Do której grupy w systemie Windows Server 2008 należy przydzielić użytkownika, który ma łączyć się z serwerem przez Pulpit zdalny, nie będąc administratorem?
A. Użytkownicy pulpitu zdalnego.
B. Użytkownicy zaawansowani.
C. Goście.
D. Operatorzy kopii zapasowych.
W Windows Server 2008 użytkownika, który ma logować się przez Pulpit zdalny, ale nie ma być administratorem, należy dodać do grupy Użytkownicy pulpitu zdalnego, czyli Remote Desktop Users. Ta grupa daje prawo do interaktywnego logowania przez usługę Remote Desktop Services bez nadawania pełnych uprawnień administracyjnych. I to jest bardzo ważna dobra praktyka: zasada najmniejszych uprawnień. Użytkownik dostaje tylko to, czego potrzebuje do pracy, a nie cały zestaw praw administracyjnych do serwera. W praktyce wygląda to tak, że np. pracownik działu księgowości może połączyć się przez RDP z serwerem aplikacyjnym, uruchomić potrzebny program i pracować na sesji zdalnej, ale nie powinien móc zmieniać konfiguracji usług, instalować sterowników czy zarządzać kontami innych osób. Z mojego doświadczenia to właśnie tutaj często robi się bałagan: ktoś dla wygody dodaje użytkownika do Administratorów, bo wtedy działa, ale jest to kiepskie i ryzykowne rozwiązanie. Trzeba też pamiętać, że sama przynależność do grupy może nie wystarczyć, jeśli polityka zabezpieczeń blokuje logowanie przez RDP. W zasadach lokalnych lub GPO istnieje ustawienie Zezwalaj na logowanie za pośrednictwem usług pulpitu zdalnego. Dodatkowo usługa RDP musi być włączona, zapora powinna przepuszczać odpowiedni ruch, zwykle TCP 3389, a konto użytkownika musi mieć hasło i nie może być zablokowane.
W tym pytaniu chodzi o konkretne prawo dostępu do logowania przez Pulpit zdalny, a nie ogólnie o to, która grupa ma jakieś większe możliwości w systemie. Częsty błąd polega na założeniu, że skoro użytkownik ma dostać więcej praw niż zwykły użytkownik, to trzeba go dodać do grupy Użytkownicy zaawansowani. W starszych wersjach Windows ta grupa faktycznie dawała pewne podwyższone uprawnienia, ale nie jest to właściwy mechanizm do przyznawania dostępu RDP. Poza tym w środowisku serwerowym takie podejście jest mało eleganckie i może prowadzić do niepotrzebnego rozszerzenia uprawnień. Moim zdaniem to taka droga na skróty, która potem utrudnia audyt bezpieczeństwa. Grupa Goście również nie pasuje, bo konta gościnne są przeznaczone do bardzo ograniczonego, tymczasowego dostępu. W dobrze skonfigurowanym serwerze konto Gość jest zwykle wyłączone albo mocno ograniczone, więc używanie go do zdalnej pracy byłoby sprzeczne z podstawowymi zasadami bezpieczeństwa. Nie powinno się traktować go jako sposobu na szybkie logowanie do serwera, bo to proszenie się o problemy. Operatorzy kopii zapasowych mają zupełnie inny cel. Ta grupa służy do wykonywania zadań związanych z backupem i odtwarzaniem danych, czasem z dostępem do plików niezależnie od ich standardowych uprawnień NTFS. To nie jest grupa od sesji pulpitu zdalnego. Typowe nieporozumienie bierze się stąd, że nazwy grup brzmią administracyjnie, więc wydaje się, że każda z nich coś odblokowuje. W Windows Server uprawnienia są jednak rozdzielone dość precyzyjnie: do RDP używa się grupy Użytkownicy pulpitu zdalnego oraz odpowiednich zasad zabezpieczeń, a nie grup o innym przeznaczeniu.