Поиск по сайту:

Исправлено: сохраненные учетные данные RDP не работали в Windows.

Встроенный клиент удаленного рабочего стола Windows (

mstsc.exe

) позволяет сохранить имя пользователя и пароль, используемые для подключения к удаленному компьютеру. Благодаря этому пользователю не нужно каждый раз вводить пароль для подключения к известному хосту удаленного рабочего стола. В этой статье мы рассмотрим, как разрешить использование сохраненных учетных данных для RDP-подключений в Windows и что делать, если пользователи не могут использовать сохраненные пароли для подключений к удаленному рабочему столу (каждый раз запрашивается пароль).

Разрешить делегирование сохраненных учетных данных для подключения RDP через объект групповой политики

По умолчанию Windows позволяет пользователям сохранять свои пароли для подключений RDP. Для этого пользователь должен ввести имя компьютера RDP, имя пользователя и установить флажок «Разрешить мне сохранять учетные данные» в окне клиента подключения к удаленному рабочему столу (mstsc.exe). После того, как пользователь нажал кнопку «Подключиться», сервер RDP запрашивает пароль, и Windows сохраняет его в диспетчере учетных данных (а не в файле .RDP).

В следующий раз, когда вы подключитесь к удаленному хосту RDP под тем же пользователем, клиент автоматически получит сохраненный пароль из диспетчера учетных данных Windows и будет использовать его для аутентификации RDP.

Если для этого компьютера существует сохраненный пароль, в окне RDP-клиента появится следующее сообщение:

Saved credentials will be used to connect to this computer. You can edit or delete these credentials.

В большинстве случаев администраторы не рекомендуют пользователям сохранять пароли подключения в Windows. Например, в домене Active Directory лучше настроить SSO (единый вход) для RDP для прозрачной аутентификации.

По умолчанию Windows не позволяет пользователю использовать сохраненный пароль RDP (учетные данные) для подключения с компьютера, присоединенного к домену Active Directory, к хосту, находящемуся в другом домене или рабочей группе. Хотя пароль подключения хранится в диспетчере учетных данных, Windows не позволяет его использовать и требует от пользователя каждый раз вводить пароль. Кроме того, Windows не позволяет вам использовать сохраненный пароль RDP, если вы подключаетесь с помощью локальной учетной записи вместо доменной.

В этом случае, если вы попытаетесь подключиться, используя сохраненный пароль RDP, появится следующее сообщение об ошибке:

Your credentials did not work
Your system administrator does not allow the use of saved credentials to log on to the remote computer CompName because its identity is not fully verified. Please enter new credentials.

Windows считает соединение небезопасным, поскольку между этим компьютером и удаленным компьютером в другом домене (или рабочей группе) нет доверия.

Вы можете изменить эти настройки на компьютере, с которого пытаетесь установить RDP-соединение:

  1. Откройте редактор локальной групповой политики, нажав

    Win + R

    -> gpedit.msc;

  2. В редакторе объектов групповой политики перейдите в раздел Конфигурация компьютера -> Административные шаблоны -> Система -> Делегирование учетных данных. Найдите политику с именем Разрешить делегирование сохраненных учетных данных с проверкой подлинности сервера только NTLM;

  3. Включите политику и нажмите Показать;

  4. Укажите список удаленных хостов, которым разрешено использовать сохраненные учетные данные при доступе через RDP. Список удаленных компьютеров необходимо указать в следующем формате:

    • TERMSRV/server1

      — разрешить использовать сохраненные учетные данные для доступа к конкретному компьютеру/серверу через RDP;

    • TERMSRV/*.active-directory.ru

      — разрешить устанавливать RDP-соединения с сохраненными учетными данными ко всем компьютерам домена woshib.com;

    • TERMSRV/*

      — разрешить использование сохраненного пароля для подключения к любому удаленному компьютеру.

      TERMSRV

      ключевое слово в верхнем регистре. Имя компьютера должно точно совпадать с тем, которое вы указали в поле подключения RDP-клиента.

  • Аналогичным образом включите и добавьте значения TERMSRV/ в политику Разрешить делегирование сохраненных учетных данных;

    Следующие параметры реестра соответствуют указанным выше параметрам объекта групповой политики:

    Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation]
"AllowSavedCredentialsWhenNTLMOnly"=dword:00000001
“AllowSavedCredentials”=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly]
"1"="TERMSRV/*"
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials]
"1"="TERMSRV/*"
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation]
“AllowSavedCredentialsWhenNTLMOnly”=dword:00000001
“AllowSavedCredentials”=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly]
"1"="TERMSRV/*"
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials]
"1"="TERMSRV/*"

  • Проверьте, отключен ли следующий параметр Доступ к сети: не разрешать хранение паролей и учетных данных для сетевой аутентификации(Конфигурация компьютера -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности). Если этот параметр включен, пользователь получит сообщение об ошибке при попытке сохранить пароль в хранилище Credential Manager:

    Credential Manager Error
Unable to save credentials. To save credentials in this vault, check your computer configuration. 
Error code: 0x80070520
Error Message: A specified logon session does not exist. It may already have been terminated.

  • Убедитесь, что политика Запретить делегирование сохраненных учетных данных отключена (или не настроена). Политики запрета объектов групповой политики имеют приоритет над политиками разрешения;

  • Сохраните изменения и обновите настройки GPO с помощью этой команды:

    gpupdate /force

    • Теперь при подключении к хосту RDP клиент mstsc сможет использовать ваши сохраненные учетные данные.

    Вы можете просмотреть сохраненные пароли для RDP-соединений с помощью команды:

    cmdkey /list ^| findstr "target=TERMSRV"

    Чтобы очистить сохраненные пароли подключения, выполните команду:

    For /F "tokens=1,2 delims= " %G in ('cmdkey /list ^| findstr "target=TERMSRV"') do cmdkey /delete %H

    Вы можете изменить политику сохраненных учетных данных RDP только на локальном компьютере с помощью редактора локальной групповой политики. Если вы хотите применить эти параметры на нескольких компьютерах в домене, используйте объект групповой политики домена, настроенный с помощью

    gpmc.msc

    (Управление групповой политикой).

    Почему Windows не сохраняет учетные данные удаленного рабочего стола?

    Если вы настроили Windows, следуя приведенным выше инструкциям, но ваш RDP-клиент по-прежнему предлагает ввести пароль при каждой попытке подключения, стоит проверить следующее:

    1. Нажмите «Показать параметры» в окне «Подключение к удаленному рабочему столу» и убедитесь, что параметр «Всегда запрашивать учетные данные» не установлен;

    2. Если вы используете для подключения файл .RDP, убедитесь, что значение параметра «запрашивать учетные данные» равно 0 (

      prompt for credentials:i:0

      );

    3. Откройте редактор локальных объектов групповой политики (

      gpedit.msc

      ) и перейдите в Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Службы удаленных рабочих столов -> Клиент подключения к удаленному рабочему столу. Параметры Не разрешать сохранение паролей и Запрашивать учетные данные на клиентском компьютере» не должны быть установлены или отключены. Также убедитесь, что этот параметр политики отключен в результирующей групповой политике на вашем компьютере (вы можете создать HTML-отчет с примененными настройками объекта групповой политики с помощью команды gpresult);

    4. Удалите все сохраненные пароли из диспетчера учетных данных Windows. Тип

      control userpasswords2

      и в окне Учетные записи пользователей перейдите на вкладку Дополнительно и нажмите Управление паролями;

    5. В следующем окне выберите Учетные данные Windows. Найдите все сохраненные пароли RDP и удалите их (они начинаются с

      TERMRSV/…

      ).

      TERMRSV\server_name1

      формат. Не забудьте удалить сохраненные пароли при очистке истории подключений RDP на своем компьютере.

  • Вы не сможете войти в систему с сохраненными учетными данными RDP, если удаленный сервер не обновлялся в течение длительного времени, и при попытке подключения к нему появляется ошибка исправления шифрования CredSSP.

    • После этого пользователи смогут использовать сохраненные пароли для RDP-соединений.

    Политика аутентификации сервера не разрешает подключение с сохраненными учетными данными

    При подключении к хосту RDP или ферме RDS с использованием сохраненных учетных данных может появиться ошибка:

    Windows Security
Your credentials did not work
The server’s authentication policy does not allow connection requests using saved credentials. Please enter new credentials.

    В этом случае вам необходимо отключить опцию объекта групповой политики «Всегда запрашивать пароль при подключении» на удаленном сервере (Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Службы удаленных рабочих столов -> Удаленный рабочий стол). Хост сеанса -> Безопасность).

    Если эта политика включена, хост RDP всегда запрашивает у клиента пароль для подключения.

    Вы можете отключить эту опцию через реестр:

    REG add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fPromptForPassword /t REG_DWORD /d 0 /f

    Credential Guard в Защитнике Windows не разрешает сохраненные учетные данные

    После обновления до Windows 11 22H2 пользователи начали жаловаться, что теперь они не могут использовать сохраненные пароли для RDP-подключений:

    Windows Security: Your credentials did not work
Windows Defender Credential Guard does not allow using saved credentials. Please enter your credentials.

    Удаленный Credential Guard в Защитнике Windows (который появился в Windows 10 1607) должен защищать ваши учетные данные для RDP-подключений. По умолчанию Windows 11/10 22H2 позволяет использовать сохраненные учетные данные только при использовании аутентификации Kerberos на узле RDP. Если вы не можете использовать Kerberos (контроллер домена недоступен или вы подключаетесь к хосту в рабочей группе), Remote Credential Guard блокирует аутентификацию NTLM.

    Решить эту проблему можно, отключив Credential Guard через реестр:

    New-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\LSA" -Name "LsaCfgFlags" -PropertyType "DWORD" -Value 0 -Force

    Статьи по данной тематике