Kaikilla järjestelmänvalvojan käyttäjillä on yksi aito huolenaihe – kirjautumistietojen turvaaminen etätyöpöytäyhteyden^(Desktop) kautta. Tämä johtuu siitä, että haittaohjelmat voivat löytää tiensä mille tahansa muulle tietokoneelle työpöytäyhteyden kautta ja muodostaa mahdollisen uhan tiedoillesi. Tästä syystä Windows-käyttöjärjestelmä^{(Windows OS)} näyttää varoituksen " Varmista, että luotat tähän tietokoneeseen, yhdistäminen epäluotettavaan tietokoneeseen saattaa vahingoittaa tietokonettasi^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} ", kun yrität muodostaa yhteyden etätyöpöytään.

Tässä viestissä näemme, kuinka Windows 10 : ssä käyttöön otettu  Remote Credential Guard -ominaisuus voi auttaa suojaamaan etätyöpöydän tunnistetietoja Windows 10 Enterprisessa^{(Windows 10 Enterprise)} ja Windows Serverissä^{(Windows Server)} .

Remote Credential Guard Windows 10 :ssä

Ominaisuus on suunniteltu poistamaan uhat ennen kuin siitä kehittyy vakava tilanne. Se auttaa sinua suojaamaan kirjautumistietojasi etätyöpöytäyhteyden^(Desktop) kautta ohjaamalla Kerberos - pyynnöt takaisin yhteyttä pyytävälle laitteeseen. Se tarjoaa myös kertakirjautumiskokemuksia etätyöpöytäistunnoille^{(Remote Desktop)} .

Epäonnen sattuessa, jossa kohdelaite vaarantuu, käyttäjän tunnistetietoja ei paljasteta, koska sekä tunnistetietoja että valtuustietojen johdannaisia ​​ei koskaan lähetetä kohdelaitteeseen.

Remote Credential Guardin^{(Remote Credential Guard)} toimintatapa on hyvin samanlainen kuin Credential Guardin tarjoama suoja paikallisella koneella, paitsi että Credential Guard suojaa myös tallennettuja verkkotunnuksen tunnistetietoja Credential Managerin^{(Credential Manager)} kautta .

Yksilö voi käyttää Remote Credential Guardia^{(Remote Credential Guard)} seuraavilla tavoilla:

1. Koska järjestelmänvalvojan^{(Administrator)} tunnistetiedot ovat erittäin etuoikeutettuja, ne on suojattava. Käyttämällä Remote Credential Guardia^{(Remote Credential Guard)} voit olla varma, että kirjautumistietosi on suojattu, koska se ei salli valtuustietojen siirtymistä verkon yli kohdelaitteeseen.
2. Organisaatiosi tukipalvelun^(Helpdesk) työntekijöiden on muodostettava yhteys verkkotunnukseen liitettyihin laitteisiin, jotka voivat vaarantua. Remote Credential Guardin^{(Remote Credential Guard)} avulla helpdeskin työntekijä voi muodostaa yhteyden kohdelaitteeseen RDP :n avulla vaarantamatta tunnistetietojaan haittaohjelmille.

Laitteisto- ja ohjelmistovaatimukset

Jotta Remote Credential Guard toimisi sujuvasti , varmista, että seuraavat Remote Desktop -asiakkaan ja -palvelimen vaatimukset täyttyvät.

1. Remote Desktop Client ja palvelin on liitettävä Active Directory -toimialueeseen
2. Molempien laitteiden on joko liitettävä samaan toimialueeseen tai etätyöpöytäpalvelin^{(Remote Desktop)} on liitettävä toimialueeseen, jolla on luottamussuhde asiakaslaitteen toimialueeseen.
3. Kerberos - todennus olisi pitänyt ottaa käyttöön.
4. Etätyöpöytäsovelluksen^{(Remote Desktop)} on oltava käytössä vähintään Windows 10 , versio 1607 tai Windows Server 2016 .
5. Etätyöpöytä Universal Windows Platform^{(Remote Desktop Universal Windows Platform)} -sovellus ei tue Remote Credential Guardia^{(Remote Credential Guard)} , joten käytä Remote Desktopin^{(Remote Desktop)} klassista Windows - sovellusta.

Ota Remote Credential Guard käyttöön ^{(Remote Credential Guard)}rekisterin^(Registry) kautta

Ota Remote Credential Guard käyttöön kohdelaitteessa avaamalla Rekisterieditori^{(Registry Editor)} ja siirtymällä seuraavaan avaimeen:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Lisää uusi DWORD-arvo nimeltä DisableRestrictedAdmin . Aseta tämän rekisteriasetuksen arvoksi 0 ottaaksesi Remote Credential Guardin käyttöön^{(Remote Credential Guard)} .

Sulje Rekisterieditori.

Voit ottaa Remote Credential Guardin^{(Remote Credential Guard)} käyttöön suorittamalla seuraavan komennon korotetusta CMD:stä:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Ota Remote Credential Guard käyttöön ryhmäkäytännön avulla^{(Group Policy)}

Remote Credential Guardia^{(Remote Credential Guard)} on mahdollista käyttää asiakaslaitteessa asettamalla ryhmäkäytäntö^{(Group Policy)} tai käyttämällä parametria Remote Desktop Connection -yhteyden^{(Remote Desktop Connection)} kanssa .

Siirry ryhmäkäytännön hallintakonsolissa^{(Group Policy Management Console)} kohtaan Computer Configuration > Administrative Templates > System > Credentials Delegation.

Kaksoisnapsauta nyt Rajoita valtuustietojen delegointi etäpalvelimille^{(Restrict delegation of credentials to remote servers)} avataksesi sen Ominaisuudet-ruudun.

Valitse Käytä seuraavaa rajoitettua tilaa^{(Use the following restricted mode)} -ruudusta Vaadi Remote Credential Guard. ^{( Require Remote Credential Guard. )}Toinen vaihtoehto Rajoitettu järjestelmänvalvojatila^{(Restricted Admin mode)} on myös käytettävissä. Sen merkitys on, että kun Remote Credential Guardia^{(Remote Credential Guard)} ei voi käyttää, se käyttää rajoitettua järjestelmänvalvojatilaa^{(Restricted Admin)} .

Joka tapauksessa Remote Credential Guard tai Restricted Admin -tila eivät lähetä tunnistetietoja selkeänä tekstinä etätyöpöytäpalvelimelle^{(Remote Desktop)} .

Salli Remote Credential Guard^{(Allow Remote Credential Guard)} valitsemalla ' Etäkäyttöoikeusvarmistus^{(Prefer Remote Credential Guard)} ' -vaihtoehto.

Napsauta OK^{(Click OK)} ja poistu ryhmäkäytännön hallintakonsolista^{(Group Policy Management Console)} .

Suorita nyt komentokehotteessa gpupdate.exe /force varmistaaksesi, että ryhmäkäytäntöobjektia^{(Group Policy)} käytetään.

Käytä Remote Credential Guardia ^{(Use Remote Credential Guard)}Etätyöpöytäyhteyden^{(Remote Desktop)} parametrin kanssa

Jos et käytä ryhmäkäytäntöä^{(Group Policy)} organisaatiossasi, voit lisätä RemoteGuard-parametrin käynnistäessäsi Remote Desktop Connection -sovelluksen ottaaksesi Remote Credential Guardin^{(Remote Credential Guard)} käyttöön kyseiselle yhteydelle.

mstsc.exe /remoteGuard

Asiat, jotka sinun tulee pitää mielessä, kun käytät Remote Credential Guardia^{(Remote Credential Guard)}

1. Remote Credential Guardia^{(Remote Credential Guard)} ei voi käyttää yhteyden muodostamiseen laitteeseen, joka on liitetty Azure Active Directoryyn^{(Azure Active Directory)} .
2. Remote Desktop Credential Guard toimii vain RDP - protokollan kanssa.
3. Remote Credential Guard ei sisällä laitevaatimuksia. Jos esimerkiksi yrität käyttää tiedostopalvelinta etäältä ja tiedostopalvelin vaatii laitevaatimuksen, käyttö estetään.
4. Palvelimen ja asiakkaan tulee todentaa Kerberosilla^(Kerberos) .
5. Verkkotunnuksilla on oltava luottamussuhde tai sekä asiakkaan että palvelimen on oltava liitettyinä samaan toimialueeseen.
6. Remote Desktop Gateway ei ole yhteensopiva Remote Credential Guardin kanssa^{(Remote Credential Guard)} .
7. Tunnuksia ei ole vuotanut kohdelaitteeseen. Kohdelaite hankkii kuitenkin Kerberos-palveluliput ^{(Kerberos Service)} itse^(Tickets) .
8. Lopuksi sinun on käytettävä laitteeseen kirjautuneen käyttäjän tunnistetietoja. Tallennettujen tai erilaisten tunnistetietojen käyttäminen ei ole sallittua.

Voit lukea tästä lisää Technetissä^(Technet) .

Aiheeseen liittyvä^(Related) : Kuinka lisätä etätyöpöytäyhteyksien määrää^{(increase the number of Remote Desktop Connections)} Windows 10:ssä.

Remote Credential Guard protects Remote Desktop credentials

All system administrator uѕers have one very genuіne concern – securing credentials over a Remote Desktop connection. This is because malware can find іts waу to any other computer over thе desktop connection and pose a potential threat to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Lisää etätyöpöytäyhteyksien määrää Windows 11/10:ssä

• Windows-näppäin jumissa etätyöpöytäistunnosta vaihtamisen jälkeen

• Liitä ei voi kopioida Windows 10:n etätyöpöytäistunnossa

• Tapahtui todennusvirhe, pyydettyä toimintoa ei tueta

• Luo etätyöpöytäyhteyden pikakuvake Windows 11/10:ssä

• Vaihda etätyöpöydän kuunteluportti

• Tunnistetietosi eivät toimineet Windows 11/10:n etätyöpöydällä

• Jos haluat kirjautua sisään etänä, sinun on kirjauduttava sisään Remote Desktop Services -palvelun kautta

• Etätyöpöytä ei voi muodostaa yhteyttä etätietokoneeseen Windows 11/10:ssä

• Kuinka estää etätyöpöytä Windows-tietokoneellasi -

• Paras ilmainen etätyöpöytäohjelmisto Windows 10:lle

• Etätyöpöydän (RDP) käyttäminen Windows 11/10 Homessa

• Etätyöpöytä ei toimi tai ei muodosta yhteyttä Windows 11/10:ssä

• Kirjautumisyritys epäonnistui -virhe etätyöpöytää muodostettaessa

• Etätyöpöytäpalvelut aiheuttavat korkean suorittimen Windows 11/10:ssä

• Etätyöpöytäsovellus vs. TeamViewer Touch – kumpi on parempi sovellus?

• Windows-tietokoneen ohjaaminen Macin etätyöpöydällä

• Suorita CTRL+ALT+DEL etätietokoneella etätyöpöydällä

• Ota etätyöpöytä käyttöön komentokehotteen tai PowerShellin avulla

• Liitä iPhone Windows 10 -tietokoneeseen Microsoft Remote Desktopin avulla