Chương trình khách Remote Desktop tích hợp sẵn của Windows (mstsc.exe) cho phép bạn lưu tên người dùng và mật khẩu được sử dụng để kết nối với máy tính từ xa. Sử dụng thông tin đăng nhập RDP đã lưu, người dùng không cần nhập mật khẩu mỗi lần kết nối với Remote Desktop. Trong bài viết này, chúng ta sẽ xem cách cấu hình thông tin đăng nhập đã lưu cho kết nối RDP của bạn trong Windows 10, Windows Server 2012 R2/2016 và làm gì nếu mật khẩu không được lưu mặc dù đã cấu hình tất cả cài đặt (mỗi lần hệ thống từ xa yêu cầu bạn nhập mật khẩu).
Ủy quyền thông tin đăng nhập RDP đã lưu qua Chính sách nhóm
Theo mặc định, Windows cho phép người dùng lưu mật khẩu cho kết nối RDP. Để làm điều đó, người dùng phải nhập tên máy tính RDP, tên người dùng và tích vào ô "Cho phép tôi lưu thông tin đăng nhập" trong cửa sổ khách RDP. Sau khi người dùng nhấp vào nút "Kết nối", máy chủ RDP yêu cầu mật khẩu và máy tính sẽ lưu nó vào Trình quản lý thông tin đăng nhập Windows (Credential Manager) (không phải vào tệp .RDP).
Kết quả là, lần sau khi bạn kết nối với máy chủ RDP bằng cùng tên người dùng, mật khẩu sẽ được tự động lấy từ Credential Manager và sử dụng để xác thực RDP.
Như bạn thấy, nếu có mật khẩu đã lưu cho máy tính này, thông báo sau sẽ xuất hiện trong cửa sổ khách RDP:
Thông tin đăng nhập đã lưu sẽ được sử dụng để kết nối với máy tính này. Bạn có thể chỉnh sửa hoặc xóa thông tin đăng nhập này.
Là một quản trị viên cấp cao, tôi thường không khuyến khích người dùng lưu mật khẩu. Việc sử dụng SSO trong miền để xác thực RDP minh bạch tốt hơn nhiều.
Nếu bạn kết nối từ máy tính miền đến máy tính/máy chủ trong miền khác hoặc nhóm làm việc, theo mặc định Windows không cho phép người dùng sử dụng thông tin đăng nhập đã lưu cho kết nối RDP. Dù mật khẩu kết nối RDP được lưu trong Credential Manager, hệ thống sẽ không sử dụng nó mà yêu cầu người dùng nhập mật khẩu. Ngoài ra, Windows ngăn bạn sử dụng mật khẩu RDP đã lưu nếu bạn kết nối bằng tài khoản cục bộ thay vì tài khoản miền.
Trong trường hợp này, nếu bạn thử kết nối bằng mật khẩu RDP đã lưu, thông báo lỗi sau xuất hiện:
Thông tin đăng nhập của bạn không hoạt động Quản trị viên hệ thống của bạn không cho phép sử dụng thông tin đăng nhập đã lưu để đăng nhập vào máy tính từ xa CompName vì danh tính của nó không được xác minh hoàn toàn. Vui lòng nhập thông tin đăng nhập mới.
Windows coi kết nối không an toàn, vì không có mối tin cậy giữa máy tính này và máy tính từ xa trong miền khác (hoặc nhóm làm việc).
Bạn có thể thay đổi cài đặt này trên máy tính bạn đang cố gắng thiết lập kết nối RDP:
- Mở Trình chỉnh sửa Chính sách nhóm cục bộ bằng cách nhấn
Win + R-> gpedit.msc; - Trong trình chỉnh sửa GPO, đi đến Computer Configuration -> Administrative Templates -> System -> Credentials Delegation. Tìm chính sách có tên Allow delegating saved credentials with NTLM-only server authentication;
- Nhấp đúp vào chính sách. Bật nó và nhấp Show;
- Chỉ định danh sách máy tính từ xa (máy chủ) được phép sử dụng thông tin đăng nhập đã lưu khi truy cập qua RDP. Danh sách máy tính từ xa phải được chỉ định theo định dạng sau:
TERMSRV/server1— cho phép sử dụng thông tin đăng nhập đã lưu để truy cập một máy tính/máy chủ cụ thể qua RDP;TERMSRV/*.woshub.com— cho phép thiết lập kết nối RDP với thông tin đăng nhập đã lưu đến tất cả máy tính trong miền woshub.com;TERMSRV/*— cho phép sử dụng mật khẩu đã lưu để kết nối với bất kỳ máy tính từ xa nào.
Mẹo. TERMSRV phải viết hoa, và tên máy tính phải khớp hoàn toàn với tên bạn nhập vào trường host kết nối khách RDP.
- Lưu thay đổi và cập nhật cài đặt GPO bằng lệnh:
gpupdate /force
Bây giờ, khi kết nối bằng RDP, khách mstsc sẽ có thể sử dụng thông tin đăng nhập đã lưu của bạn.
Bạn chỉ có thể thay đổi chính sách thông tin đăng nhập RDP đã lưu trên máy tính cục bộ bằng Trình chỉnh sửa Chính sách nhóm cục bộ. Nếu bạn muốn áp dụng cài đặt này trên nhiều máy tính trong miền, hãy sử dụng GPO miền được cấu hình bằng bảng điều khiển gpmc.msc (Group Policy Management).
Nếu người dùng vẫn được yêu cầu nhập mật khẩu trong quá trình kết nối RDP, hãy thử bật và cấu hình chính sách Allow delegating saved credentials theo cùng một cách. Ngoài ra, hãy đảm bảo rằng chính sách Deny delegation saved credentials không được bật, vì chính sách từ chối có độ ưu tiên cao hơn.
Windows không lưu thông tin đăng nhập RDP
Nếu bạn đã cấu hình Windows theo hướng dẫn trên, nhưng khách RDP của bạn vẫn nhắc bạn nhập mật khẩu mỗi lần bạn cố gắng kết nối, thì đáng giá để kiểm tra các mục sau:
- Nhấp "Show Options" trong cửa sổ kết nối RDP và đảm bảo tùy chọn "Always ask for credentials" không được tích;
- Nếu bạn đang sử dụng tệp .RDP đã lưu để kết nối, hãy đảm bảo giá trị tham số 'prompt for credentials' là 0 (
prompt for credentials:i:0);
- Mở Trình chỉnh sửa GPO (gpedit.msc) và đi đến Computer Configuration -> Administrative Templates -> Windows Components -> Remote Desktop Services -> Remote Desktop Connection Client. 'Do not allow passwords to be saved' phải là không cấu hình hoặc bị vô hiệu hóa. Cũng đảm bảo rằng cài đặt chính sách này bị vô hiệu hóa trong Chính sách nhóm kết quả trên máy tính của bạn (bạn có thể tạo báo cáo HTML với cài đặt GPO áp dụng bằng lệnh gpresult);
- Xóa tất cả mật khẩu đã lưu khỏi Credential Manager. Gõ
control userpasswords2và trong cửa sổ User Accounts đi đến tab Advanced và nhấp Manage Passwords;
- Trong cửa sổ tiếp theo chọn Windows Credentials. Tìm tất cả mật khẩu RDP đã lưu và xóa chúng (chúng bắt đầu bằng
TERMRSV/…).
Trong cửa sổ này bạn có thể thêm thủ công thông tin đăng nhập cho kết nối RDP. Lưu ý rằng tên máy chủ/máy tính RDP phải được chỉ định theo định dạng TERMRSV\server_name1. Đừng quên xóa tất cả mật khẩu đã lưu khi bạn xóa lịch sử kết nối RDP trên máy tính của mình.
- Bạn sẽ không thể đăng nhập bằng thông tin đăng nhập RDP đã lưu nếu máy chủ từ xa không được cập nhật trong thời gian dài, và khi cố gắng kết nối với nó, bạn sẽ thấy lỗi CredSSP encryption oracle remediation.
Sau đó, người dùng sẽ có thể sử dụng mật khẩu đã lưu của họ cho kết nối RDP.