Geräte müssen die Authentifizierung auf Netzwerkebene verwenden, um eine Verbindung herzustellen
Der DWORD-Wert `1` verlangt für eingehende Verbindungen über den RDP-Tcp-Listener die Authentifizierung auf Netzwerkebene (Network Level Authentication, NLA).
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication
Der DWORD-Wert 1 verlangt für eingehende Verbindungen über den RDP-Tcp-Listener die Authentifizierung auf Netzwerkebene (Network Level Authentication, NLA). Benutzer müssen sich dadurch authentifizieren, bevor Windows die eigentliche Remotedesktopverbindung beziehungsweise Remotesitzung herstellt.
Die Einstellung aktiviert Remotedesktop nicht selbst und erteilt keinem Konto ein Anmelderecht. Der Remotedesktopzugriff muss unabhängig davon zugelassen sein, und das verwendete Konto benötigt weiterhin die erforderlichen Berechtigungen für eine Anmeldung über Remotedesktopdienste.
Hinweise
Sicherheit
NLA verlagert die Benutzerauthentifizierung an einen früheren Punkt des Verbindungsaufbaus. Dadurch muss Windows nicht erst eine vollständige Remotedesktopsitzung für einen noch nicht authentifizierten Benutzer bereitstellen. Dies verringert die Angriffsfläche des RDP-Dienstes und den Ressourcenaufwand durch nicht authentifizierte Verbindungsversuche. Microsoft nennt außerdem einen besseren Schutz vor schädlichen Benutzern oder schädlicher Software sowie ein geringeres Risiko durch Denial-of-Service-Angriffe.
NLA ersetzt weder die Berechtigungsprüfung noch andere Schutzmaßnahmen für Remotedesktop. Nach erfolgreicher Authentifizierung gelten weiterhin die Benutzerrechte, Gruppenmitgliedschaften und Zugriffsberechtigungen des betreffenden Kontos.
Mögliche Nebenwirkungen
RDP-Clients ohne Unterstützung für die Authentifizierung auf Netzwerkebene können keine Verbindung herstellen. Auch Fehler in der Anmelde- oder Domänenkonfiguration können dazu führen, dass die Verbindung bereits während der vorgeschalteten Authentifizierung abgelehnt wird, bevor eine interaktive Remotedesktopsitzung erscheint.
Hinweise
Der hier beschriebene Wert ist eine lokale Einstellung des RDP-Tcp-Listeners. Er ist nicht mit dem gleichnamigen Registry-Wert der administrativen Richtlinie Benutzerauthentifizierung für Remoteverbindungen mit Authentifizierung auf Netzwerkebene erforderlich gleichzusetzen. Microsoft dokumentiert für diese Gruppenrichtlinie den separaten Pfad HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\UserAuthentication. Eine wirksame administrative Richtlinie kann die lokale Einstellung vorgeben.
Microsoft-Dokumentation
Microsoft Learn: UserAuthentication
Microsoft Learn: Aktivieren von Remotedesktop auf Ihrem PC
Microsoft Learn: Richtlinien-CSP – ADMX_TerminalServer