Развертывание Microsoft Remote Desktop Services

В сценарии описывается развертывание Microsoft Windows Server Datacenter с предустановленной службой Remote Desktop Services в Yandex Cloud. Инсталляция Microsoft Windows Server with Remote Desktop Services будет состоять из одного сервера, на котором будут установлены службы Remote Desktop Services и Active Directory. Образы представлены с подготовленными квотами на 5, 10, 25, 50 и 100 пользователей. Выберите версию с необходимой квотой. Все примеры приводятся для сервера с квотой на 5 пользователей.

Чтобы развернуть инфраструктуру Remote Desktop Services:

1. Подготовьте облако к работе.
2. Создайте облачную сеть и подсети.
3. Создайте скрипт для управления локальной учетной записью администратора.
4. Создайте ВМ для Remote Desktop Services.
5. Установите и настройте службу контроллера домена (Active Directory).
6. Настройте правила файрвола.
7. Настройте сервер лицензирования в домене.
8. Настройте роль Remote Desktop Session Host.
9. Создайте пользователей.

Если созданные ресурсы вам больше не нужны, удалите их.

Подготовьте облако к работеПодготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость инсталляции Microsoft Windows Server with Remote Desktop Services входят:

• плата за постоянно запущенные виртуальные машины (см. тарифы Yandex Compute Cloud);
• плата за использование динамических или статических публичных IP-адресов (см. тарифы Yandex Virtual Private Cloud);
• стоимость исходящего трафика из Yandex Cloud в интернет (см. тарифы Yandex Compute Cloud).

Создайте облачную сеть и подсетиСоздайте облачную сеть и подсети

Создайте облачную сеть my-network с подсетями во всех зонах доступности, где будут находиться виртуальные машины.

1. Создайте облачную сеть:

   Консоль управления

   CLI

   API

   Чтобы создать облачную сеть:

   1. Откройте раздел Virtual Private Cloud в каталоге, где требуется создать облачную сеть.
   2. Нажмите кнопку Создать сеть.
   3. Задайте имя сети: my-network.
   4. Нажмите кнопку Создать сеть.

   Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

   По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

   Чтобы создать облачную сеть, выполните команду:

   yc vpc network create --name my-network
   

   Воспользуйтесь методом REST API create для ресурса Network или вызовом gRPC API NetworkService/Create.

2. Создайте подсеть в сети my-network:

   Консоль управления

   CLI

   API

   Чтобы создать подсеть:

   1. Откройте раздел Virtual Private Cloud в каталоге, где требуется создать подсеть.
   2. Нажмите на имя облачной сети.
   3. Нажмите кнопку Добавить подсеть.
   4. Заполните форму: введите имя подсети my-subnet-d, выберите зону доступности ru-central1-d из выпадающего списка.
   5. Введите CIDR подсети: IP-адрес и маску подсети: 10.1.0.0/16. Подробнее про диапазоны IP-адресов в подсетях читайте в разделе Облачные сети и подсети.
   6. Нажмите кнопку Создать подсеть.

   Чтобы создать подсеть, выполните команду:

   yc vpc subnet create \
     --name my-subnet-d \
     --zone ru-central1-d \
     --network-name my-network \
     --range 10.1.0.0/16
   

   Воспользуйтесь методом REST API create для ресурса Subnet или вызовом gRPC API SubnetService/Create.

Создайте скрипт для управления локальной учетной записью администратораСоздайте скрипт для управления локальной учетной записью администратора

Создайте файл setpass, содержащий скрипт, который будет устанавливать пароль для локальной учетной записи администратора при создании виртуальных машин через CLI:

#ps1
Get-LocalUser | Where-Object SID -like *-500 | Set-LocalUser -Password (ConvertTo-SecureString "<ваш пароль>" -AsPlainText -Force)

Пароль должен соответствовать требованиям к сложности.

Подробные рекомендации по защите Active Directory читайте на сайте разработчика.

Создайте ВМ для Windows Server with Remote Desktop ServicesСоздайте ВМ для Windows Server with Remote Desktop Services

Создайте виртуальную машину для Windows Server with Remote Desktop Services. Эта машина будет иметь доступ в интернет.

 yc compute instance create \
   --name my-rds-vm \
   --hostname my-rds-vm \
   --memory 8 \
   --cores 4 \
   --zone ru-central1-d \
   --network-interface subnet-name=my-subnet-d,ipv4-address=10.1.0.3,nat-ip-version=ipv4 \
   --create-boot-disk image-folder-id=standard-images,image-family=windows-2022-dc-gvlk-rds-5 \
   --metadata-from-file user-data=setpass

Установите и настройте службу контроллера домена (Active Directory)Установите и настройте службу контроллера домена (Active Directory)

1. Перезапустите ВМ my-rds-vm:

   Консоль управления

   CLI

   API

   1. На странице каталога в консоли управления выберите сервис Compute Cloud.
   2. Выберите виртуальную машину my-rds-vm.
   3. Нажмите и выберите пункт Перезапустить.

   yc compute instance restart my-rds-vm
   

   Воспользуйтесь методом REST API restart для ресурса Instance или вызовом gRPC API InstanceService/Restart.

2. Подключитесь к ВМ my-rds-vm с помощью RDP. Используйте логин Administrator и ваш пароль.

3. Установите роли Active Directory:

   PowerShell

   Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
   Restart-Computer -Force
   

4. Создайте лес Active Directory:

   PowerShell

   Install-ADDSForest -DomainName 'yantoso.net' -Force:$true
   

   Windows перезапустится автоматически. Снова подключитесь к ВМ my-rds-vm. Используйте логин yantoso\Administrator и ваш пароль. Снова откройте PowerShell.

Настройте правила файрволаНастройте правила файрвола

1. Добавьте правила файрвола, защищающие службу Active Directory от запросов из внешних сетей:

   PowerShell

   Set-NetFirewallRule `
     -DisplayName 'Active Directory Domain Controller - LDAP (UDP-In)' `
     -RemoteAddress:Intranet
   
   Set-NetFirewallRule `
     -DisplayName 'Active Directory Domain Controller - LDAP (TCP-In)' `
     -RemoteAddress:Intranet
   
   Set-NetFirewallRule `
     -DisplayName 'Active Directory Domain Controller - Secure LDAP (TCP-In)' `
     -RemoteAddress:Intranet
   

Настройте сервер лицензирования в доменеНастройте сервер лицензирования в домене

1. Добавьте системного пользователя Network Service в Terminal Server License Servers, группу безопасности Active Directory:

   PowerShell

   net localgroup "Terminal Server License Servers" /Add 'Network Service'
   

2. Установите тип лицензирования.

   Примечание

   Доступны только User CAL лицензии.

   PowerShell

   New-ItemProperty `
   -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' `
   -Name 'LicensingMode' `
   -Value 4 `
   -PropertyType 'DWord'
   

3. Укажите службу лицензирования RDS:

   PowerShell

   New-ItemProperty `
   -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' `
   -Name 'LicenseServers' `
   -Value 'localhost' `
   -PropertyType 'String'
   

4. (Опционально) Ограничьте количество разрешенных одновременных сессий к серверу:

   PowerShell

   New-ItemProperty `
   -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' `
   -Name 'MaxInstanceCount' `
   -Value 5 `
   -PropertyType 'DWord'
   

Настройте роль Remote Desktop Session HostНастройте роль Remote Desktop Session Host

Установите роль Remote Desktop Session Host на сервер:

Install-WindowsFeature RDS-RD-Server -IncludeManagementTools
Restart-Computer -Force

Добавьте сервер в группу безопасности AD и зарегистрируйте его как SCPДобавьте сервер в группу безопасности AD и зарегистрируйте его как SCP

Добавьте сервер в Terminal Server License Servers, группу безопасности Active Directory, и зарегистрируйте его как точку подключения пользователей к сервису лицензирования (service connection point, SCP):

Создайте пользователейСоздайте пользователей

1. Создайте тестовых пользователей:

   PowerShell

   New-ADUser `
     -Name ru1 `
     -PasswordNeverExpires $true `
     -Enabled $true `
     -AccountPassword ("P@ssw0rd!1" | ConvertTo-SecureString -AsPlainText -Force )
   New-ADUser `
     -Name ru2 `
     -PasswordNeverExpires $true `
     -Enabled $true `
     -AccountPassword ("P@ssw0rd!1" | ConvertTo-SecureString -AsPlainText -Force )
   New-ADUser `
     -Name ru3 `
     -PasswordNeverExpires $true `
     -Enabled $true `
     -AccountPassword ("P@ssw0rd!1" | ConvertTo-SecureString -AsPlainText -Force )
   New-ADUser `
     -Name ru4 `
     -PasswordNeverExpires $true `
     -Enabled $true `
     -AccountPassword ("P@ssw0rd!1" | ConvertTo-SecureString -AsPlainText -Force )
   New-ADUser `
     -Name ru5 `
     -PasswordNeverExpires $true `
     -Enabled $true `
     -AccountPassword ("P@ssw0rd!1" | ConvertTo-SecureString -AsPlainText -Force )
   

2. Выдайте пользователям права Remote Desktop Users:

   PowerShell

   Add-ADGroupMember -Members 'ru1' -Identity 'Remote Desktop Users'
   Add-ADGroupMember -Members 'ru2' -Identity 'Remote Desktop Users'
   Add-ADGroupMember -Members 'ru3' -Identity 'Remote Desktop Users'
   Add-ADGroupMember -Members 'ru4' -Identity 'Remote Desktop Users'
   Add-ADGroupMember -Members 'ru5' -Identity 'Remote Desktop Users'
   

3. Настройте права доступа по RDP для группы Remote Desktop Users:

   PowerShell

   & secedit /export /cfg sec_conf_export.ini  /areas user_rights
   $secConfig = Get-Content sec_conf_export.ini
   $SID = 'S-1-5-32-555'
   $secConfig = $secConfig -replace '^SeRemoteInteractiveLogonRight .+', "`$0,*$SID"
   $secConfig | Set-Content sec_conf_import.ini
   & secedit /configure /db secedit.sdb /cfg sec_conf_import.ini /areas user_rights
   Remove-Item sec_conf_import.ini
   Remove-Item sec_conf_export.ini
   

Как удалить созданные ресурсыКак удалить созданные ресурсы

Если вам больше не нужны созданные ресурсы, удалите виртуальные машины и сети.