Alla systemadministratörer har ett mycket genuint bekymmer – att säkra autentiseringsuppgifter via en fjärrskrivbordsanslutning^(Desktop) . Detta beror på att skadlig programvara kan hitta sin väg till vilken annan dator som helst via skrivbordsanslutningen och utgöra ett potentiellt hot mot dina data. Det är därför Windows OS visar en varning " Se till att du litar på den här datorn, anslutning till en opålitlig dator kan skada din dator^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} " när du försöker ansluta till ett fjärrskrivbord.

I det här inlägget kommer vi att se hur funktionen Remote Credential Guard , som har introducerats i  Windows 10 , kan hjälpa till att skydda autentiseringsuppgifter för fjärrskrivbord i Windows 10 Enterprise och Windows Server .

Remote Credential Guard i Windows 10

Funktionen är utformad för att eliminera hot innan den utvecklas till en allvarlig situation. Det hjälper dig att skydda dina referenser via en fjärrskrivbordsanslutning^(Desktop) genom att omdirigera Kerberos -förfrågningarna tillbaka till enheten som begär anslutningen. Det ger också enkel inloggningsupplevelse för Remote Desktop - sessioner.

I händelse av olycka där målenheten äventyras, exponeras inte användarens autentiseringsuppgifter eftersom både autentiseringsuppgifter och autentiseringsderivat aldrig skickas till målenheten.

Arbetssättet för Remote Credential Guard är mycket likt det skydd som erbjuds av Credential Guard på en lokal dator förutom att Credential Guard skyddar också lagrade domänuppgifter via Credential Manager .

En individ kan använda Remote Credential Guard på följande sätt-

1. Eftersom administratörsuppgifter^{(Administrator)} är mycket privilegierade måste de skyddas. Genom att använda Remote Credential Guard kan du vara säker på att dina referenser är skyddade eftersom den inte tillåter att referenser passerar över nätverket till målenheten.
2. Helpdesk- anställda i din organisation måste ansluta till domänanslutna enheter som kan äventyras. Med Remote Credential Guard kan helpdesk-anställda använda RDP för att ansluta till målenheten utan att kompromissa med deras autentiseringsuppgifter för skadlig programvara.

Krav på hårdvara och mjukvara

För att möjliggöra smidig funktion av Remote Credential Guard , se till att följande krav för Remote Desktop -klienten och -servern är uppfyllda.

1. Fjärrskrivbordsklienten och servern^{(Remote Desktop Client)} måste vara anslutna till en Active Directory-domän
2. Båda enheterna måste antingen anslutas till samma domän eller så måste fjärrskrivbordsservern^{(Remote Desktop)} anslutas till en domän med en förtroenderelation till klientenhetens domän.
3. Kerberos -^(Kerberos) autentiseringen borde ha aktiverats.
4. Fjärrskrivbordsklienten måste^{(Remote Desktop)} köra minst Windows 10 , version 1607 eller Windows Server 2016 .
5. Remote Desktop Universal Windows Platform^{(Remote Desktop Universal Windows Platform)} -appen stöder inte Remote Credential Guard så använd den klassiska Windows -appen Remote Desktop .

Aktivera Remote Credential Guard via registret^(Registry)

För att aktivera Remote Credential Guard på målenheten, öppna Registereditorn^{(Registry Editor)} och gå till följande nyckel:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Lägg till ett nytt DWORD-värde med namnet DisableRestrictedAdmin . Ställ in värdet på denna registerinställning till 0 för att aktivera Remote Credential Guard .

Stäng Registereditorn.

Du kan aktivera Remote Credential Guard genom att köra följande kommando från en förhöjd CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Aktivera Remote Credential Guard genom att använda gruppolicy^{(Group Policy)}

Det är möjligt att använda Remote Credential Guard på klientenheten genom att ställa in en grupprincip^{(Group Policy)} eller genom att använda en parameter med Remote Desktop Connection .

Från Group Policy Management Console navigerar du till Computer Configuration > Administrative Templates > System > Credentials Delegation.

Dubbelklicka nu på Begränsa delegering av autentiseringsuppgifter till fjärrservrar^{(Restrict delegation of credentials to remote servers)} för att öppna rutan Egenskaper.

Välj nu Require Remote Credential Guard i rutan Använd följande begränsat läge . ^{(Use the following restricted mode)}Det andra alternativet Begränsat administratörsläge^{(Restricted Admin mode)} finns också. Dess betydelse är att när Remote Credential Guard inte kan användas, kommer den att använda Begränsat admin^{(Restricted Admin)} -läge.

I vilket fall som helst kommer varken Remote Credential Guard eller Restricted Admin -läget att skicka inloggningsuppgifter i klartext till Remote Desktop -servern.

Tillåt Remote Credential Guard^{(Allow Remote Credential Guard)} genom att välja alternativet " Prefer Remote Credential Guard ".

Klicka på OK^{(Click OK)} och avsluta Group Policy Management Console .

gpupdate.exe /force från en kommandotolk för att säkerställa att grupprincipobjektet^{(Group Policy)} tillämpas.

Använd Remote Credential Guard^{(Use Remote Credential Guard)} med en parameter för Remote Desktop Connection

Om du inte använder grupprincip^{(Group Policy)} i din organisation kan du lägga till parametern remoteGuard när du startar Remote Desktop Connection för att aktivera Remote Credential Guard för den anslutningen.

mstsc.exe /remoteGuard

Saker du bör tänka på när du använder Remote Credential Guard

1. Remote Credential Guard kan inte användas för att ansluta till en enhet som är ansluten till Azure Active Directory .
2. Remote Desktop Credential Guard fungerar bara med RDP- protokollet.
3. Remote Credential Guard inkluderar inte enhetsanspråk. Om du till exempel försöker komma åt en filserver från fjärrkontrollen och filservern kräver enhetsanspråk, kommer åtkomst att nekas.
4. Servern och klienten måste autentisera med Kerberos .
5. Domänerna måste ha en förtroenderelation, eller så måste både klienten och servern vara anslutna till samma domän.
6. Remote Desktop Gateway är inte kompatibel med Remote Credential Guard .
7. Inga referenser läcker till målenheten. Men målenheten skaffar fortfarande Kerberos Service Tickets på egen hand.
8. Slutligen måste du använda användaruppgifterna för den användare som är inloggad på enheten. Det är inte tillåtet att använda sparade autentiseringsuppgifter eller autentiseringsuppgifter som är annorlunda än dina.

Du kan läsa mer om detta på Technet .

Relaterat^(Related) : Hur man ökar antalet anslutningar till fjärrskrivbord^{(increase the number of Remote Desktop Connections)} i Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All ѕystem administrator users have one very genuine concern – sеcuring credentialѕ over a Remote Dеsktop connection. This іs because malwаre can find its way to any other computer over the deѕktop connection and poѕe a potential threat to your data. That іs why Wіndows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Öka antalet anslutningar till fjärrskrivbord i Windows 11/10

• Windows-nyckeln har fastnat efter byte från Remote Desktop-session

• Kan inte kopiera klistra in i fjärrskrivbordssession i Windows 10

• Autentiseringsfel har uppstått, den begärda funktionen stöds inte

• Skapa genväg till anslutning till fjärrskrivbord i Windows 11/10

• Hur man skickar Ctrl+Alt+Delete i en fjärrskrivbordssession

• Microsoft Remote Desktop Assistant för Windows 10

• Anslut iPhone till Windows 10 PC med Microsoft Remote Desktop

• Anslut till en Windows-dator från Ubuntu med Remote Desktop Connection

• Bästa gratis programvara för fjärrskrivbord för Windows 10

• Åtgärda anslutningsproblem och fel med fjärrskrivbord i Windows 11/10

• Inga fjärrskrivbordslicensservrar; Fjärrsession frånkopplad

• Ta bort historikposter från Remote Desktop Connection i Windows 11

• För att logga in på distans måste du logga in via Remote Desktop Services

• Remote Desktop Services orsakar hög CPU i Windows 11/10

• Hur man aktiverar och använder fjärrskrivbordsanslutning i Windows 11/10

• Anslut Android till Windows 10 med Microsoft Remote Desktop

• Hur man använder Remote Desktop (RDP) i Windows 11/10 Home

• Inloggningsförsöket misslyckades vid anslutning av fjärrskrivbord

• Dina inloggningsuppgifter fungerade inte i Remote Desktop på Windows 11/10