Säkerhet och sekretess för fjärranslutningsprofiler i Configuration Manager

Använd följande regelverk för säkerhet när du hanterar fjärranslutningsprofiler för klienter.

Regelverk för säkerhet	Mer information
Definiera mappning mellan användare och enhet manuellt i stället för att tillåta att användarna identifierar sina primära enheter. Aktivera inte användningsbaserad konfigurering.	Eftersom du måste aktivera Tillåt alla arbetsdatorns primära användare att fjärransluta innan du kan distribuera en fjärranslutningsprofil, anger du alltid mappning mellan användare och enhet manuellt. Du ska inte anse att den information som samlas in från användare eller från enheten har högsta auktoritet. Om du distribuerar fjärranslutningsprofiler och en betrodd administrativ användare inte anger mappning mellan användare och enhet, kan icke auktoriserade användare få höjda privilegier så att de kan fjärransluta till datorer. Information Om du ändå aktiverar användningsbaserad konfiguration, samlas den här informationen in genom tillståndsmeddelanden som Configuration Manager inte tillhandahåller säkerhet för. För att minimera det här hotet använder du signering med SMB (Server Message Block) eller IPsec (Internet Protocol security) mellan klientdatorer och hanteringsplatsen.
Begränsa lokala administrativa rättigheter på platsserverdatorn.	En användare som har lokala administrativa rättigheter på platsservern kan manuellt lägga till medlemmar till den säkerhetsgrupp för fjärrdatoranslutning som Configuration Manager skapar och underhåller automatiskt. Detta kan orsaka en höjning av privilegier, eftersom medlemmar som läggs till i den här gruppen får behörigheten Fjärrskrivbord.

Om en användare upprättar en anslutning till en arbetsdator från företagsportalen laddas en fil med tillägget .rdp eller .wsrdp ned som innehåller enhetsnamnet och det namn på servern för fjärrskrivbordsgateway som krävs för att starta fjärrskrivbordssessionen. Filtillägget beror på enhetens operativsystem. Operativsystemen Windows® 7 och Windows 8 använder t.ex. en .rdp-fil, medan Windows 8.1 använder en .wsrdp-fil.

Användaren kan välja att öppna eller spara .rdp-filen. Om användaren väljer att öppna .rdp-filen kan filen lagras i webbläsarens cacheminne, beroende på vilka lagringsinställningar som konfigurerats för webbläsaren. Om användaren väljer att spara filen, lagras den inte i webbläsarens cacheminne. Filen sparas tills användaren tar bort den manuellt.

.wsrdp-filen laddas ned och sparas automatiskt lokalt. Filen skrivs över nästa gång användaren kör en fjärrskrivbordssession.

Innan du konfigurerar fjärranslutningsprofiler måste du ta hänsyn till integritetskraven.