script para impedir temporariamente que usuários remotos efetuem login em um servidor Windows durante o tempo de inatividade

Question

Estou procurando uma solução para o seguinte problema:

temos um servidor Windows com várias pessoas que fazem login remotamente para trabalhar em coisas; Quando precisamos atualizar o servidor, emitimos avisos por e-mail e tela inicial, pedindo para não fazer login durante o tempo de inatividade - mas as pessoas ainda fazem o login, o que muitas vezes atrapalha nosso processo de atualização

aqui está a minha pergunta -

é possível escrever um script (talvez o Powershell) - para o nosso engenheiro de sistema rodar no início da atualização que alteraria permissões / políticas para todos os outros usuários fazerem login remotamente (RDP) neste servidor? Ela precisa manter um controle total sobre o servidor e também é remota (RDP)

Quando a atualização estiver concluída, ela executará um script novamente para restaurar todas as permissões / políticas para que todos possam trabalhar no servidor via RDP

obrigado!

    

Answer 1

Use o modo de drenagem do servidor de terminal (registre todos os usuários com uma sessão no servidor de terminal desligada antes de ativar o modo de drenagem).

Desligue após a manutenção.

link

EDIT (27/4/2016)

(para incluir restrições de logon)

Além disso, use restrições de logon no Active Directory para limitar quando as pessoas podem fazer logon no sistema. Dessa forma, você pode configurar restrições de logon para suas janelas de manutenção. Veja isto para saber como fazer isso: link

Isso seria facilmente programável por scripts.

    

Answer 2

Sua melhor aposta é modificar os tempos de logon em relação às sessões de abandono. Modificar o tempo de logon garante que, se você seguir qualquer tipo de comando RDP Powershell que mate uma sessão, não permitirá que alguém faça o login (ou até mesmo tente efetuar login novamente) após a interrupção de uma sessão. Considere o seguinte: O departamento de folha de pagamento está correndo para inserir as entradas de horário às 19h05. Você começou a fazer suas atualizações às 19:00. O RH precisa fazer o que eles fizeram no último segundo. Você mata a sessão deles por meio do Powershell. Eu posso garantir que até a gerência estaria em cima de você.

Agora considere o seguinte: Você envia um e-mail dizendo "Sessões RDP serão desativadas às 18h50 para manutenção. Por favor, conclua todo o trabalho já que os logons serão desativados" Se alguém não fizer o que precisa fazer a tempo, você ter feito sua devida diligência em dar-lhes mais do que tempo suficiente para concluir seu trabalho. Depois, a política de logon desabilita o acesso, para que você não tenha que se preocupar em 1) encerrar os processos de qualquer pessoa 2) se alguém está logando ou não, etc. Eu não usaria o Powershell, WMI ou qualquer outra coisa além de criar manualmente / editando um GPO para logons. Em qualquer caso, esse é um problema de gerenciamento de alterações e, idealmente, as alterações devem ocorrer durante o horário do sistema menos utilizado.