لدى جميع مستخدمي مسؤولي النظام مخاوف حقيقية للغاية - تأمين بيانات الاعتماد عبر اتصال سطح المكتب^(Desktop) البعيد . هذا لأن البرامج الضارة يمكن أن تجد طريقها إلى أي كمبيوتر آخر عبر اتصال سطح المكتب وتشكل تهديدًا محتملاً لبياناتك. هذا هو سبب إصدار نظام التشغيل Windows^{(Windows OS)} تحذيرًا مفاده " تأكد من أنك تثق في هذا الكمبيوتر ، فقد يؤدي الاتصال بجهاز كمبيوتر غير موثوق به إلى الإضرار بجهاز الكمبيوتر الخاص بك^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} " عند محاولة الاتصال بسطح مكتب بعيد.

في هذا المنشور ، سنرى كيف يمكن لميزة Remote Credential Guard ، التي تم تقديمها في  Windows 10 ، أن تساعد في حماية بيانات اعتماد سطح المكتب البعيد في Windows 10 Enterprise و Windows Server .

حماية بيانات الاعتماد عن بُعد^{(Remote Credential Guard)} في نظام التشغيل Windows 10^{(Windows 10)}

تم تصميم الميزة لإزالة التهديدات قبل أن تتطور إلى موقف خطير. يساعدك على حماية بيانات الاعتماد الخاصة بك عبر اتصال سطح المكتب^(Desktop) البعيد عن طريق إعادة توجيه طلبات Kerberos مرة أخرى إلى الجهاز الذي يطلب الاتصال. كما يوفر أيضًا تجارب تسجيل دخول أحادي لجلسات سطح المكتب البعيد .^{(Remote Desktop)}

في حالة حدوث أي سوء حظ حيث تم اختراق الجهاز المستهدف ، لا يتم الكشف عن بيانات اعتماد المستخدم لأنه لا يتم إرسال بيانات الاعتماد ومشتقات بيانات الاعتماد إلى الجهاز المستهدف أبدًا.

طريقة عمل Remote Credential Guard مشابهة جدًا للحماية التي توفرها Credential Guard على جهاز محلي باستثناء Credential Guard أيضًا لحماية بيانات اعتماد المجال المخزنة عبر Credential Manager .

يمكن لأي فرد استخدام Remote Credential Guard بالطرق التالية-

1. نظرًا لأن بيانات اعتماد المسؤول^{(Administrator)} تتمتع بامتيازات عالية ، فيجب حمايتها. باستخدام Remote Credential Guard ، يمكنك التأكد من أن بيانات الاعتماد الخاصة بك محمية لأنها لا تسمح لبيانات الاعتماد بالمرور عبر الشبكة إلى الجهاز المستهدف.
2. يجب على موظفي مكتب المساعدة^(Helpdesk) في مؤسستك الاتصال بالأجهزة المرتبطة بالمجال التي يمكن اختراقها. باستخدام Remote Credential Guard ، يمكن لموظف مكتب المساعدة استخدام RDP للاتصال بالجهاز المستهدف دون المساس ببيانات اعتمادهم للبرامج الضارة.

متطلبات الأجهزة والبرامج

لتمكين الأداء السلس لـ Remote Credential Guard ، تأكد من تلبية المتطلبات التالية الخاصة بعميل سطح المكتب البعيد^{(Remote Desktop)} والخادم.

1. يجب أن يكون عميل سطح المكتب البعيد^{(Remote Desktop Client)} والخادم منضمين إلى مجال Active Directory
2. يجب أن ينضم كلا الجهازين إلى نفس المجال ، أو يجب أن ينضم خادم سطح المكتب البعيد^{(Remote Desktop)} إلى مجال له علاقة ثقة بمجال جهاز العميل.
3. يجب تمكين مصادقة Kerberos .
4. يجب أن يعمل عميل سطح المكتب البعيد بنظام التشغيل ^{(Remote Desktop)}Windows 10 أو الإصدار 1607 أو Windows Server 2016 على الأقل .
5. لا يدعم تطبيق Remote Desktop Universal Windows Platform ^{(Remote Desktop Universal Windows Platform)}Guard Remote Credential Guard^{(Remote Credential Guard)} ، لذا استخدم تطبيق Remote Desktop الكلاسيكي لنظام Windows^(Windows) .

تمكين Remote Credential Guard عبر التسجيل^(Registry)

لتمكين Remote Credential Guard على الجهاز المستهدف ، افتح محرر التسجيل وانتقل^{(Registry Editor)} إلى المفتاح التالي:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

أضف قيمة DWORD جديدة باسم DisableRestrictedAdmin . عيّن قيمة إعداد التسجيل هذا إلى 0 لتشغيل Remote Credential Guard .

أغلق محرر التسجيل.

يمكنك تمكين Remote Credential Guard عن طريق تشغيل الأمر التالي من CMD المرتفع:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

قم بتشغيل Remote Credential Guard باستخدام نهج المجموعة^{(Group Policy)}

من الممكن استخدام Remote Credential Guard على جهاز العميل من خلال تعيين " نهج المجموعة"^{(Group Policy)} أو باستخدام معلمة مع "الاتصال بسطح المكتب البعيد"^{(Remote Desktop Connection)} .

من وحدة التحكم في إدارة نهج المجموعة^{(Group Policy Management Console)} ، انتقل إلى Computer Configuration > Administrative Templates > System > Credentials Delegation.

الآن ، انقر نقرًا مزدوجًا فوق تقييد تفويض بيانات الاعتماد للخوادم البعيدة^{(Restrict delegation of credentials to remote servers)} لفتح مربع الخصائص الخاص به.

الآن في مربع استخدام الوضع المقيد التالي^{(Use the following restricted mode)} ، اختر يتطلب حماية بيانات الاعتماد عن بُعد. ^{( Require Remote Credential Guard. )}الخيار الآخر وضع المسؤول المقيد^{(Restricted Admin mode)} موجود أيضًا. تكمن أهميته في أنه عندما يتعذر استخدام Remote Credential Guard ، فسيستخدم وضع ^{(Remote Credential Guard)}المسؤول المقيد^{(Restricted Admin)} .

في أي حال ، لن يرسل وضع Remote Credential Guard أو وضع المسؤول المقيد^{(Restricted Admin)} بيانات الاعتماد بنص واضح إلى خادم Remote Desktop .

السماح لـ Remote Credential Guard^{(Allow Remote Credential Guard)} ، باختيار خيار " تفضيل حماية بيانات الاعتماد عن بُعد^{(Prefer Remote Credential Guard)} ".

انقر فوق موافق^{(Click OK)} واخرج من وحدة التحكم في إدارة نهج المجموعة^{(Group Policy Management Console)} .

الآن ، من موجه الأوامر ، قم بتشغيل gpupdate.exe /force للتأكد من تطبيق كائن "نهج المجموعة" .^{(Group Policy)}

استخدم Remote Credential Guard^{(Use Remote Credential Guard)} مع معلمة للاتصال بسطح المكتب البعيد^{(Remote Desktop)}

إذا كنت لا تستخدم Group Policy في مؤسستك ، فيمكنك إضافة معلمة remoteGuard عند بدء تشغيل Remote Desktop Connection لتشغيل Remote Credential Guard لهذا الاتصال.

mstsc.exe /remoteGuard

الأشياء التي يجب وضعها في الاعتبار عند استخدام Remote Credential Guard

1. لا يمكن استخدام Remote Credential Guard^{(Remote Credential Guard)} للاتصال بجهاز متصل بـ Azure Active Directory .
2. يعمل Remote Desktop Credential Guard^{(Remote Desktop Credential Guard)} مع بروتوكول RDP فقط.^(RDP)
3. ^{(Remote Credential Guard)}لا يتضمن Remote Credential Guard مطالبات الجهاز. على سبيل المثال ، إذا كنت تحاول الوصول إلى خادم ملفات من جهاز التحكم عن بُعد وكان خادم الملفات يتطلب مطالبة الجهاز ، فسيتم رفض الوصول.
4. يجب على الخادم والعميل المصادقة باستخدام Kerberos .
5. يجب أن يكون للمجالات علاقة ثقة ، أو يجب أن ينضم كل من العميل والخادم إلى نفس المجال.
6. بوابة سطح المكتب البعيد^{(Remote Desktop Gateway)} غير متوافقة مع Remote Credential Guard .
7. لا يتم تسريب أي أوراق اعتماد للجهاز الهدف. ومع ذلك ، لا يزال الجهاز المستهدف يحصل على تذاكر ^(Tickets)خدمة Kerberos^{(Kerberos Service)} من تلقاء نفسه.
8. أخيرًا ، يجب عليك استخدام بيانات اعتماد المستخدم الذي قام بتسجيل الدخول إلى الجهاز. لا يُسمح باستخدام بيانات الاعتماد المحفوظة أو بيانات الاعتماد التي تختلف عن بيانات الاعتماد الخاصة بك.

يمكنك قراءة المزيد عن هذا في Technet .

ذات صلة^(Related) : كيفية زيادة عدد اتصالات سطح المكتب البعيد^{(increase the number of Remote Desktop Connections)} في نظام التشغيل Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All systеm admіnistrator users have оne very genuine concern – securing credentialѕ over a Remote Desktop connection. This is because malware cаn find its way to any other computer over the desktop connection and pose a potential threat to yoυr data. That is why Windows OS flashes a warnіng “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• زيادة عدد Remote Desktop Connections في Windows 11/10

• Windows مفتاح عالق بعد التبديل من Remote Desktop session

• لا يمكن نسخ Paste في Remote Desktop Session في Windows 10

• RDP connection authentication error؛ Function المطلوب غير مدعوم

• Create Remote Desktop Connection shortcut في Windows 11/10

• Perform CTRL+ALT+DEL على الكمبيوتر البعيد باستخدام Remote Desktop

• NoMachine عبارة عن Remote Desktop Tool مجانية ومحمولة ل Windows PC

• كيفية التحكم في جهاز كمبيوتر يعمل بنظام Windows باستخدام Remote Desktop لنظام التشغيل Mac

• كيفية استخدام تطبيق Remote Desktop على نظام التشغيل Windows 10

• تغيير listening port ل Remote Desktop

• Remote Desktop لا تعمل أو لن تتصل في Windows 10

• Microsoft Remote Desktop Assistant ل Windows 10

• Best Free Remote Desktop Software لWindows 10

• Remote Desktop option رمي على Windows 10

• الوصول إلى Computer عن بعد استخدام Chrome Remote Desktop

• لتسجيل الدخول عن بعد، تحتاج إلى تسجيل الدخول من خلال Remote Desktop Services

• كيفية تمكين و Use Remote Desktop Connection في Windows 10

• Fix Remote Desktop Error Code 0x104 على Windows 11/10

• Remote Desktop tab في RDWEB مفقود من Edge browser في Windows 10

• Fix Remote Desktop لا يمكن العثور على computer error في Windows 11/10