Glosario
Remote Credential Guard
Modo de RDP que redirige las solicitudes Kerberos al cliente, de modo que las credenciales del usuario nunca se envían al equipo remoto ni se almacenan en él.
Remote Credential Guard protege las credenciales usadas en Escritorio remoto. En una sesión RDP normal con autenticación a nivel de red (NLA), el cliente delega las credenciales del usuario en el servidor para que el inicio de sesión único funcione dentro de la sesión, lo que deja secretos reutilizables en el equipo remoto. Con Remote Credential Guard, el servidor nunca los recibe: las solicitudes Kerberos realizadas dentro de la sesión se redirigen al dispositivo cliente, que es quien las ejecuta. El usuario sigue disponiendo de inicio de sesión único en los recursos de red, pero un servidor comprometido no puede volcar la contraseña ni las claves a largo plazo. Se basa en Kerberos, por lo que no funciona cuando una conexión recurre a NTLM o apunta a una dirección IP, y se inicia con mstsc /remoteGuard o se impone por directiva.
Se diferencia del modo Restricted Admin, que inicia sesión con la propia identidad del servidor y no ofrece SSO de red. En los equipos de destino, permita ambos modos estableciendo DisableRestrictedAdmin en 0 en la clave del Registro de LSA, y en las estaciones de trabajo de administración use la directiva "Restrict delegation of credentials to remote servers" (restringir la delegación de credenciales a servidores remotos) para exigir uno de ellos.
Consulte RDP sin exponer las credenciales y Protección de Escritorio remoto.