Remotehost ermöglicht die Delegierung nicht exportierbarer Anmeldeinformationen
Diese computergesteuerte Richtlinieneinstellung legt fest, ob ein Remotehost den eingeschränkten Administratormodus und Remote Credential Guard für Remotedesktopverbindungen unterstützt.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\AllowProtectedCreds
Diese computergesteuerte Richtlinieneinstellung legt fest, ob ein Remotehost den eingeschränkten Administratormodus und Remote Credential Guard für Remotedesktopverbindungen unterstützt. Beide Modi vermeiden, dass wiederverwendbare Anmeldeinformationen des Benutzers an den Remotehost übermittelt werden.
Ist die Einstellung deaktiviert oder nicht konfiguriert, unterstützt der Host diese geschützten Verbindungsmodi nicht. Benutzer müssen ihre Anmeldeinformationen dann im Rahmen der gewöhnlichen Anmeldeinformationsdelegierung an den Host übergeben.
Die Einstellung aktiviert oder erzwingt den geschützten Modus nicht auf dem Client und gewährt keine Berechtigung für Remotedesktopanmeldungen.
Hinweise
Weitere Wirkungen
Bei Remote Credential Guard werden Kerberos-Anforderungen aus der Remotedesktopsitzung an das Clientgerät zurückgeleitet. Dadurch kann der Benutzer innerhalb der Sitzung per einmaliger Anmeldung auf weitere Ressourcen zugreifen, ohne seine Anmeldeinformationen auf dem Remotehost bereitzustellen.
Im eingeschränkten Administratormodus werden ebenfalls keine wiederverwendbaren Benutzeranmeldeinformationen an den Host übertragen. Ausgehende Zugriffe aus der Sitzung verwenden jedoch die Identität des Remotehosts und nicht die Identität des angemeldeten Benutzers.
Sicherheit
Die Unterstützung dieser Modi verringert das Risiko, dass ein kompromittierter Remotehost Kennwörter, Hashes oder andere wiederverwendbare Anmeldeinformationen aus einer Remotedesktopsitzung entwendet und nach Sitzungsende missbraucht.
Die Richtlinie allein stellt diesen Schutz nicht sicher. Der Client muss die Verbindung tatsächlich mit Remote Credential Guard oder im eingeschränkten Administratormodus herstellen. Bei Remote Credential Guard kann ein kompromittierter Host außerdem während einer bestehenden Sitzung Authentifizierungsanforderungen über den noch aktiven Kanal im Namen des Benutzers auslösen.
Mögliche Nebenwirkungen
Der eingeschränkte Administratormodus stellt für Zugriffe auf andere Systeme keine Benutzeranmeldeinformationen bereit. Anwendungen oder Verwaltungsabläufe, die innerhalb der Remotedesktopsitzung auf Netzwerkressourcen unter der Identität des Benutzers zugreifen müssen, können deshalb nicht wie bei einer gewöhnlichen RDP-Sitzung funktionieren.
Verlangt ein Client einen der geschützten Modi, während der Remotehost ihn nicht unterstützt, kann die Remotedesktopverbindung nicht in diesem Modus hergestellt werden.
Hinweise
Remote Credential Guard setzt Kerberos-Authentifizierung voraus und funktioniert nur mit RDP. Der Remotehost muss einer Active-Directory-Domäne angehören. Direkte Verbindungen werden unterstützt; Verbindungen über ein Remotedesktopgateway oder einen Remotedesktop-Verbindungsbroker werden nicht unterstützt.
Der eingeschränkte Administratormodus setzt ein Konto mit Administratorrechten auf dem Remotehost voraus. Remote Credential Guard benötigt dagegen weiterhin lediglich die für eine RDP-Anmeldung erforderlichen Zugriffsrechte.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – CredentialsDelegation
Microsoft Learn: Remote Credential Guard