Tüm sistem yöneticisi kullanıcılarının tek bir gerçek kaygısı vardır: Uzak Masaüstü^(Desktop) bağlantısı üzerinden kimlik bilgilerinin güvenliğini sağlamak. Bunun nedeni, kötü amaçlı yazılımın masaüstü bağlantısı üzerinden başka herhangi bir bilgisayara yolunu bulabilmesi ve verileriniz için potansiyel bir tehdit oluşturabilmesidir. Bu nedenle Windows işletim sistemi^{(Windows OS)} , uzak bir masaüstüne bağlanmaya çalıştığınızda “ Bu PC'ye güvendiğinizden emin olun, güvenilmeyen bir bilgisayara bağlanmak PC'nize zarar verebilir^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} ” uyarısını yanıp söner .

Bu gönderide, Windows 10'da tanıtılan ^{(Windows 10)}Remote Credential Guard özelliğinin  Windows 10 Enterprise ve Windows Server'da^{(Windows Server)} uzak masaüstü kimlik bilgilerinin korunmasına nasıl yardımcı olabileceğini göreceğiz .

^{(Remote Credential Guard)}Windows 10'da^{(Windows 10)} Uzaktan Kimlik Bilgisi Koruması

Bu özellik, tehditleri ciddi bir duruma dönüşmeden ortadan kaldırmak için tasarlanmıştır. Kerberos isteklerini bağlantıyı isteyen cihaza yeniden yönlendirerek, bir Uzak Masaüstü bağlantısı üzerinden kimlik bilgilerinizi korumanıza yardımcı olur. ^(Desktop)Ayrıca Uzak Masaüstü^{(Remote Desktop)} oturumları için tek oturum açma deneyimleri sağlar.

Hedef cihazın güvenliğinin ihlal edildiği herhangi bir talihsizlik durumunda, hem kimlik bilgileri hem de kimlik bilgileri türevleri asla hedef cihaza gönderilmediğinden kullanıcının kimlik bilgileri ifşa edilmez.

Remote Credential Guard'ın^{(Remote Credential Guard)} çalışma şekli, Credential Guard dışında yerel bir makinede Credential ^{(Credential Guard)}Guard tarafından sunulan korumaya çok benzerdir, ayrıca Credential Manager aracılığıyla depolanan etki alanı kimlik bilgilerini korur .

Bir kişi Remote Credential Guard'ı^{(Remote Credential Guard)} aşağıdaki şekillerde kullanabilir :

1. Yönetici^{(Administrator)} kimlik bilgileri son derece ayrıcalıklı olduğundan , korunmaları gerekir. Remote Credential Guard'ı^{(Remote Credential Guard)} kullanarak , kimlik bilgilerinin ağ üzerinden hedef cihaza geçmesine izin vermediğinden kimlik bilgilerinizin korunduğundan emin olabilirsiniz.
2. Kuruluşunuzdaki yardım masası^(Helpdesk) çalışanları, güvenliği ihlal edilebilecek etki alanına katılmış cihazlara bağlanmalıdır. Remote Credential Guard ile yardım masası çalışanı, kimlik bilgilerini kötü amaçlı yazılımlardan ödün vermeden hedef cihaza bağlanmak için RDP'yi kullanabilir.^(RDP)

Donanım ve yazılım gereksinimleri

Remote Credential Guard'ın^{(Remote Credential Guard)} sorunsuz çalışmasını sağlamak için, Uzak Masaüstü^{(Remote Desktop)} istemcisi ve sunucusunun aşağıdaki gereksinimlerinin karşılandığından emin olun.

1. Uzak Masaüstü İstemcisi^{(Remote Desktop Client)} ve sunucusu bir Active Directory etki alanına katılmalıdır
2. Her iki cihaz da aynı etki alanına katılmalıdır veya Uzak Masaüstü^{(Remote Desktop)} sunucusu, istemci cihazının etki alanıyla güven ilişkisi olan bir etki alanına katılmalıdır.
3. Kerberos kimlik doğrulaması etkinleştirilmelidir .
4. Uzak Masaüstü^{(Remote Desktop)} istemcisi en az Windows 10 , sürüm 1607 veya Windows Server 2016 çalıştırıyor olmalıdır .
5. Uzak Masaüstü Evrensel Windows Platformu^{(Remote Desktop Universal Windows Platform)} uygulaması , Uzak Kimlik Bilgisi Korumasını^{(Remote Credential Guard)} desteklemediğinden , Uzak Masaüstü^{(Remote Desktop)} klasik Windows uygulamasını kullanın.

Kayıt Defteri^(Registry) aracılığıyla Uzaktan Kimlik Bilgisi Korumasını^{(Remote Credential Guard)} Etkinleştir

Hedef cihazda Remote Credential Guard'ı^{(Remote Credential Guard)} etkinleştirmek için Kayıt Defteri Düzenleyicisi'ni^{(Registry Editor)} açın ve aşağıdaki anahtara gidin:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

DisableRestrictedAdmin adlı yeni bir DWORD değeri ekleyin . Remote Credential Guard'ı^{(Remote Credential Guard)} açmak için bu kayıt defteri ayarının değerini 0 olarak ayarlayın .

Kayıt Defteri Düzenleyicisini kapatın.

Yükseltilmiş bir CMD'den aşağıdaki komutu çalıştırarak Remote Credential Guard'ı^{(Remote Credential Guard)} etkinleştirebilirsiniz :

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Grup İlkesi'ni^{(Group Policy)} kullanarak Uzaktan Kimlik Bilgisi Korumasını^{(Remote Credential Guard)} açın

Bir Grup İlkesi^{(Group Policy)} ayarlayarak veya Uzak Masaüstü Bağlantısı^{(Remote Desktop Connection)} ile bir parametre kullanarak istemci cihazda Remote Credential Guard kullanmak mümkündür .

Grup İlkesi Yönetim Konsolu'ndan^{(Group Policy Management Console)} Bilgisayar Computer Configuration > Administrative Templates > System > Credentials Delegation gidin .

Şimdi, Özellikler kutusunu açmak için kimlik bilgilerinin uzak sunuculara devredilmesini kısıtla'yı^{(Restrict delegation of credentials to remote servers)} çift tıklayın .

Şimdi Aşağıdaki kısıtlı modu kullan^{(Use the following restricted mode)} kutusunda, Uzaktan Kimlik Bilgisi Koruması Gerektir'i seçin. ^{( Require Remote Credential Guard. )}Diğer seçenek Kısıtlı Yönetici modu^{(Restricted Admin mode)} da mevcuttur. Önemi, Remote Credential Guard kullanılamadığında Kısıtlı Yönetici^{(Restricted Admin)} modunu kullanmasıdır.

Her durumda, ne Uzak Kimlik Bilgisi Koruması^{(Remote Credential Guard)} ne de Kısıtlı Yönetici modu, ^{(Restricted Admin)}Uzak Masaüstü^{(Remote Desktop)} sunucusuna kimlik bilgilerini düz metin olarak göndermez .

^{(Allow Remote Credential Guard)}' Remote Credential Guard'ı Tercih Et^{(Prefer Remote Credential Guard)} ' seçeneğini seçerek Remote Credential Guard'a izin verin .

Tamam'a tıklayın^{(Click OK)} ve Grup İlkesi Yönetim Konsolu'ndan^{(Group Policy Management Console)} çıkın .

Şimdi, Grup İlkesi^{(Group Policy)} nesnesinin uygulandığından emin olmak için komut isteminden gpupdate.exe /force

^{(Use Remote Credential Guard)}Uzak Masaüstü^{(Remote Desktop)} Bağlantısı parametresiyle Remote Credential Guard'ı kullanma

Kuruluşunuzda Grup İlkesi^{(Group Policy)} kullanmıyorsanız , o bağlantı için Remote Credential Guard'ı^{(Remote Credential Guard)} açmak üzere Remote Desktop Connection'ı^{(Desktop Connection)} başlattığınızda remoteGuard parametresini ekleyebilirsiniz .

mstsc.exe /remoteGuard

Remote Credential Guard'ı^{(Remote Credential Guard)} kullanırken aklınızda bulundurmanız gerekenler

1. Uzak Kimlik Bilgisi Koruması , ^{(Remote Credential Guard)}Azure Active Directory'ye^{(Azure Active Directory)} katılmış bir cihaza bağlanmak için kullanılamaz .
2. Uzak Masaüstü Kimlik Bilgisi Koruması^{(Remote Desktop Credential Guard)} yalnızca RDP protokolüyle çalışır.
3. Remote Credential Guard , cihaz taleplerini içermez. Örneğin, uzaktan kumandadan bir dosya sunucusuna erişmeye çalışıyorsanız ve dosya sunucusu cihaz talebi gerektiriyorsa, erişim reddedilecektir.
4. Sunucu ve istemci, Kerberos kullanarak kimlik doğrulaması yapmalıdır .
5. Etki alanları bir güven ilişkisine sahip olmalıdır veya hem istemci hem de sunucu aynı etki alanına katılmış olmalıdır.
6. Uzak Masaüstü Ağ Geçidi , ^{(Remote Desktop Gateway)}Remote Credential Guard ile uyumlu değildir .
7. Hedef cihaza hiçbir kimlik bilgisi sızdırılmaz. Ancak, hedef cihaz yine de Kerberos Hizmet ^{(Kerberos Service)} Biletlerini^(Tickets) kendi başına alır.
8. Son olarak, cihazda oturum açan kullanıcının kimlik bilgilerini kullanmanız gerekir. Sizinkinden farklı kayıtlı kimlik bilgilerinin veya kimlik bilgilerinin kullanılmasına izin verilmez.

Bununla ilgili daha fazla bilgiyi Technet'te^(Technet) okuyabilirsiniz .

İlgili^(Related) : Windows 10'da Uzak Masaüstü Bağlantılarının sayısı^{(increase the number of Remote Desktop Connections)} nasıl artırılır.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very genuine conсern – securing credentials over a Remote Desktop connection. This is becausе malware can find its way to any other computer over the desktop connectіon and pose a potential threat to your data. That is whу Wіndows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Remote Desktop Connections sayısını Windows 11/10'de arttırın

• Windows Key Remote Desktop session'ten geçtikten sonra sıkışmış

• Paste'i Remote Desktop Session'de Windows 10'te kopyalayamıyor

• RDP connection authentication error; Function desteklenmez talep

• Create Remote Desktop Connection shortcut Windows 11/10'te

• Windows 10 için Best Free Remote Desktop Software

• Fix Remote Desktop connection Windows 10'da Sorunlar ve Hatalar

• Microsoft Remote Desktop App Windows 10 için

• Windows 10'da (veya Windows 7) Uzak Masaüstü nasıl etkinleştirilir

• Fix Uzak Masaüstü Connect Windows 10'de Connect

• Windows 10'da Fix Remote Desktop Error Code 0x204

• Perform CTRL+ALT+DEL Remote Desktop kullanarak uzak bilgisayarda

• Ammyy Admin: Portatif Secure Zero-Config Remote Desktop Software

• Remote Desktop tab RDWEB'de Edge browser'den Windows 10'de eksik

• Uzak Masaüstü Uygulaması vs. TeamViewer Touch - Hangisi Daha İyi Uygulama?

• NoMachine, Windows PC için ücretsiz ve taşınabilir bir Remote Desktop Tool'dir

• Bir iç hata Remote Desktop Connection için hata oluştu

• 2 Dakika altında Windows 10 üzerinde Remote Desktop etkinleştirme

• Remote Desktop option Windows 10'da grileşmiş

• Windows 10 için Microsoft Remote Desktop Assistant