Política CSP – RemoteDesktopServices

AllowUsersToConnectRemotely

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/AllowUsersToConnectRemotely

Essa configuração de política permite configurar o acesso remoto a computadores usando os Serviços de Área de Trabalho Remota.

• Se você habilitar essa configuração de política, os usuários que são membros do grupo Usuários de Área de Trabalho Remota no computador de destino poderão se conectar remotamente ao computador de destino usando os Serviços de Área de Trabalho Remota.

• Se você desabilitar essa configuração de política, os usuários não poderão se conectar remotamente ao computador de destino usando os Serviços de Área de Trabalho Remota. O computador de destino manterá todas as conexões atuais, mas não aceitará novas conexões de entrada.

• Se você não definir essa configuração de política, os Serviços de Área de Trabalho Remota usarão a configuração de Área de Trabalho Remota no computador de destino para determinar se a conexão remota é permitida. Essa configuração é encontrada na guia Remoto na folha de propriedades do sistema. Por padrão, conexões remotas não são permitidas.

Você pode limitar o número de usuários que podem se conectar simultaneamente definindo a configuração de política em Configuração do Computador\Modelos Administrativos\Componentes Windows\Serviços de Área de Trabalho Remota\Host de Sessão de Área de Trabalho Remota\Conexões\Número limite de conexões ou definindo a configuração de política Máximo de Conexões usando o Provedor WMI do Host de Sessão de Área de Trabalho Remota.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

ClientConnectionEncryptionLevel

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/ClientConnectionEncryptionLevel

Especifica se deve exigir o uso de um nível de criptografia específico para proteger as comunicações entre computadores cliente e servidores host de sessão RD durante conexões RDP (Área de Trabalho Remota Protocol). Essa política só se aplica quando você estiver usando criptografia RDP nativa. No entanto, a criptografia RDP nativa (em oposição à criptografia SSL) não é recomendada. Essa política não se aplica à criptografia SSL.

• Se você habilitar essa configuração de política, todas as comunicações entre clientes e servidores Host de Sessão RD durante conexões remotas deverão usar o método de criptografia especificado nessa configuração. Por padrão, o nível de criptografia é definido como Alto. Os seguintes métodos de criptografia estão disponíveis:

• Alto: a configuração Alta criptografa dados enviados do cliente para o servidor e do servidor para o cliente usando criptografia forte de 128 bits. Use esse nível de criptografia em ambientes que contenham apenas clientes de 128 bits (por exemplo, clientes que executam a Conexão de Área de Trabalho Remota). Os clientes que não oferecem suporte a esse nível de criptografia não podem se conectar aos servidores Host de Sessão RD.

• Compatível com Cliente: a configuração Compatível com Cliente criptografa os dados enviados entre o cliente e o servidor com a força máxima da chave suportada pelo cliente. Use esse nível de criptografia em ambientes que incluem clientes que não dão suporte à criptografia de 128 bits.

• Baixa: a configuração Baixa criptografa somente os dados enviados do cliente para o servidor usando criptografia de 56 bits.

• Se você desabilitar ou não definir essa configuração, o nível de criptografia a ser usado para conexões remotas com servidores Host de Sessão RD não será imposto pela Política de Grupo.

Importante.

A conformidade com FIPS pode ser configurada por meio da criptografia do sistema. Use algoritmos compatíveis com FIPS para configurações de criptografia, hash e assinatura na Política de Grupo (em Configuração do Computador\Configurações do Windows\Configurações de Segurança\Políticas Locais\Opções de Segurança). A configuração compatível com FIPS criptografa e descriptografa os dados enviados do cliente para o servidor e do servidor para o cliente, com os algoritmos de criptografia 140 do Federal Information Processing Standard (FIPS), usando módulos criptográficos da Microsoft. Use esse nível de criptografia quando as comunicações entre clientes e servidores de Host de Sessão de Área de Trabalho Remota exigirem o nível mais alto de criptografia.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

DisconnectOnLockLegacyAuthn

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DisconnectOnLockLegacyAuthn

Essa configuração de política permite que você configure a experiência do usuário quando a sessão da Área de Trabalho Remota é bloqueada pelo usuário ou por uma política. Você pode especificar se a sessão remota mostrará a tela de bloqueio remoto ou desconectará quando a sessão remota for bloqueada. Desconectar a sessão remota garante que uma sessão remota não possa ser deixada na tela de bloqueio e não possa ser reconectada automaticamente devido à perda de conectividade de rede.

Essa política se aplica somente ao usar autenticação herdada para autenticar o computador remoto. A autenticação herdada é limitada a nome de usuário e senha ou certificados como cartões inteligentes. A autenticação herdada não aproveita a plataforma de identidade da Microsoft, como o Microsoft Entra ID. A autenticação herdada inclui os protocolos de autenticação básica NTLM, CredSSP, RDSTLS, TLS e RDP.

• Se você habilitar essa configuração de política, as conexões de Área de Trabalho Remota usando autenticação herdada desconectarão a sessão remota quando a sessão remota for bloqueada. Os usuários podem se reconectar quando estiverem prontos e inserir novamente suas credenciais quando solicitados.

• Se você desabilitar ou não definir essa configuração de política, as conexões de Área de Trabalho Remota que usam autenticação herdada mostrarão a tela de bloqueio remoto quando a sessão remota for bloqueada. Os usuários podem desbloquear a sessão remota usando seu nome de usuário e senha ou certificados.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

DisconnectOnLockMicrosoftIdentityAuthn

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DisconnectOnLockMicrosoftIdentityAuthn

Essa configuração de política permite que você configure a experiência do usuário quando a sessão da Área de Trabalho Remota é bloqueada pelo usuário ou por uma política. Você pode especificar se a sessão remota mostrará a tela de bloqueio remoto ou desconectará quando a sessão remota for bloqueada. Desconectar a sessão remota garante que uma sessão remota não possa ser deixada na tela de bloqueio e não possa ser reconectada automaticamente devido à perda de conectividade de rede.

Essa política se aplica somente ao usar um provedor de identidade que usa a plataforma de identidade da Microsoft, como o Microsoft Entra ID, para autenticar o computador remoto. Essa política não se aplica ao usar a autenticação herdada, que inclui os protocolos de autenticação básica NTLM, CredSSP, RDSTLS, TLS e RDP.

• Se você habilitar ou não definir essa configuração de política, as conexões de Área de Trabalho Remota que usam a plataforma de identidade da Microsoft desconectarão a sessão remota quando a sessão remota for bloqueada. Os usuários podem se reconectar quando estiverem prontos e podem usar autenticação sem senha, se configurados.

• Se você desabilitar essa configuração de política, as conexões de Área de Trabalho Remota que usam a plataforma de identidade da Microsoft mostrarão a tela de bloqueio remoto quando a sessão remota for bloqueada. Os usuários podem desbloquear a sessão remota usando seu nome de usuário e senha ou certificados.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

DoNotAllowDriveRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DoNotAllowDriveRedirection

Essa configuração de política especifica se o mapeamento de unidades cliente deve ser impedido em uma sessão dos Serviços de Área de Trabalho Remota (redirecionamento de unidade).

Por padrão, um servidor Host de Sessão RD mapeia as unidades do cliente automaticamente na conexão. As unidades mapeadas aparecem na árvore de pastas de sessão no Explorador de Arquivos ou Computador no formato <driveletter> em <computername>. Você pode usar essa configuração de política para substituir esse comportamento.

• Se você habilitar essa configuração de política, o redirecionamento de unidade do cliente não será permitido nas sessões dos Serviços de Área de Trabalho Remota, e o redirecionamento de cópia de arquivo da Área de Transferência não será permitido em computadores que executam o Windows XP, o Windows Server 2003, o Windows Server 2012 (e posterior) ou o Windows 8 (e posterior).

• Se você desabilitar essa configuração de política, o redirecionamento de unidade do cliente sempre será permitido. Além disso, o redirecionamento de cópia de arquivo da área de transferência sempre será permitido se o redirecionamento da área de transferência for permitido.

• Se você não definir essa configuração de política, o redirecionamento de unidade do cliente e o redirecionamento de cópia do arquivo da Área de Transferência não serão especificados no nível da Política de Grupo.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

DoNotAllowPasswordSaving

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DoNotAllowPasswordSaving

Controla se as senhas podem ser salvas neste computador a partir da Conexão de Área de Trabalho Remota.

• Se você habilitar essa configuração, a caixa de seleção de salvamento de senha na Conexão de Área de Trabalho Remota será desabilitada e os usuários não poderão mais salvar senhas. Quando um usuário abre um arquivo RDP usando a Conexão de Área de Trabalho Remota e salva suas configurações, qualquer senha que existisse anteriormente no arquivo RDP será excluída.

• Se você desabilitar essa configuração ou deixá-la não configurada, o usuário poderá salvar senhas usando a Conexão de Área de Trabalho Remota.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

DoNotAllowWebAuthnRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/DoNotAllowWebAuthnRedirection

Essa configuração de política permite controlar o redirecionamento de solicitações de autenticação da Web (WebAuthn) de uma sessão da Área de Trabalho Remota para o dispositivo local. Esse redirecionamento permite que os usuários se autentiquem em recursos dentro da sessão da Área de Trabalho Remota usando seu autenticador local (por exemplo, Windows Hello para Empresas, chave de segurança ou outro).

Por padrão, a Área de Trabalho Remota permite o redirecionamento de solicitações WebAuthn.

• Se você habilitar essa configuração de política, os usuários não poderão usar o autenticador local dentro da sessão da Área de Trabalho Remota.

• Se você desabilitar ou não definir essa configuração de política, os usuários poderão usar autenticadores locais dentro da sessão da Área de Trabalho Remota.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

EnableMicrosoftEntraIdAuthenticationEnforcement

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/EnableMicrosoftEntraIdAuthenticationEnforcement

Propriedades da estrutura de descrição:

Mapeamento ADMX:

LimitClientToServerClipboardRedirection

./User/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitClientToServerClipboardRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitClientToServerClipboardRedirection

Essa configuração de política permite restringir as transferências de dados da área de transferência do cliente para o servidor.

• Se você habilitar essa configuração de política, deverá escolher entre os seguintes comportamentos:

• Desabilite as transferências da área de transferência do cliente para o servidor.

• Permitir a cópia de texto sem formatação do cliente para o servidor.

• Permitir a cópia de texto sem formatação e imagens do cliente para o servidor.

• Permita a cópia de texto sem formatação, imagens e Rich Text do cliente para o servidor.

• Permita a cópia de texto sem formatação, imagens, Rich Text e HTML do cliente para o servidor.

• Se você desabilitar ou não definir esta configuração de política, os usuários poderão copiar conteúdo arbitrário do cliente para o servidor se o redirecionamento de área de transferência estiver habilitado.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

LimitServerToClientClipboardRedirection

./User/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitServerToClientClipboardRedirection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/LimitServerToClientClipboardRedirection

Essa configuração de política permite restringir as transferências de dados da área de transferência do servidor para o cliente.

• Se você habilitar essa configuração de política, deverá escolher entre os seguintes comportamentos:

• Desabilite as transferências da área de transferência do servidor para o cliente.

• Permitir a cópia de texto sem formatação do servidor para o cliente.

• Permitir a cópia de texto sem formatação e imagens do servidor para o cliente.

• Permita a cópia de texto sem formatação, imagens e Rich Text do servidor para o cliente.

• Permita texto simples, imagens, formato Rich Text e cópia HTML do servidor para o cliente.

• Se você desabilitar ou não definir esta configuração de política, os usuários poderão copiar conteúdo arbitrário do servidor para o cliente se o redirecionamento de área de transferência estiver habilitado.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

PromptForPasswordUponConnection

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/PromptForPasswordUponConnection

Essa configuração de política especifica se os Serviços de Área de Trabalho Remota sempre solicitam uma senha ao cliente na conexão.

Você pode usar essa configuração para impor um prompt de senha para usuários que fazem logon nos Serviços de Área de Trabalho Remota, mesmo que eles já tenham fornecido a senha no cliente de Conexão de Área de Trabalho Remota.

Por padrão, os Serviços de Área de Trabalho Remota permitem que os usuários façam logon automaticamente inserindo uma senha no cliente de Conexão de Área de Trabalho Remota.

• Se você habilitar essa configuração de política, os usuários não poderão fazer logon automaticamente nos Serviços de Área de Trabalho Remota fornecendo suas senhas no cliente de Conexão de Área de Trabalho Remota. Eles são solicitados a fornecer uma senha para fazer logon.

• Se você desabilitar essa configuração de política, os usuários sempre poderão fazer logon nos Serviços de Área de Trabalho Remota automaticamente fornecendo suas senhas no cliente de Conexão de Área de Trabalho Remota.

• Se você não definir essa configuração de política, o logon automático não será especificado no nível da Política de Grupo.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

RequireSecureRPCCommunication

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/RequireSecureRPCCommunication

Especifica se um servidor Host de Sessão de Área de Trabalho Remota requer comunicação RPC segura com todos os clientes ou permite comunicação não segura.

Você pode usar essa configuração para reforçar a segurança da comunicação RPC com clientes, permitindo apenas solicitações autenticadas e criptografadas.

Se o status estiver definido como Habilitado, os Serviços de Área de Trabalho Remota aceitarão solicitações de clientes RPC que dão suporte a solicitações seguras e não permitirão a comunicação não segura com clientes não confiáveis.

Se o status for definido como Desabilitado, os Serviços de Área de Trabalho Remota sempre solicitarão segurança para todo o tráfego RPC. No entanto, a comunicação não segura é permitida para clientes RPC que não respondem à solicitação.

Se o status estiver definido como Não configurado, a comunicação não segura será permitida.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

TS_SERVER_REMOTEAPP_USE_SHELLAPPRUNTIME

./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/TS_SERVER_REMOTEAPP_USE_SHELLAPPRUNTIME

Essa configuração de política permite uma experiência de shell aprimorada para sessões do RemoteApp, oferecendo suporte para associações de arquivos padrão, chaves do Registro Run/RunOnce e muito mais. Essa configuração de política se aplica somente a sessões do RemoteApp e não se aplica a sessões da Área de Trabalho Remota.

• Se você habilitar ou não definir essa configuração de política, as sessões do RemoteApp nos servidores Host de Sessão RD terão a experiência de shell aprimorada.

• Se você desabilitar essa configuração de política, as sessões do RemoteApp não terão a experiência de shell aprimorada e usarão o comportamento de shell herdado. Isso pode ser necessário se surgirem problemas de compatibilidade em programas RemoteApp publicados.

Propriedades da estrutura de descrição:

Mapeamento ADMX:

Artigos relacionados

Provedor de serviço da configuração de política