19.7 Administration und Verwaltung

Um die Remotedesktopdienste zu konfigurieren und zu verwalten, gehen Sie über den Server-Manager, mit dem ja die bisherigen Einrichtungsarbeiten vorgenommen worden sind. Diverse Eigenschaften-Menüs bieten viele Einstellungsmöglichkeiten (Abbildung 19.53).

Abbildung 19.53 Im Server-Manager finden sich die Aufrufe der Eigenschaften-Dialoge für die Detailkonfiguration.

Neben den Werkzeugen, die explizit den Remotedesktopdiensten zugeordnet sind, gibt es einige andere Konfigurationsapplikationen, die mittelbar zur Administration und Konfiguration der Remotedesktopdienste genutzt werden:

• Zu nennen wäre insbesondere Active Directory-Benutzer und -Computer, das für die Verwaltung der Remotedesktopdienste-Anwender verwendet wird (Abbildung 19.54).
• Weiterhin sollte jemand, der Remotedesktopdienste administriert, sehr gut mit dem Gruppenrichtlinienverwaltungs-Editor vertraut sein. Die Möglichkeit, Benutzer mithilfe von Gruppenrichtlinien einzuschränken, ist eine außerordentlich wichtige Tätigkeit in diesem Umfeld.
• Das Snap-In Zuverlässigkeit und Leistung, insbesondere der dort vorhandene Systemmonitor, ist extrem wichtig, weil Performancemessung und -analyse im Remotedesktopdienste-Umfeld eine entscheidende Rolle spielen. Wenn 40 Word-Instanzen auf einem System laufen, macht es schon einen Unterschied, ob die Benutzer Word im Wesentlichen als Schreibmaschine verwenden oder ob eine Dokumentautomatisierung mit intensiver Nutzung von Makros erfolgt. Um präzise Aussagen bezüglich des Performancebedarfs nebst Trends und sich abzeichnender Flaschenhälse zu treffen, ist das Messen unvermeidbar.

Abbildung 19.54 Das Werkzeug Active Directory-Benutzer und -Computer in der zum R2-Server gehörenden Version kennt natürlich auch die neuen Bezeichnungen.

19.7.1 Bereitstellung konfigurieren

Der vordringliche Aspekt bei der Konfiguration der Bereitstellungseigenschaften (Aufruf siehe Abbildung 19.53) ist die Lizenzierung der Bereitstellung.

Hierbei können Sie eintragen, welches Lizenzmodell Sie wählen möchten. Sie können zwischen einer Lizenzierung Pro Gerät und einer Pro Benutzer wählen. Zu entscheiden ist, welche Lizenzierung günstiger ist:

• Haben Sie beispielsweise 500 Benutzer, die im Schichtbetrieb arbeiten und demzufolge mit 200 Geräten auskommen, ist die Lizenzierung Pro Gerät günstiger.
• Wenn Sie hingegen mehr Geräte als Benutzer haben, also jeder Benutzer an mehreren Terminals arbeitet, ist verständlicherweise die Lizenzierung Pro Benutzer günstiger. Dieses Szenario hört sich vielleicht auf den ersten Blick ein bisschen »durchgeknallt« (wegen mehrerer Terminals pro Benutzer) an, ich kenne aber durchaus einige Fälle, in denen es greift:
  • In Kundendienstbereichen sind häufig mehr Beraterplätze als Berater vorhanden. Das liegt daran, dass die Beraterplätze häufig auch als Wartezone für den Kunden verwendet werden.

  Supportmitarbeiter sind häufig mit mehreren PCs/Terminals ausgerüstet, um einerseits Zugriff auf ihr Ticketing-System zu haben und andererseits Fragen von Anwendern etc. schnell nachstellen zu können.

19.7.2 Eigenschaften der Sammlung

Der zweite Bereich, an dem es etliches einzustellen gibt, sind die Eigenschaften der Sammlung, die wie auf Abbildung 19.56 gezeigt aufgerufen werden.

Abbildung 19.56 Hier werden die »Eigenschaften der Sammlung« aufgerufen.

Auch wenn es viel einzustellen gibt: Entweder haben wir die Optionen bereits zuvor besprochen, oder aber die Einstellungen sind selbsterklärend. Abbildung 19.57 zeigt die Clienteinstellungen, in denen angehakt wird, welche lokalen Ressourcen zur Verfügung stehen soll.

Abbildung 19.57 Konfigurieren der Clienteinstellungen

In Abbildung 19.58 sehen Sie die korrespondierende Einstellung im Remotedesktopverbindungs-Client. Der Benutzer kann dort festlegen, welche lokalen Geräte er gern in seinen Remotedesktopdienste-Sitzungen zur Verfügung haben möchte. Egal was der Benutzer einstellt – die letztendliche Entscheidung darüber, was zur Verfügung steht, wird gemäß den Einstellungen auf dem Server getroffen.

Neben Sicherheitsaspekten kommen bei der Entscheidung über die Konfiguration auch Performanceüberlegungen zum Tragen: Selbst wenn der Benutzer vielleicht gern seine C-Platte als Datenspeicher nehmen würde, ist dies im Allgemeinen wenig vorteilhaft:

• Erstens wird die lokale C-Platte vermutlich nicht gesichert werden. Das Ziel ist ja, dass Daten nur auf Servern gespeichert werden.
• Wenn der Benutzer über WAN-Strecken seine Daten aufwendig zur C-Platte transportiert, wird ein Ziel, nämlich durch zentrale Remotedesktopdienste Bandbreite zu sparen, direkt verfehlt.

Abbildung 19.58 Was im Client konfiguriert wird, hat keinerlei Relevanz, wenn der Server diese Einstellungen nicht zulässt.

Sie sehen, dass es diverse gute Gründe dafür geben kann, mit dem Freigeben der Verwendung lokaler Ressourcen eher vorsichtig zu sein.

19.7.3 Benutzeradministration

Ein zentraler Punkt ist die Administration der Benutzer. Diese geschieht im Konfigurationswerkzeug Active Directory-Benutzer und -Computer, in dem Sie unter anderem zwei Registerkarten finden, nämlich Remotedesktopdienste-Profil und Remoteüberwachung. Die Remotedesktopdienste sind nahtlos in die Benutzerverwaltung integriert, sodass nur wenig zusätzliche Arbeit notwendig ist.

Auf der Registerkarte Remotedesktopdienste-Profil lassen sich ein Speicherort für ein Benutzerprofil und ein Pfad zu einem Basisordner angeben, die bei der Anmeldung an einem Remotedesktop-Sitzungshost verwendet werden. Diese Pfade anders als das übliche Profil zu wählen, kann durchaus sinnvoll sein, falls das Profil für die Desktopanwendung diverse spezielle Einstellungen für und Verknüpfungen auf Komponenten enthält, die auf dem Remotedesktop-Sitzungshost nicht zur Verfügung stehen.

Soll für einen Benutzer der Zugriff auf die Remotedesktopdienste gesperrt werden, können Sie das mit der Checkbox Anmeldung bei Remotedesktop-Sitzungshostserver für diesen Benutzer nicht zulassen erledigen; sie ist sozusagen der »Haupt-Ausschalter« für den Zugriff (Abbildung 19.59).

Abbildung 19.59 Das Remotedesktopdienste-Profil ermöglicht Einstellungen, die vom »normalen« Profil abweichen.

Die zweite Registerkarte, die sich speziell mit Einstellungen für die Remotedesktopdienste befasst, ist Remoteüberwachung. Ein Administrator oder Mitarbeiter im Benutzersupport kann eine Fernsteuerungssitzung beginnen und den Benutzer so unterstützen (Abbildung 19.60).

Zumindest in Deutschland ist diese Möglichkeit etwas, das der IT-Verantwortliche mit dem Betriebsrat besprechen sollte. Hier schwingen immer Aspekte wie »Überwachung der Mitarbeiter«, »Leistungskontrolle« etc. mit. Die deutsche Übersetzung, nämlich Remoteüberwachung, ist eindeutig misslungen; ein Begriff wie »Fernsteuerung« erweckte hier sicherlich deutlich weniger Misstrauen.

Es besteht die Möglichkeit, die Remoteüberwachung für die Benutzer komplett zu deaktivieren. Hierzu muss lediglich das Häkchen aus der gleichnamigen Checkbox entfernt werden. Da die Fernsteuerung zur Unterstützung der Benutzer an sich sinnvoll ist, ist der bessere Weg sicherlich, sie zu aktivieren und die Checkbox Berechtigung vom Benutzer anfordern zu setzen.

Im Bereich Steuerungsebene können Sie wählen, ob die Anzeige der Benutzersitzung nur lesend erfolgen soll oder ob auch Eingriffsmöglichkeiten gegeben sein sollen (Interaktive Sitzung).

Abbildung 19.60 Beim Benutzerobjekt wird die Remoteüberwachung konfiguriert.

19.7.4 Remotesupport für Benutzer

Abbildung 19.61 zeigt die Verbindungsübersicht des Server-Managers. Sie können die Sitzungen der angemeldeten Benutzer einsehen. Im Kontextmenü eines Benutzers stehen einige Optionen zur Verfügung, beispielsweise das Trennen oder Zurücksetzen der Sitzung, die Anzeige von erweiterten Statusinformationen und einiges andere mehr.

Die hier im Kontextmenü des Benutzerobjekts gezeigten Funktionen sind übrigens auch für Sitzungen (siehe die gleichnamige Registerkarte) vorhanden.

Abbildung 19.61 Im Server-Manager können Sie sehen, welche Benutzer aktuell angemeldet sind. Bei Bedarf können Sie die Verbindung beispielsweise trennen, zurücksetzen oder die Remoteüberwachung starten.

Wie bereits erwähnt, funktioniert die Fernsteuerung nur, wenn der Remotedesktopdienste-Manager in einer Remotedesktopdienste-Sitzung aufgerufen wird. Dann steht, wie in Abbildung 19.61 zu sehen ist, auch die Funktion Schatten im Kontextmenü zur Verfügung. Die Funktion ist für Helpdesk-Zwecke sehr praktisch, weil sich ein Administrator oder Supportmitarbeiter mit einem Mausklick in die Sitzung des Anwenders einschalten und sein Problem sehen, mit ihm besprechen und hoffentlich beheben kann.

Hat der Administrator bzw. Supportmitarbeiter das Einleiten einer Remoteüberwachungssitzung aufgerufen, wird der betroffene Benutzer umgehend gefragt, ob er dieser Sitzung zustimmt (Abbildung 19.62).

Abbildung 19.62 Der Benutzer wird gefragt, ob er wirklich zulassen möchte, dass seine Sitzung ferngesteuert wird.

Ob der Benutzer gefragt wird, ist konfigurierbar, allerdings sollten Sie tunlichst keinen »stillen Modus« implementieren, selbst wenn es möglich ist. In Deutschland wird das zum einen den Betriebsrat auf die Barrikaden bringen, zum anderen verstößt die unbemerkte Überwachung von Mitarbeitern gegen geltendes Recht.

Stimmt der Benutzer dem Beginn einer Fernsteuerungssitzung zu, werden Sie umgehend seinen Bildschirm (Desktop oder RemoteApp-Programm) auf Ihrem Bildschirm haben. Je nachdem, was als Steuerungsebene ausgewählt wurde (Benutzersitzung anzeigen oder Interaktive Sitzung), können Sie als Administrator bzw. Supportmitarbeiter nur schauen oder selbst steuern. Wenn Sie die Sitzung beenden möchten, müssen Sie die zuvor abgefragte Tastenkombination kennen und anwenden.

Falls der Anwender dem Aufbau der Fernsteuerungssitzung nicht zustimmt, wird Ihnen in einem lapidaren Hinweis mitgeteilt, dass der Zugriff verweigert wurde.

19.7.5 Loopbackverarbeitung

Ein sehr wichtiger Aspekt bei der Benutzerkonfiguration ist der Loopbackverarbeitungsmodus. Die Idee dahinter ist folgende:

• Wenn sich ein Benutzer normalerweise anmeldet, werden die Richtlinien angewendet, die in der OU (Organizational Unit) gelten, in der das Benutzerobjekt angelegt ist (nebst Vererbungen).
• Beim Loopbackverarbeitungsmodus verhält sich das System so, als befände sich das Benutzerobjekt in der OU, in der das Computerobjekt (d. h. der Remotedesktop-Sitzungshost) angelegt ist. Es werden also die in den dort gültigen Gruppenrichtlinien vorhandenen Benutzerrichtlinien angewendet.

Kurz gesagt ermöglicht der Loopbackverarbeitungsmodus, dass auf Remotedesktop-Sitzungshosts für dieselben Benutzerobjekte andere Gruppenrichtlinien zum Einsatz kommen, als wenn sich die Benutzer auf einem Desktop-PC anmelden. In Umgebungen, in denen die Benutzer sowohl lokal installierte als auch über Remotedesktopdienste bereitgestellte Anwendungen nutzen, kann das außerordentlich praktisch sein.

Der Loopbackverarbeitungsmodus wird mit einer Gruppenrichtlinie für die entsprechenden Remotedesktop-Sitzungshosts aktiviert. Es ist vor diesem Hintergrund also sinnvoll, die Remotedesktop-Sitzungshosts in einer separaten OU anzusiedeln (Abbildung 19.63).

Abbildung 19.63 Die Anwendung von Gruppenrichtlinien kann durch den Loopbackverarbeitungsmodus verändert werden.

---

Ihre Meinung

Wie hat Ihnen das Openbook gefallen? Wir freuen uns immer über Ihre Rückmeldung. Schreiben Sie uns gerne Ihr Feedback als E-Mail an kommunikation@rheinwerk-verlag.de.