Windows 2012 TS: доменные пользователи имеют права на администрирование сервера?

Question

[Евгений Елизаров]

Собственно сабж. Гугл мучил-мучил, ответа не нашёл. Не могу понять — почему обычные юзеры, входящие в группу «Пользователи удалённого рабочего стола» имеют возможность конфигурить терминальный сервер, к которому они подключаются? Где это пофиксить?

Answer 1

[Zoom_spb]

посмотрите какие роли добавлены в группе безопасности

Comments

[Евгений Елизаров]

Никаких, домен девственно чистый, только 2 пользователя добавлено (домен тоже на 2012)

Answer 2

[Dal]

Проверьте права у пользователей в домене и локально на сервере. Ну вдруг они где-то админами стали.

Comments

[Евгений Елизаров]

Ну это первое что я сделал, ни в каких «лишних» группах пользователь не состоит, в локальных пользователях его тоже нет.

Answer 3

[mrHobbY]

1. Как вариант зайдите на сервер под таким пользователем и в cmd выполните gpresult /R /USER xxxxxxx. Посмотрите какие gpo на него применяются и где он состоит.
2. Зайдите в terminal service configuration и проверьте права. prntscr.com/13ts3e. Скриншот 2003 сревера, но суть такая же.

Comments

[Евгений Елизаров]

1. Пользователь является членом следующих групп безопасности
— Пользователи домена
Все
Пользователи
Пользователи удаленного рабочего стола
REMOTE INTERACTIVE LOGON
ИНТЕРАКТИВНЫЕ
Прошедшие проверку
Данная организация
ЛОКАЛЬНЫЕ
Подтвержденное центром проверки подлинности удостоверение
Средний обязательный уровень

никакого криминала не вижу
2. А его нету в 2012-м

Answer 4

[Евгений Елизаров]

промазал