如何在 RDS Windows Server 2016/2019 上隐藏（远程控制）用户的 RDP 会话？

影子会话模式允许 RDS 管理员查看用户的桌面并与之交互。远程桌面影子模式适用于从 Windows Server 2012 R2 和 Windows 8.1 开始的所有现代 Windows 版本（Windows Server 2012 除外，因为 RDP 堆栈从内核模式转移到用户模式）。在本文中，我们将了解如何配置和使用 RDS Shadowing 来连接和管理 Windows Server 2016 和 Windows 10 上的活动 RDP 用户会话。

Windows RDP 客户端 (mstsc.exe) 中的影子连接选项

在 Windows Server 2016/Windows 10 上，内置 RDP 客户端 (

mstsc.exe

）有几个特殊选项，可用于远程影子连接到任何用户的活动 RDP 会话：

Mstsc.exe [/shadow:sessionID [/v:Servername] [/control] [/noConsentPrompt] [/prompt]]

- 使用指定 ID 连接到用户的 RDP 会话；

- 您可以指定远程 RDP/RDS 主机的主机名或 IP 地址。如果未设置，则连接到当前主机上的本地用户会话；

- 允许与用户会话（桌面）交互。管理员可以控制用户的鼠标，从键盘输入数据。如果不设置该参数，则使用用户的会话查看模式；

- 该选项允许管理员强制连接到任何会话，而不要求用户确认连接；

- 允许与其他凭据连接。连接到远程计算机时需要用户名和密码。

影子会话可用于连接到 Active Directory 域和工作组中的计算机和服务器上的用户会话。此外，在运行用户的 RDP 会话时，无需具有 RDS 主机的管理员权限。管理员可以将 RDS Shadowing 权限委派给任何用户帐户，甚至是非管理员帐户（更多信息见下文）。

从 Windows GUI 使用远程桌面影子

您可以使用连接到用户会话

mstsc.exe

或直接从服务器管理器图形控制台。为此，请打开 RDS 服务器上的服务器管理器控制台，转到远程桌面服务部分 -> 选择您的集合，例如

QuickSessionCollection

。

右侧列表将包含在此 RDS 服务器上具有会话的用户列表。右键单击所需的用户会话，从下拉菜单中选择影子。

您只能连接到活动用户会话。如果会话处于断开连接状态（由于 RDS 会话限制/超时设置），则无法连接到此类会话：

Shadow Error - The specified session is not connected.

将出现一个带有 Shadow 连接参数的窗口。您可以查看或控制用户的 RDP 会话。您还可以选中提示用户同意选项。

如果选中此选项，则用户的 RDP 会话中会出现以下请求：

Remote Monitoring Request
a-d\administrator is requesting to view your session remotely. Do you accept the request?

如果用户确认连接，管理员将以查看模式看到他的桌面，但无法与之交互。

提示。要断开与用户会话的连接并退出影子模式，请按

ALT+*

在工作站或

Ctrl+*

在 RDS 服务器上（如果未设置替代组合）。

如果用户拒绝管理 Shadow RDS 连接，则会显示以下消息：

Shadow Error: The operator or administrator has refused the request.

您无法使用 Windows Server 2008 R2 中的 tsadmin.msc 图形管理单元与较新版本的 Windows Server 上的 RDP 会话建立影子连接。

如果您尝试连接到用户的会话而不提示确认，您会收到一条错误消息：

Shadow Error: The Group Policy setting is configured to require the user’s consent. Verify the configuration of the policy settings.

如果您需要审核用户会话的 RDS 影子连接事件，请使用 Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational 日志中的以下筛选事件：

• 事件 ID 20508：已授予影子查看权限；

• 事件 ID 20503：影子视图会话已开始；

• 事件 ID 20504：影子视图会话已停止。

使用 GPO 在 Windows 上配置 RDS 影子规则

RDS 用户会话的远程连接设置是使用组策略参数设置远程桌面服务用户会话的远程控制规则进行配置，该参数位于 GPO 的“用户”和“计算机”部分下：策略 -> 管理模板 -> Windows 组件 -> 远程桌面服务 -> 远程会话主机 -> 连接。此策略对应于注册表项下的 DWORD Shadow 参数

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services

（括号中指定了与策略设置对应的该参数的值）。

此策略可用于配置以下 RD Shadow 连接选项：

• 不允许远程控制（对应注册表参数的值

  Shadow = 0

  ）；

• 经用户许可完全控制 (

  1

  ）；

• 无需用户许可即可完全控制 (

  2

  ）；

• 在用户许可的情况下查看会话 (

  3

  ）；

• 未经用户许可查看会话 (

  4

  ）。

要直接通过注册表设置该策略的参数，可以使用以下命令：

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v Shadow /t REG_DWORD /d 4

更改会话影子行为后，更新 RDP/RDS 主机上的组策略设置。

您可以从AD域中配置远程影子连接的规则

gpmc.msc

使用上述策略参数的控制台，或使用组策略首选项，直接修改注册表参数（后一个选项允许您使用组策略项目级别目标更准确地将策略定位到特定计算机）。

使用 PowerShell 监视 RDP 会话

您还可以使用远程桌面服务影子功能从 PowerShell 连接到用户的会话。首先，您需要获取 RDS 主机上的会话列表（用户会话将根据其状态进行分组）：

Get-RDUserSession | ft Username, UnifiedSessionId, SessionState, HostServer, ApplicationType -GroupBy Sessionstate

该服务器上有三个活动的 RDP 用户会话。让我们连接到会话 ID 为 3 的用户会话：

Mstsc /shadow:3 /control

此外，要获取服务器上（或允许多个 RDP 连接的 Windows 10 桌面上）上的所有 RDP 会话的列表，您可以使用以下命令：

quser

或者

qwinsta

屏幕将显示 RDP 用户会话列表、其 ID 和状态：

Active

或者

Disconnected

。

要显示远程服务器上的会话列表，请运行以下命令：

query session /server:servername

要连接到远程服务器上的用户会话，请使用以下命令：

mstsc /v:rdsh2:3389 /shadow:3 /control

动态端口范围 (RPC) 49152 到 65535 用于建立远程影子连接会话，而不是默认的 TCP/3389 RDP 端口。

为了更方便地连接到 RDP 用户会话，您可以使用以下批处理脚本。它会提示您输入远程 RDS 服务器的名称，显示所有会话的列表，并提示您指定要连接的会话 (ID)：

影子.bat

@echo off
set /P rcomp="Enter name or IP of a Remote PC: "
query session /server:%rcomp%
set /P rid="Enter RDP user ID: "
start mstsc /shadow:%rid% /v:%rcomp% /control

您可以将此bat文件保存在

%Windir%\System32

目录。因此，您只需运行 shadow 命令即可启动影子连接。

要连接到控制台会话，您可以使用以下脚本：
shadow_console.bat

@echo off
set /P rcomp="Enter name or IP of a Remote PC: "
for /f "tokens=3 delims= " %%G in ('query session console /server:%rcomp%') do set rid=%%G
start mstsc /shadow:%rid% /v:%rcomp% /control

您还可以使用以下 PowerShell 脚本和简单的 GUI (shadow_user_rdp_session.ps1) 进行影子连接：

Add-Type -assembly System.Windows.Forms
$Header = "SESSIONNAME", "USERNAME", "ID", "STATUS"
$gForm = New-Object System.Windows.Forms.Form
$gForm.Text ='Shadow Session Connect'
$gForm.Width = 400
$gForm.AutoSize = $true
$dBttn = New-Object System.Windows.Forms.Button
$dBttn.Text = 'Control'
$dBttn.Location = New-Object System.Drawing.Point(15,10)
$gForm.Controls.Add($dBttn)
$dList = New-Object System.Windows.Forms.ListView
$dList.Location = New-Object System.Drawing.Point(0,50)
$dList.Width = $gForm.ClientRectangle.Width
$dList.Height = $gForm.ClientRectangle.Height
$dList.Anchor = "Top, Left, Right, Bottom"
$dList.MultiSelect = $False
$dList.View = 'Details'
$dList.FullRowSelect = 1;
$dList.GridLines = 1
$dList.Scrollable = 1
$gForm.Controls.add($dList)
foreach ($column in $Header){
$dList.Columns.Add($column) | Out-Null
}
$(qwinsta.exe | findstr "Active") -replace "^[\s>]" , "" -replace "\s+" , "," | ConvertFrom-Csv -Header $Header | ForEach-Object {
$dListItem = New-Object System.Windows.Forms.ListViewItem($_.SESSIONNAME)
$dListItem.Subitems.Add($_.USERNAME) | Out-Null
$dListItem.Subitems.Add($_.ID) | Out-Null
$dListItem.Subitems.Add($_.STATUS) | Out-Null
$dList.Items.Add($dListItem) | Out-Null
}
$dBttn.Add_Click(
{
$SelectedItem = $dList.SelectedItems[0]
if ($SelectedItem -eq $null){
[System.Windows.Forms.MessageBox]::Show("Select a user session to connect ")
}else{
$session_id = $SelectedItem.subitems[2].text
$(mstsc /shadow:$session_id /control)
#[System.Windows.Forms.MessageBox]::Show($session_id)
}
}
)
$gForm.ShowDialog()

该脚本显示一个简单的图形表单，其中包含本地主机上活动的 RDP 会话列表。您只需选择一个用户帐户并单击连接按钮。

要在计算机上运行 PowerShell 脚本 (*.ps1)，您需要配置 PowerShell 执行策略。

您不仅可以在具有远程桌面服务角色的 Windows Server 上使用影子用户连接，还可以连接 到运行 Windows 10 的用户桌面（在 Windows 10 中使用远程桌面会话影子模式）。

如何允许非管理员用户影子 RDS 会话？

在上面的示例中，使用 RDS 用户会话的影子连接需要 RDS 服务器上的本地管理员权限。但是，您可以允许非管理员用户隐藏 RDP 会话，而无需授予计算机/服务器上的本地管理员权限。

例如，您希望允许AllowRDSShadow 组的成员使用与RDP 用户会话的影子连接。打开提升的命令提示符 (cmd.exe) 并运行命令：

wmic /namespace:\root\CIMV2\TerminalServices PATH Win32_TSPermissionsSetting WHERE (TerminalName=”RDP-Tcp”) CALL AddAccount “a-d\AllowRDSShadow”,2