Glossar
Remote Credential Guard
RDP-Modus, der Kerberos-Anfragen an den Client zurückleitet, sodass die Anmeldeinformationen des Benutzers nie an den Remotehost gesendet oder dort gespeichert werden.
Remote Credential Guard schützt Anmeldeinformationen, die über Remotedesktop verwendet werden. In einer normalen RDP-Sitzung mit Authentifizierung auf Netzwerkebene (NLA) delegiert der Client die Anmeldeinformationen des Benutzers an den Server, damit einmaliges Anmelden (SSO) innerhalb der Sitzung funktioniert – wodurch wiederverwendbare Geheimnisse auf dem Remoterechner zurückbleiben. Mit Remote Credential Guard erhält der Server sie nie: Kerberos-Anfragen innerhalb der Sitzung werden an das Clientgerät zurückgeleitet, das sie ausführt. Der Benutzer behält SSO auf Netzwerkressourcen, doch ein kompromittierter Server kann weder das Kennwort noch langfristige Schlüssel auslesen. Da das Verfahren auf Kerberos beruht, funktioniert es nicht, wenn eine Verbindung auf NTLM zurückfällt oder eine IP-Adresse als Ziel hat; gestartet wird es mit mstsc /remoteGuard oder per Richtlinie erzwungen.
Es unterscheidet sich vom Modus Restricted Admin, der sich mit der eigenen Identität des Servers anmeldet und kein Netzwerk-SSO bietet. Erlauben Sie auf Zielhosts beide Modi, indem Sie DisableRestrictedAdmin unter dem LSA-Registrierungsschlüssel auf 0 setzen, und schreiben Sie auf Admin-Arbeitsstationen mit der Richtlinie „Restrict delegation of credentials to remote servers“ (Delegierung von Anmeldeinformationen an Remoteserver einschränken) einen der beiden vor.
Siehe RDP ohne Preisgabe von Anmeldeinformationen und Remotedesktop härten.