Delegar o gerenciamento de sessões no RemoteApp 2012

Question

Criamos um ambiente RemoteApp bastante grande no 2012 R2, totalmente corrigido. Tudo está funcionando bem, então agora chega a hora de offshore e delegar tarefas para a equipe de primeira linha.

Gostaríamos de ter nossos caras de primeira linha gerenciando as sessões. Se, por exemplo, uma sessão travasse (conexão perdida com a unidade de perfil). Eles devem poder fazer logoff da sessão.

Eu tentei definir permissões como essa em todos os servidores:

wmic /namespace:\root\CIMV2\TerminalServices PATH Win32_TSPermissionsSetting WHERE (TerminalName="RDP-Tcp") CALL AddAccount "ADMIN\MyGroupWithPeopleManagingTheTS",2

Mas em vão, eles não podem abrir o Gerenciador do Servidor > Serviços de Área de Trabalho Remota, porque eles não podem se conectar aos agentes de conexão de área de trabalho remota.

Se eles abrirem o gerenciador de tarefas e tentarem fazer logoff de usuários, eles não têm os direitos apropriados. Essa opção também não é a melhor, pois exigiria que eles acessassem cada servidor se o usuário estivesse logado (carga automática balanceada entre vários servidores e regiões).

Então, basicamente: Como os membros de um determinado grupo podem fazer logoff dos usuários, sem conceder a eles permissões de administrador na máquina?

É assim que eu faria em 2008, mas as ferramentas não estão mais disponíveis: link

    

Answer 1

Apenas uma ideia que precisa de mais trabalho:

E se você usar um script de shell (de energia), executado a cada n minutos como uma tarefa agendada com privilégios de administrador, para o qual você passa (por exemplo, usando um arquivo de texto colocado em uma pasta protegida)? p>

Ou, mais em geral, um processo, executado com privilégios elevados, com o único propósito de desconectar os usuários, que recebe os usuários para desconectar como um parâmetro E uma maneira de os membros de um grupo selecionado passarem esses parâmetros. / p>     

Answer 2

Então, eu realmente tenho alguém da MS envolvido com isso. Essa foi a resposta que eles me deram.

Hi Bart – the most probable way to support this scenario is to build powershell over the TS Cmdline tools and provide fine grained access to log off sessions etc using WMI.

1. For specific list of Cmdline tools that can be used – see here: • https://technet.microsoft.com/en-us/library/cc753032.aspx
2. For using WMI to grant persmissions, see here : https://msdn.microsoft.com/en-us/library/aa383773(v=vs.85).aspx

Então, basicamente, não é possível, administre você mesmo.

Se algum dia eu terminar isso, atualizarei aqui.