Windows Server 2022 RDS: časové limity relácií bez straty práce
Používateľ zatvorí okno vzdialenej plochy, no jeho relácia môže na serveri zostať odpojená. Aplikácie ďalej bežia, súbory môžu zostať otvorené a prostriedky sa neuvoľnia. Správne časové limity RDS rozlišujú aktívnu, nečinnú a odpojenú reláciu, takže server upratuje predvídateľne bez náhodného ukončovania práce.
Tri stavy, tri rozhodnutia
Aktívna a nečinná
Relácia je pripojená, ale používateľ určitý čas neposkytol vstup. Limit má chrániť zdieľané prostriedky bez trestania krátkej prestávky.
Odpojená
Sieťové spojenie alebo okno klienta skončilo, no procesy používateľa zostali na hostiteľovi. Táto relácia potrebuje samostatnú lehotu.
Microsoft uvádza politiky pre maximálny čas aktívnej relácie, nečinnej relácie aj odpojenej relácie. Pri dosiahnutí limitu sa relácia štandardne odpojí; samostatná politika môže určiť jej ukončenie. Ak sú rovnaké politiky nastavené pre počítač aj používateľa, prednosť má konfigurácia počítača.
Bezpečný návrh časov
- Zmerajte skutočné používanie. Zistite, ako dlho trvajú účtovné uzávierky, exporty a iné úlohy bez vstupu používateľa. Nečinnosť nemusí znamenať, že aplikácia nič nerobí.
- Rozdeľte skupiny. Bežní pracovníci, administrátori a špecializované aplikácie môžu potrebovať rozdielne lehoty. Nepoužívajte jednu prísnu hodnotu pre celý server.
- Nastavte najprv odpojenie. Používateľ dostane možnosť vrátiť sa a uložiť prácu. Ukončenie odpojenej relácie nastavte až po primeranej dodatočnej lehote.
- Použite riadenú politiku. V doméne priraďte nastavenie iba k hostiteľom relácií a bezpečnostne ho zacielte na správne skupiny.
- Otestujte varovanie aj návrat. Skúšobný používateľ má dostať upozornenie, relácia sa má odpojiť v očakávanom čase a po opätovnom prihlásení sa má obnoviť.
Čomu sa vyhnúť
Nenastavujte krátke odhlásenie bez testu: používateľ môže mať otvorený neuložený dokument alebo dlhý výpočet. Najprv oznámte pravidlá, zaveďte skúšobnú skupinu a skontrolujte protokoly udalostí.
Časový limit nerieši výpadky siete, preťaženie ani chybné licencovanie. Ak sa relácie odpájajú skôr, než určuje politika, porovnajte miestne a doménové nastavenia, výslednú sadu politík a udalosti hostiteľa. Microsoft upozorňuje, že limity možno určiť lokálne aj skupinovou politikou.
Kontrolný zoznam správcu
- Je zdokumentovaný rozdiel medzi odpojením a odhlásením.
- Nečinné a odpojené relácie majú samostatné lehoty.
- Dlhé úlohy boli otestované bez používateľského vstupu.
- Zmena sa najprv nasadila na skúšobnú skupinu a monitorovala.
Po nasadení týždeň sledujte počet odpojených relácií, spotrebu pamäte a hlásenia používateľov. Ak sa ľudia opakovane vracajú k ukončenej práci, lehota alebo komunikácia nie je vhodná. Cieľom nie je čo najrýchlejšie odhlasovanie, ale predvídateľná rovnováha medzi pokračovaním práce, kapacitou a bezpečnosťou.
Do skúšky zahrňte aj plánovanú údržbu a zálohovanie profilov. Zmenu potom potvrďte novým testovacím prihlásením používateľa. Správca má vedieť, či aplikácia po odpojení pokračuje vo výpočte a čo sa stane po odhlásení. Používateľom oznámte konkrétne lehoty aj spôsob korektného ukončenia práce. Ak podnik používa viac hostiteľov relácií, overte rovnakú výslednú politiku na každom z nich. Rozdielne limity vytvárajú ťažko reprodukovateľné incidenty, pretože skúsenosť používateľa závisí od servera, na ktorý ho pripojenie práve nasmerovalo.
Politika má odrážať pracovný deň
Rozumné limity najprv odpoja nečinnú reláciu, ponechajú čas na návrat a až potom uvoľnia prostriedky odhlásením. Každý krok musí byť otestovaný na reálnej aplikácii.