Разрешение на вход в систему через службу терминалов

[wajer]

Добрый день. В организации есть 3 сервера. КД - Windows 2003 r2. На нем AD,DNS и DHCP, Сервер терминалов. На втором сервере роль веб-сервера, а на третьем две виртуальных машины с ОС Windows 2008(файловый сервер + программы). Примерно месяц назад у них была проблема - не работал DNS. Проблема была решена, но, похоже решение первой проблемы привело к возникновению второй.
Нормальная работа DNS похоже привела к тому, что начали работать и групповые политики. В результате пользователи, пытающиеся войти на ВМ удаленно по RDP видят ошибку "Чтобы выполнить вход на этот удаленный компьютер, нужно иметь разрешение на вход в систему через службу терминалов....".

В локальной политике безопасности ВМ(Локальные политики - Назначение прав пользователя):
- Запретить вход в систему через службу удаленных рабочих столов - DMN\Гость
- Разрешить вход в систему через службу удаленных рабочих столов - ПУСТО. Нет ни пользователей, ни групп.
На КД в редакторе объектов групповой политики (Конфигурация компьютера - Параметры безопасности - Локальные политики - Назначение прав пользователя)
- Запретить вход в систему через службу терминалов - Гость
- Разрешать вход в систему через службу терминалов - Terminal Clients, Пользователи удаленного рабочего стола

В ВМ и на КД пользователь домена asrv добавлен в группу Пользователи удаленного рабочего стола и раньше все работало.

Программа формирования отчета групповой политики операционной системы
Microsoft (R) Windows (R) версии 2.0
(С) Корпорация Майкрософт, 1981-2001

Создано на 28.02.2019 в 9:15:52



Данные RSOP для DMN\asrv на SRV : Режим ведения журнала
-------------------------------------------------------------------------

Конфигурация ОС: Рядовой сервер
Версия ОС: 6.1.7601
Имя сайта: Н/Д
Перемещаемый профиль: Н/Д
Локальный профиль: C:\Users\asrv
Подключение по медленному каналу: Нет


Конфигурация пользователя
--------------------------
CN=Asrv,CN=Users,DC=dmn,DC=org,DC=loc
Последнее применение групповой политики: 28.02.2019 в 8:27:12
Групповая политика была применена с: spdc.dmn.org.loc
Порог медленного канала для групповой политики: 500 kbps
Имя домена: DMN
Тип домена: Windows 2000

Примененные объекты групповой политики
---------------------------------------
Default Domain Policy

Следующие политики GPO не были приняты, поскольку они отфильтрованы
--------------------------------------------------------------------
Local Group Policy
Фильтрация: Не применяется (пусто)

Пользователь является членом следующих групп безопасности
---------------------------------------------------------
Пользователи домена
Все
KLAdmins
Администраторы
Пользователи удаленного рабочего стола
Пользователи
ИНТЕРАКТИВНЫЕ
КОНСОЛЬНЫЙ ВХОД
Прошедшие проверку
Данная организация
ЛОКАЛЬНЫЕ
MAIL
KLAdmins
Высокий обязательный уровень


Суть проблемы мне примерно понятна. Нужно перелопачивать политики на КД, но может кто-то сталкивался с проблемой и может более точно подсказать в чем здесь дело?

[Anton04]

Нужно перелопачивать политики на КД, но может кто-то сталкивался с проблемой и может более точно подсказать в чем здесь дело? »

Вы правильно сказали, нужно перелапачивать политики. Мне только не понятно куда вы хотите войти пользователем по RDP? На КД с AD? Или на одну из VM (которые играют роль файлового сервера или не файлового сервера?)?

[wajer]

Подключение к КД работает. Ошибок нет. Проблема с виртуальными машинами. Да, на обоих роль файлового сервера.

[Petya V4sechkin]

В локальной политике безопасности ВМ(Локальные политики - Назначение прав пользователя):

- Разрешить вход в систему через службу удаленных рабочих столов - ПУСТО. Нет ни пользователей, ни групп.
И добавить не получается?

Ну тогда смотрите в:
Примененные объекты групповой политики
---------------------------------------
Default Domain Policy

[wajer]

Хм, сейчас установил консоль управления групповой политикой и там Default Domain Controller Policy все ОК, а в Default Domain Policy - "Разрешать вход в систему через службу терминалов" - Пусто. Судя по gpresult, именно последняя политика влияет на ВМ.


Ну тогда смотрите в:

Спасибо, будем исправлять.

[Anton04]

будем исправлять. »

Только не трогайте "Default Domain Policy", а создайте новую политику и прилинкуйте к OU.

[wajer]

Только не трогайте "Default Domain Policy", а создайте новую политику и прилинкуйте к OU. »
Да, так и сделал.
В Group Policy Management Console создал OU (Link Enabled, Enforced).
Конфигурация компьютера - Конфигурация Windows - Параметры безопасности - Назначение прав пользователя (Computer Configuration - Windows Settings - Security Settings - Local Policies/User Rights Assignment).
В политику Разрешать вход в систему через службу терминалов (Allow log on through Terminal Services) добавил группу "Пользователи удаленного рабочего стола".
После gpupdate /force всё заработало.

[adms]

В Групповых политиках ПК, на который пытаются зайти надо добавить:
"Разрешить вход в систему через службу удаленных рабочих столов - ПУСТО. Нет ни пользователей, ни групп." - вместо "пусто" добавить "Пользователи удаленного рабочего стола" и "Администраторы домена"