Anmelden über Remotedesktopdienste verweigern
Dieses Benutzerrecht bestimmt, welche Benutzer und Gruppen keine Remoteanmeldung mit dem Anmeldetyp „RemoteInteractive“ durchführen dürfen.
seit 0.9.8.11
Zweck
Sicherheitsrichtlinie: [Privilege Rights] SeDenyRemoteInteractiveLogonRight =
Dieses Benutzerrecht bestimmt, welche Benutzer und Gruppen keine Remoteanmeldung mit dem Anmeldetyp „RemoteInteractive“ durchführen dürfen. Die Verweigerung gilt auch dann, wenn ein Konto aufgrund einer direkten Zuweisung oder seiner Gruppenmitgliedschaften über das Benutzerrecht „Anmelden über Remotedesktopdienste zulassen“ verfügt.
Die hier gesetzte leere Kontenliste weist SeDenyRemoteInteractiveLogonRight keinem Konto und keiner Gruppe zu. Somit wird kein Konto durch dieses Benutzerrecht von der Anmeldung über Remotedesktopdienste ausgeschlossen. Dies erteilt jedoch keinem Konto ein Anmelderecht.
Eine erfolgreiche Remotedesktopanmeldung setzt weiterhin voraus, dass Remotedesktopverbindungen zugelassen sind und das Konto alle erforderlichen positiven Anmelderechte und sonstigen Zugangsbedingungen erfüllt. Insbesondere aktiviert die leere Zuweisung weder Remotedesktopdienste noch fügt sie ein Konto den Gruppen „Administratoren“ oder „Remotedesktopbenutzer“ hinzu.
Hinweise
Weitere Wirkungen
Microsoft ordnet diesem Benutzerrecht auch Beschränkungen für Verbindungen über die Remoteunterstützung zu. Eine leere Zuweisung beseitigt daher ebenfalls eine durch dieses Recht verursachte Kontosperre für diese Verbindungsart. Sie aktiviert die Remoteunterstützung nicht; deren Verfügbarkeit wird durch separate Einstellungen bestimmt.
Sicherheit
Das Leeren der Zuweisung entfernt eine explizite Schutzschicht gegen Remoteanmeldungen. Konten, die zuvor ausschließlich durch SeDenyRemoteInteractiveLogonRight gesperrt waren, können anschließend für eine Remoteanmeldung infrage kommen, sofern Remotedesktop verfügbar ist und sie das erforderliche Zulassungsrecht sowie alle weiteren Voraussetzungen erfüllen.
Die Änderung verschafft solchen Konten weder Administratorrechte noch allgemeinen Zugriff auf Dateien oder andere Systemressourcen. Die Berechtigungen innerhalb einer Sitzung richten sich weiterhin nach dem angemeldeten Konto, seinen Gruppenmitgliedschaften und den jeweiligen Zugriffssteuerungslisten.
Hinweise
Dies ist eine computerbezogene Zuweisung von Benutzerrechten in der lokalen Sicherheitsrichtlinie, keine ADMX-basierte Richtlinie und kein Schalter zum Aktivieren von Remotedesktop.
Eine über Domänen-, Standort- oder Organisationseinheitsrichtlinien bereitgestellte Zuweisung kann die lokale Einstellung bei der Richtlinienverarbeitung überschreiben. Die tatsächlich wirksame Kontenliste kann deshalb auf einem domänengebundenen Computer von der lokal gesetzten leeren Liste abweichen.
Für eine Änderung dieses Benutzerrechts ist kein Neustart erforderlich. Sie wird für ein betroffenes Konto bei dessen nächster Anmeldung wirksam.
Microsoft-Dokumentation
Microsoft Learn: Deny log on through Remote Desktop Services
Microsoft Learn: Kontorechtekonstanten