Терминальный сервер в школе! Увеличение безопасности и функционала?

Question

[Gleb86898964]

В вопросе мы обсудили основные моменты терминального доступа в школе. Однако во время beta эксплуатация всплыли новые проблемы, которые надо решать.
1. Способы аутентификации
По умолчанию RDP использует небезопасную схему логин+пароль. Возможно ли в Windows Server 2019 вместо связки логин+пароль использовать связку логин+приватный_ключ (наподобие SSH) или логин+биометрия для RDP? Возможно ли использовать OAuth на основе OpenID для RDP RemoteApp?
2. Альтернатива chroot для windows
Если в режиме RemoteApp запустить какую-нибудь программу (например PhotoShop или Microsoft PowerPoint), то можно будет получить полный доступ к диску C:\. Записать без прав администратора не получиться, но чтение системных файлов уже достаточно для угрозы безопасности. Возможно ли как-то скрыть системные файлы (и личные файлы администрации) в режиме RemoteApp?
3. Версии новые, проблема старые
Терминальный сервер переехал с Windows Server 2012 на Windows Server 2019. Однако 2019 сервер завис на версии 1809, которая устарела. Возможно ли как-то поставить версию с поддержкой RDP10, WSL2 и работы Hyper -V + VMware? Желательно 20H1.

Как решить все вопросы безопасности?

Comments

[DevMan]

Даня, когда ты уже поймешь, что перекрестные ссылки – не формат.

[ettaluni]

Какие вопросы безопасности ты решаешь? Твои действия не соизмеримы с потребностями организации. Там что за школа такая?
1. Есть ключи - флэшки, есть разрешенная авторизация только на определенном компьютере - определенному лицу. И биометрия была. Но это все не для тебя и не для школы!
2. Чтение системных файлов такая угроза, чтение общедоступных файлов что есть в любой винде и уже которая была давно слита в исходниках кулцхакерам. Есть скрытие системных дисков в проводнике, есть права доступа, перечисления на основе прав доступа. Этого достаточно чтобы скрыть документы администрации. И вообще документы хранить надо не на рабочих столах а в сетевых папках.
3. Ставишь сервак отключаешь обновления, через пол года-год ставишь более свежую версию! Усе для школы достаточно! Обновления как дыры залатывают так и новые приносят.

[Gleb86898964]

DevMan, А как мне говорить, что это не супер новая тема, а всего-лишь продолжение старой си новыми вопросами с дополнением старых?!

[DevMan]

Gleb86898964, элементарно: конкретный вопрос – конкретный ответ.
все стенания, имевшие место ранее – не роялят. как их не перефразируй.

[DevMan]

Gleb86898964, а мешать кучу вопросов в один – уже давно не то, что моветон, а просто не продуктивно.

[RStarun]

ответ по вопросу безопасности - VDI. Все уже давно придумано.
По поводу Photoshop'а сильно - это ж сколько нужно на лицензии потратить чтоб учащиеся по rdp туда пачками заходили?

[Gleb86898964]

RStarun,

ответ по вопросу безопасности - VDI. Все уже давно придумано.

А какой самый выгодный вариант VDI для школы? Как его настроить? Что нужно?

По поводу Photoshop'а сильно - это ж сколько нужно на лицензии потратить чтоб учащиеся по rdp туда пачками заходили?

Обойдутся. Пусть со своими аккаунтами Adobe Creative Cloud (Adobe ID) входят.

[RStarun]

Gleb86898964, это нужно у продажников Microsoft уточнять. Это уже вопросы лицензирования и да, дорого.