke, die vom Client unterstützt wird. Verwenden Sie diese Verschlüsselungsstufe in Umgebungen, die Clients enthalten, die keine 128-Bit-Verschlüsselung unterstützen.

• Niedrig: Die Einstellung "Niedrig" verschlüsselt nur Daten, die vom Client an den Server gesendet werden, mithilfe der 56-Bit-Verschlüsselung.

• Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, wird die Verschlüsselungsstufe, die für Remoteverbindungen mit RD-Sitzungshostservern verwendet werden soll, nicht über Gruppenrichtlinien erzwungen.

Wichtig.

Die FIPS-Konformität kann über die Systemkryptografie konfiguriert werden. Verwenden Sie FIPS-konforme Algorithmen für Verschlüsselungs-, Hashing- und Signatureinstellungen in der Gruppenrichtlinie (unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen). Die FIPS-konforme Einstellung verschlüsselt und entschlüsselt Daten, die vom Client an den Server und vom Server an den Client gesendet werden, mit den FIPS 140-Verschlüsselungsalgorithmen (Federal Information Processing Standard) mithilfe von Microsoft-Kryptografiemodulen. Verwenden Sie diese Verschlüsselungsstufe, wenn für die Kommunikation zwischen Clients und RD-Sitzungshostservern die höchste Verschlüsselungsstufe erforderlich ist.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

DisconnectOnLockLegacyAuthn

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DisconnectOnLockLegacyAuthn

Mit dieser Richtlinieneinstellung können Sie die Benutzererfahrung konfigurieren, wenn die Remotedesktopsitzung vom Benutzer oder durch eine Richtlinie gesperrt wird. Sie können angeben, ob die Remotesitzung den Remotesperrbildschirm anzeigt oder die Verbindung trennt, wenn die Remotesitzung gesperrt ist. Durch das Trennen der Remotesitzung wird sichergestellt, dass eine Remotesitzung nicht auf dem Sperrbildschirm verbleiben und nicht automatisch wiederhergestellt werden kann, weil die Netzwerkverbindung verloren geht.

Diese Richtlinie gilt nur, wenn die Legacyauthentifizierung zur Authentifizierung beim Remote-PC verwendet wird. Die Legacyauthentifizierung ist auf Benutzername und Kennwort oder Zertifikate wie Smartcards beschränkt. Legacyauthentifizierung nutzt die Microsoft Identity Platform wie z. B. Microsoft Entra ID nicht. Die Legacyauthentifizierung umfasst die Standardauthentifizierungsprotokolle NTLM, CredSSP, RDSTLS, TLS und RDP.

• Wenn Sie diese Richtlinieneinstellung aktivieren, wird die Remotesitzung bei Remotedesktopverbindungen mit Legacyauthentifizierung getrennt, wenn die Remotesitzung gesperrt ist. Benutzer können die Verbindung wiederherstellen, wenn sie bereit sind, und ihre Anmeldeinformationen erneut eingeben, wenn sie dazu aufgefordert werden.

• Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, wird bei Remotedesktopverbindungen mit Legacyauthentifizierung der Remotesperrbildschirm angezeigt, wenn die Remotesitzung gesperrt ist. Benutzer können die Remotesitzung mit ihrem Benutzernamen und Kennwort oder mit Zertifikaten entsperren.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

DisconnectOnLockMicrosoftIdentityAuthn

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DisconnectOnLockMicrosoftIdentityAuthn

Mit dieser Richtlinieneinstellung können Sie die Benutzererfahrung konfigurieren, wenn die Remotedesktopsitzung vom Benutzer oder durch eine Richtlinie gesperrt wird. Sie können angeben, ob die Remotesitzung den Remotesperrbildschirm anzeigt oder die Verbindung trennt, wenn die Remotesitzung gesperrt ist. Durch das Trennen der Remotesitzung wird sichergestellt, dass eine Remotesitzung nicht auf dem Sperrbildschirm verbleiben und nicht automatisch wiederhergestellt werden kann, weil die Netzwerkverbindung verloren geht.

Diese Richtlinie gilt nur, wenn Sie einen Identitätsanbieter verwenden, der die Microsoft Identity Platform verwendet, z. B. Microsoft Entra ID, um sich beim Remote-PC zu authentifizieren. Diese Richtlinie gilt nicht, wenn die Legacyauthentifizierung verwendet wird, die die Standardauthentifizierungsprotokolle NTLM, CredSSP, RDSTLS, TLS und RDP umfasst.

• Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, wird die Remotesitzung bei Remotedesktopverbindungen über die Microsoft Identity Platform getrennt, wenn die Remotesitzung gesperrt ist. Benutzer können die Verbindung wiederherstellen, wenn sie bereit sind, und die kennwortlose Authentifizierung verwenden, wenn konfiguriert.

• Wenn Sie diese Richtlinieneinstellung deaktivieren, wird bei Remotedesktopverbindungen, die die Microsoft Identity Platform verwenden, der Remotesperrbildschirm angezeigt, wenn die Remotesitzung gesperrt ist. Benutzer können die Remotesitzung mit ihrem Benutzernamen und Kennwort oder mit Zertifikaten entsperren.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

DoNotAllowDriveRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DoNotAllowDriveRedirection

Diese Richtlinieneinstellung gibt an, ob die Zuordnung von Clientlaufwerken in einer Remotedesktopdienste-Sitzung (Laufwerksumleitung) verhindert werden soll.

Standardmäßig ordnet ein RD-Sitzungshostserver Clientlaufwerke bei der Verbindung automatisch zu. Zugeordnete Laufwerke werden in der Struktur des Sitzungsordners in Explorer oder Computer im Format <driveletter> auf <computername>angezeigt. Sie können diese Richtlinieneinstellung verwenden, um dieses Verhalten außer Kraft zu setzen.

• Wenn Sie diese Richtlinieneinstellung aktivieren, ist die Clientlaufwerksumleitung in Remotedesktopdienste-Sitzungen nicht zulässig, und das Kopieren von Zwischenablagedateien ist auf Computern mit Windows XP, Windows Server 2003, Windows Server 2012 (und höher) oder Windows 8 (und höher) nicht zulässig.

• Wenn Sie diese Richtlinieneinstellung deaktivieren, ist die Clientlaufwerksumleitung immer zulässig. Darüber hinaus ist die Kopierumleitung von Zwischenablagedateien immer zulässig, wenn die Umleitung der Zwischenablage zulässig ist.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, werden die Clientlaufwerksumleitung und die Umleitung des Kopierens von Zwischenablagedateien nicht auf der Ebene der Gruppenrichtlinie festgelegt.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

DoNotAllowPasswordSaving

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DoNotAllowPasswordSaving

Steuert, ob Kennwörter über eine Remotedesktopverbindung auf diesem Computer gespeichert werden können.

• Wenn Sie diese Einstellung aktivieren, wird das Kontrollkästchen zum Speichern von Kennwörtern in der Remotedesktopverbindung deaktiviert, und Benutzer können keine Kennwörter mehr speichern. Wenn ein Benutzer eine RDP-Datei über die Remotedesktopverbindung öffnet und seine Einstellungen speichert, werden alle Kennwörter gelöscht, die zuvor in der RDP-Datei vorhanden waren.

• Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, kann der Benutzer Kennwörter über die Remotedesktopverbindung speichern.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

DoNotAllowWebAuthnRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DoNotAllowWebAuthnRedirection

Mit dieser Richtlinieneinstellung können Sie die Umleitung von Webauthentifizierungsanforderungen (WebAuthn) von einer Remotedesktopsitzung auf das lokale Gerät steuern. Mit dieser Umleitung können sich Benutzer bei Ressourcen innerhalb der Remotedesktopsitzung mit ihrem lokalen Authentifikator authentifizieren (z. B. Windows Hello for Business, Sicherheitsschlüssel oder anderer).

Standardmäßig lässt Remotedesktop die Umleitung von WebAuthn-Anforderungen zu.

• Wenn Sie diese Richtlinieneinstellung aktivieren, können Benutzer ihren lokalen Authentifikator nicht innerhalb der Remotedesktopsitzung verwenden.

• Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können Benutzer lokale Authentifikatoren innerhalb der Remotedesktopsitzung verwenden.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

EnableMicrosoftEntraIdAuthenticationEnforcement

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/EnableMicrosoftEntraIdAuthenticationEnforcement

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

EnableMultipleAudioDevicesRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/EnableMultipleAudioDevicesRedirection

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

LimitClientToServerClipboardRedirection

./User/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitClientToServerClipboardRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitClientToServerClipboardRedirection

Mit dieser Richtlinieneinstellung können Sie die Datenübertragung der Zwischenablage vom Client auf den Server einschränken.

• Wenn Sie diese Richtlinieneinstellung aktivieren, müssen Sie eines der folgenden Verhaltensweisen auswählen:

• Deaktivieren Sie die Übertragung der Zwischenablage vom Client auf den Server.

• Nur-Text-Kopieren vom Client auf den Server zulassen.

• Erlauben Sie das Kopieren von Nur-Text und Bildern vom Client auf den Server.

• Ermöglichen Sie das Kopieren von Nur-Text, Bildern und Rich-Text-Formaten vom Client auf den Server.

• Ermöglichen Sie Nur-Text, Bilder, Rich-Text-Format und HTML-Kopieren vom Client auf den Server.

• Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können Benutzer beliebige Inhalte vom Client auf den Server kopieren, wenn die Umleitung der Zwischenablage aktiviert ist.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

LimitServerToClientClipboardRedirection

./User/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitServerToClientClipboardRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitServerToClientClipboardRedirection

Mit dieser Richtlinieneinstellung können Sie die Übertragung von Zwischenablagedaten vom Server auf den Client einschränken.

• Wenn Sie diese Richtlinieneinstellung aktivieren, müssen Sie eines der folgenden Verhaltensweisen auswählen:

• Deaktivieren Sie die Übertragung der Zwischenablage vom Server auf den Client.

• Nur-Text-Kopieren vom Server auf den Client zulassen.

• Erlauben Sie das Kopieren von Nur-Text und Bildern vom Server auf den Client.

• Ermöglichen Sie das Kopieren von Nur-Text, Bildern und Rich-Text-Formaten vom Server auf den Client.

• Ermöglichen Sie Nur-Text, Bilder, Rich-Text-Format und HTML-Kopieren vom Server auf den Client.

• Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können Benutzer beliebige Inhalte vom Server auf den Client kopieren, wenn die Umleitung der Zwischenablage aktiviert ist.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

PromptForPasswordUponConnection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/PromptForPasswordUponConnection

Diese Richtlinieneinstellung gibt an, ob die Remotedesktopdienste den Client immer zur Eingabe eines Kennworts auffordern, wenn eine Verbindung hergestellt wird.

Sie können diese Einstellung verwenden, um Benutzern, die sich bei Remotedesktopdiensten anmelden, eine Aufforderung zur Eingabe des Kennworts zu erteilen, auch wenn sie das Kennwort bereits im Remotedesktopverbindungsclient bereitgestellt haben.

Standardmäßig können sich Benutzer mit Remotedesktopdiensten automatisch durch Eingabe eines Kennworts beim Remotedesktopverbindungsclient anmelden.

• Wenn Sie diese Richtlinieneinstellung aktivieren, können sich Benutzer nicht automatisch bei Remotedesktopdiensten anmelden, indem sie ihre Kennwörter im Remotedesktopverbindungsclient eingeben. Sie werden zur Eingabe eines Kennworts aufgefordert, um sich anzumelden.

• Wenn Sie diese Richtlinieneinstellung deaktivieren, können sich die Benutzer immer automatisch bei Remotedesktopdienste anmelden, indem sie ihre Kennwörter im Remotedesktopverbindungsclient eingeben.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, ist die automatische Anmeldung auf der Ebene der Gruppenrichtlinie nicht festgelegt.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

RequireSecureRPCCommunication

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/RequireSecureRPCCommunication

Gibt an, ob ein Remotedesktop-Sitzungshostserver eine sichere RPC-Kommunikation mit allen Clients erfordert oder unsichere Kommunikation zulässt.

Sie können diese Einstellung verwenden, um die Sicherheit der RPC-Kommunikation mit Clients zu erhöhen, indem Sie nur authentifizierte und verschlüsselte Anforderungen zulassen.

Wenn der Status auf Aktiviert festgelegt ist, akzeptieren Remotedesktopdienste Anforderungen von RPC-Clients, die sichere Anforderungen unterstützen, und lassen keine ungesicherte Kommunikation mit nicht vertrauenswürdigen Clients zu.

Wenn der Status auf Deaktiviert gesetzt ist, fordern die Remotedesktopdienste immer Sicherheit für den gesamten RPC-Datenverkehr an. Für RPC-Clients, die nicht auf die Anforderung antworten, ist jedoch ungesicherte Kommunikation zulässig.

Wenn der Status "Nicht konfiguriert" festgelegt ist, ist die ungesicherte Kommunikation zulässig.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

TS_SERVER_REMOTEAPP_USE_SHELLAPPRUNTIME

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/TS_SERVER_REMOTEAPP_USE_SHELLAPPRUNTIME

Diese Richtlinieneinstellung ermöglicht eine verbesserte Shell-Erfahrung für RemoteApp-Sitzungen und bietet Unterstützung für Standarddateizuordnungen, Run/RunOnce-Registrierungsschlüssel und vieles mehr. Diese Richtlinieneinstellung gilt nur für RemoteApp-Sitzungen und gilt nicht für Remotedesktopsitzungen.

• Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, verfügen RemoteApp-Sitzungen auf RD-Sitzungshostservern über die erweiterte Shellerfahrung.

• Wenn Sie diese Richtlinieneinstellung deaktivieren, verfügen RemoteApp-Sitzungen nicht über die erweiterte Shellerfahrung und verwenden das alte Shellverhalten. Dies kann erforderlich sein, wenn Kompatibilitätsprobleme in veröffentlichten RemoteApp-Programmen auftreten.

Beschreibungsframeworkeigenschaften:

ADMX-Zuordnung:

Verwandte Artikel

Dienstanbieter für die Richtlinienkonfiguration