Remote Desktop Services via GPO¶

Contexte de production¶

Les environnements Remote Desktop Services concentrent deux problèmes que les GPO classiques ne rencontrent jamais : plusieurs utilisateurs sur une même machine, et des profils qui doivent survivre aux déconnexions et aux basculements entre hôtes.

La GPO devient ici un outil de cloisonnement, pas seulement de configuration. Un paramètre mal placé — sur l'OU utilisateur au lieu de l'OU serveur — peut affecter des dizaines de sessions simultanément. La marge d'erreur est nulle en production.

Architecture RDS et GPO : le rôle du Loopback¶

Pourquoi le Loopback change tout¶

En mode standard, Windows applique les GPO utilisateur depuis l'OU de l'utilisateur. Cela fonctionne parfaitement sur un poste de travail personnel.

Sur un hôte RDS, c'est un problème structurel. Un utilisateur du service comptabilité qui se connecte au serveur de session RDS se voit appliquer les GPO de l'OU Comptabilité — pas les restrictions définies pour les serveurs de session.

Le Loopback Processing inverse cette logique : les GPO utilisateur appliquées sont celles liées à l'OU de l'ordinateur (le serveur RDS), quel que soit l'OU de l'utilisateur qui se connecte.

Les deux modes du Loopback¶

Il existe deux modes de Loopback, et le choix est important :

En production RDS, Replace est le mode recommandé. Il garantit que la configuration du serveur de session est souveraine.

Chemin GPMC exact¶

Computer Configuration
  └─ Administrative Templates
       └─ System
            └─ Group Policy
                 └─ Configure user Group Policy loopback processing mode

Valeur : Enabled — Mode : Replace

Chemin de registre correspondant :

HKLM\SOFTWARE\Policies\Microsoft\Windows\System
  UserPolicyMode = 1   (Merge)
  UserPolicyMode = 2   (Replace)

Modèle ADMX requis : TerminalServer.admx¶

Tous les paramètres RDS spécifiques sont regroupés dans TerminalServer.admx.

Ce fichier est présent dans C:\Windows\PolicyDefinitions sur tout Windows Server 2016+. Si vous utilisez un Central Store, copiez-y TerminalServer.admx et son fichier de langue TerminalServer.adml.

Le chemin GPMC de base pour tous les paramètres RDS est :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host

Pourquoi le Loopback est indispensable : schéma¶

flowchart TD
    USER["Utilisateur\n(OU : Comptabilité)"]
    SERVER["Serveur RDS\n(OU : Servers\\RDS)"]
    GPO_USER["GPO liée à OU Comptabilité\n(permissions larges, pas de restriction RDS)"]
    GPO_RDS["GPO liée à OU Servers\\RDS\n(restrictions session, profil FSLogix, NLA)"]

    subgraph SANS ["Sans Loopback"]
        direction LR
        USER --> GPO_USER
        GPO_USER -->|"s'applique à l'utilisateur\nmême sur RDS"| SESSION_BAD["Session RDS\n❌ sans restrictions serveur"]
    end

    subgraph AVEC ["Avec Loopback (Replace)"]
        direction LR
        SERVER --> GPO_RDS
        GPO_RDS -->|"remplace les GPO user\nde l'OU Comptabilité"| SESSION_GOOD["Session RDS\n✅ restrictions serveur appliquées"]
    end

Paramètres de session critiques¶

Timeouts de session¶

Les timeouts RDS sont parmi les paramètres les plus impactants en production. Un timeout trop court génère des déconnexions intempestives. Un timeout absent laisse des sessions fantômes consommer des licences CAL.

Chemin GPMC commun pour tous les timeouts :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host
                      └─ Session Time Limits

Table de référence complète des paramètres de session¶

Redirections : clipboard, lecteurs, imprimantes¶

Les redirections se configurent dans :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host
                      └─ Device and Resource Redirection

RemoteApp : chemin du programme¶

Pour les déploiements RemoteApp, le chemin d'accès à l'application publiée s'écrit :

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
  InitialProgram = \\serveur\partage\application.exe
  WorkDirectory  = \\serveur\partage

Ces valeurs se définissent via GPP (Group Policy Preferences > Windows Settings > Registry) pour permettre des valeurs dynamiques par groupe de serveurs.

Single Sign-On avec délégation Kerberos¶

Le SSO RDS nécessite deux configurations GPO coordonnées :

Côté client (Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Connection Client) :

• Specify SHA1 thumbprints of certificates representing trusted .rdp publishers — autoriser le certificat de la passerelle RDS
• Allow .rdp files from valid publishers and user's default .rdp settings — Enabled

Côté serveur, la délégation Kerberos contrainte (KCD) se configure dans les propriétés AD de l'objet ordinateur du serveur RDS, avec le SPN TERMSRV/nom-serveur.

Profils RDS : GPO vs FSLogix¶

Le conflit GPO / attribut AD¶

Deux mécanismes peuvent définir le chemin de profil itinérant RDS :

1. La GPO : Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Profiles > Set path for Remote Desktop Services Roaming User Profile
2. L'attribut AD : propriété terminalServicesProfilePath sur l'objet utilisateur (onglet Profil de terminal dans ADUC)

La GPO gagne toujours. Si la GPO définit un chemin de profil, l'attribut AD est ignoré pour les connexions RDS. C'est une source de confusion fréquente lors des migrations.

Clé registre GPO :

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
  WFProfilePath = \\serveur-profils\RDSProfiles\%username%

Profil itinérant GPO : quand l'utiliser¶

Le profil itinérant classique (dossier %username%.V6 sur un partage réseau) reste pertinent dans des environnements réduits (moins de 50 sessions simultanées) avec des profils stables et peu de données utilisateur.

Ses limites deviennent problématiques à grande échelle : gonflement des profils, corruption lors de déconnexions brutales, lenteur au chargement avec des profils > 500 Mo.

FSLogix Profile Container : quand basculer¶

FSLogix remplace le profil itinérant par un disque VHD(X) monté à la connexion. Le profil utilisateur est contenu dans ce disque — il n'y a pas de copie réseau à la connexion et à la déconnexion.

FSLogix est inclus dans les licences Microsoft 365 E3/E5, Windows E3/E5, et RDS SAL.

Configuration FSLogix via GPO

FSLogix dispose de ses propres modèles ADMX (fslogix.admx). Chemin GPMC :

Computer Configuration
  └─ Administrative Templates
       └─ FSLogix
            └─ Profile Containers

Clés de registre FSLogix (sous HKLM\SOFTWARE\FSLogix\Profiles) :

Tableau comparatif de choix¶

Script de déploiement FSLogix via GPO¶

# Configure FSLogix Profile Container settings via GPO registry preferences
# Requires: RSAT GroupPolicy module, FSLogix ADMX in Central Store

$gpoName    = "RDS-FSLogix-ProfileContainers"
$regBase    = "HKLM\SOFTWARE\FSLogix\Profiles"
$vhdShare   = "\\srv-profiles\FSLogix"

# Enable FSLogix Profile Container
Set-GPRegistryValue -Name $gpoName -Key $regBase `
    -ValueName "Enabled" -Type DWord -Value 1

# Set VHD storage location
Set-GPRegistryValue -Name $gpoName -Key $regBase `
    -ValueName "VHDLocations" -Type MultiString -Value $vhdShare

# Use VHDX format
Set-GPRegistryValue -Name $gpoName -Key $regBase `
    -ValueName "VolumeType" -Type String -Value "VHDX"

# Max container size: 30 GB
Set-GPRegistryValue -Name $gpoName -Key $regBase `
    -ValueName "SizeInMBs" -Type DWord -Value 30000

# Migrate existing local profiles to FSLogix on first logon
Set-GPRegistryValue -Name $gpoName -Key $regBase `
    -ValueName "DeleteLocalProfileWhenVHDShouldApply" -Type DWord -Value 1

# Name format: USERNAME_SID (more readable)
Set-GPRegistryValue -Name $gpoName -Key $regBase `
    -ValueName "FlipFlopProfileDirectoryName" -Type DWord -Value 1

Write-Host "FSLogix GPO settings applied to: $gpoName"

# Verify FSLogix is active and containers are mounted on remote RDS hosts
$rdsHosts = Get-ADComputer -SearchBase "OU=RDS,OU=Servers,DC=contoso,DC=com" `
    -Filter * | Select-Object -ExpandProperty Name

foreach ($host in $rdsHosts) {
    Invoke-Command -ComputerName $host -ScriptBlock {
        $svc = Get-Service -Name "frxsvc" -ErrorAction SilentlyContinue
        $reg = Get-ItemProperty "HKLM:\SOFTWARE\FSLogix\Profiles" -EA SilentlyContinue

        [PSCustomObject]@{
            Host          = $env:COMPUTERNAME
            ServiceStatus = $svc.Status
            Enabled       = $reg.Enabled
            VHDLocation   = $reg.VHDLocations
            MountedVHDs   = (Get-WmiObject Win32_LogicalDisk | Where-Object { $_.VolumeName -like "Profile*" }).Count
        }
    }
}

Host          : RDSHOST01
ServiceStatus : Running
Enabled       : 1
VHDLocation   : \\srv-profiles\FSLogix
MountedVHDs   : 12

Impression RDS : Easy Print et GPP¶

Easy Print : la solution sans driver¶

Avant Easy Print, chaque imprimante redirigée depuis le client RDS nécessitait l'installation du driver correspondant sur le serveur de session. Résultat : des serveurs RDS avec 80 drivers imprimante différents, des conflits, des Blue Screen of Death lors des mises à jour.

Easy Print résout ce problème en passant par un driver générique XPS côté serveur. L'imprimante est rendue sur le client via le mécanisme de redirection RDP — aucun driver tiers n'est installé sur le serveur.

Conditions requises :

• .NET Framework 3.0+ sur le serveur RDS (installé par défaut sur Server 2016+)
• Client RDP 6.1+ (Windows Vista et ultérieur — couvre 100 % des parcs actuels)

Activation via GPO :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host
                      └─ Printer Redirection

Paramètres à configurer :

Déploiement d'imprimantes réseau avec GPP et ciblage ILT¶

Pour pousser des imprimantes réseau spécifiques uniquement sur les serveurs de session RDS, utilisez les Group Policy Preferences avec le ciblage par nom de machine (Item-Level Targeting).

Chemin GPMC pour les GPP imprimantes :

User Configuration
  └─ Preferences
       └─ Control Panel Settings
            └─ Printers
                 └─ New > Shared Printer

Ciblage ILT pour les serveurs RDS :

Dans la GPP imprimante, cliquez sur Common > Targeting et ajoutez un filtre :

• Item : Computer Name — srv-rds-* (joker sur le nom des hôtes RDS)
• Ou : Organizational Unit — OU=RDS,OU=Servers,DC=contoso,DC=com

Clé registre pour la redirection d'impression¶

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
  fDisableCpm         = 0   (autoriser la redirection)
  fEnableSmartPrinter = 1   (Easy Print en priorité)

Vérification des imprimantes en session RDS¶

# List redirected printers active in current or remote RDS sessions
$rdsHost = "srv-rds-01"

Invoke-Command -ComputerName $rdsHost -ScriptBlock {
    # Get all sessions with active printer redirections
    $sessions = query session 2>&1 | Select-String "Active"

    Get-Printer | Where-Object { $_.Name -like "*redirected*" -or $_.PortName -like "TS*" } |
    Select-Object Name, DriverName, PortName, PrinterStatus |
    Format-Table -AutoSize
}

Name                          DriverName                PortName   PrinterStatus
----                          ----------                --------   -------------
Microsoft XPS Document Writer Remote Desktop Easy Print TS004      Normal
HP LaserJet P2035 (redirected) Remote Desktop Easy Print TS004     Normal

Sécurité RDS : NLA, TLS, certificat RDP¶

NLA : Network Level Authentication¶

NLA exige que l'utilisateur s'authentifie avant l'établissement de la session RDP complète. Sans NLA, la session RDP s'ouvre jusqu'à l'écran de connexion Windows, qui est accessible à quiconque peut joindre le port 3389 — même sans credentials valides.

NLA réduit la surface d'attaque sur deux points : il empêche les attaques par déni de service sur les sessions RDP ouvertes, et il bloque l'accès à l'écran de connexion Windows pour les comptes non authentifiés.

Chemin GPMC pour forcer NLA :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host
                      └─ Security
                           └─ Require user authentication for remote connections
                                by using Network Level Authentication

Valeur : Enabled

Clé registre :

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
  UserAuthentication = 1   (NLA obligatoire)

Forcer TLS 1.2+ pour les connexions RDP¶

Le protocole RDP peut utiliser différents niveaux de chiffrement. En production, on force TLS pour le transport.

Chemin GPMC :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host
                      └─ Security
                           └─ Require use of specific security layer for remote connections

Valeur : SSL (TLS 1.0+)

Pour restreindre davantage à TLS 1.2+ uniquement, le paramètre GPMC est insuffisant — il faut compléter via les paramètres Schannel (en dehors du scope RDS) ou via la politique de sécurité TLS au niveau OS.

Clé registre de base : HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services

Certificat RDP via GPO PKI¶

Par défaut, les hôtes RDS génèrent un certificat auto-signé. Ce certificat déclenche un avertissement sur chaque connexion client et ne peut pas être validé par la chaîne PKI d'entreprise.

Déploiement du certificat RDP par GPO (auto-enrollment PKI) :

Chemin GPMC :

Computer Configuration
  └─ Administrative Templates
       └─ Windows Components
            └─ Remote Desktop Services
                 └─ Remote Desktop Session Host
                      └─ Security
                           └─ Server authentication certificate template

Valeur : Nom du template de certificat PKI (ex : RDPServerTemplate)

Clé registre :

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
  CertTemplateName = "RDPServerTemplate"

Côté PKI, le template doit avoir :

• Usage étendu : Server Authentication (OID 1.3.6.1.5.5.7.3.1)
• SAN : DNS Name = %computername%.contoso.com
• Auto-enrôlement activé pour le groupe des serveurs RDS

Voir le chapitre Certificats et PKI pour la configuration du template et de l'auto-enrôlement.

Event IDs de référence pour la surveillance RDS¶

Pour les connexions RDP, l'Event 4624 est suffisant en audit basique. Filtrer sur LogonType = 10 pour isoler uniquement les sessions RDP.

Vérification sécurité post-déploiement¶

# Verify NLA, TLS, and certificate settings on RDS hosts
$rdsHosts = Get-ADComputer -SearchBase "OU=RDS,OU=Servers,DC=contoso,DC=com" `
    -Filter * | Select-Object -ExpandProperty Name

$report = foreach ($rdsh in $rdsHosts) {
    Invoke-Command -ComputerName $rdsh -ErrorAction SilentlyContinue -ScriptBlock {
        $regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services"
        $reg     = Get-ItemProperty $regPath -ErrorAction SilentlyContinue

        # Check current RDP certificate thumbprint
        $certThumb = (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" `
            -Name SSLCertificateSHA1Hash -EA SilentlyContinue).SSLCertificateSHA1Hash

        $cert = if ($certThumb) {
            Get-ChildItem Cert:\LocalMachine\My |
                Where-Object { $_.Thumbprint -eq [System.BitConverter]::ToString($certThumb).Replace("-","") } |
                Select-Object -First 1
        }

        [PSCustomObject]@{
            Host                = $env:COMPUTERNAME
            NLAEnforced         = $reg.UserAuthentication       # should be 1
            SecurityLayer       = $reg.SecurityLayer            # should be 2
            MinEncryptionLevel  = $reg.MinEncryptionLevel       # should be 3
            CertTemplate        = $reg.CertTemplateName
            CertExpiry          = $cert.NotAfter
            CertIssuer          = $cert.Issuer
        }
    }
}

$report | Format-Table -AutoSize

Host       NLAEnforced SecurityLayer MinEncryptionLevel CertTemplate      CertExpiry          CertIssuer
----       ----------- ------------- ------------------ ------------      ----------          ----------
RDSHOST01  1           2             3                  RDPServerTemplate 2025-04-01 00:00:00 CN=Contoso-CA
RDSHOST02  1           2             3                  RDPServerTemplate 2025-04-01 00:00:00 CN=Contoso-CA

# Extract failed RDP connection attempts from Security log (last 24h)
$rdsHost = "srv-rds-01"

Invoke-Command -ComputerName $rdsHost -ScriptBlock {
    $filter = @{
        LogName   = "Security"
        Id        = 4625
        StartTime = (Get-Date).AddHours(-24)
    }

    Get-WinEvent -FilterHashtable $filter -ErrorAction SilentlyContinue |
    ForEach-Object {
        $xml  = [xml]$_.ToXml()
        $data = $xml.Event.EventData.Data

        $logonType = ($data | Where-Object { $_.Name -eq "LogonType" }).'#text'

        # Filter on RemoteInteractive (10) only
        if ($logonType -eq "10") {
            [PSCustomObject]@{
                Time          = $_.TimeCreated
                Account       = ($data | Where-Object { $_.Name -eq "TargetUserName" }).'#text'
                Domain        = ($data | Where-Object { $_.Name -eq "TargetDomainName" }).'#text'
                SourceIP      = ($data | Where-Object { $_.Name -eq "IpAddress" }).'#text'
                FailureReason = ($data | Where-Object { $_.Name -eq "SubStatus" }).'#text'
            }
        }
    } | Sort-Object Time -Descending | Format-Table -AutoSize
}

Piège de production : désactiver le presse-papiers¶

Le scénario classique¶

Un RSSI décide de désactiver le presse-papiers RDS pour "éviter les exfiltrations de données". La GPO est déployée en une heure. fDisableClip = 1. Affaire classée côté sécurité.

Trois jours après, le service comptabilité appelle : ils ne peuvent plus copier les montants depuis leur ERP web vers Excel. Ils ont trouvé une solution : imprimer les écrans, les scanner, et retaper les données.

Le presse-papiers désactivé n'a pas bloqué l'exfiltration. Il a juste changé le vecteur — et créé une montagne de papier.

Pourquoi la restriction brutale échoue¶

Désactiver le presse-papiers bloque les vecteurs évidents mais pas les contournements :

• Impression puis numérisation (comme ci-dessus)
• Photos avec smartphone de l'écran
• Copie manuelle dans un email personnel via le webmail (si Internet n'est pas filtré)
• Envoi de fichiers par USB si la redirection de lecteurs n'est pas également bloquée

La restriction par presse-papiers seule donne une fausse impression de contrôle.

La bonne approche en production¶

Si vous devez tout de même restreindre le presse-papiers, faites-le avec un ciblage fin :

• Bloquer uniquement dans une direction : fDisableClipClientToServer = 1 (client → serveur) tout en autorisant fDisableClipServerToClient = 0 (serveur → client) — ou l'inverse selon le sens du risque
• Cibler uniquement les groupes à risque via GPO filtrée par groupe de sécurité AD, pas sur l'ensemble des serveurs RDS

Vérification globale post-déploiement¶

Checklist de validation RDS¶

# Full RDS GPO deployment validation — loopback, security, session limits, FSLogix
param(
    [Parameter(Mandatory)]
    [string[]]$RDSHosts,

    [string]$LogPath = "C:\Logs\RDS-Validation-$(Get-Date -Format 'yyyyMMdd').csv"
)

$results = foreach ($rdsh in $RDSHosts) {
    Invoke-Command -ComputerName $rdsh -ErrorAction SilentlyContinue -ScriptBlock {
        $ts  = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services"
        $gp  = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System"
        $fsl = "HKLM:\SOFTWARE\FSLogix\Profiles"

        $tsReg  = Get-ItemProperty $ts  -EA SilentlyContinue
        $gpReg  = Get-ItemProperty $gp  -EA SilentlyContinue
        $fslReg = Get-ItemProperty $fsl -EA SilentlyContinue

        [PSCustomObject]@{
            Host                    = $env:COMPUTERNAME
            # Loopback
            LoopbackMode            = $gpReg.UserPolicyMode       # 1=Merge, 2=Replace
            # Session timeouts (ms)
            MaxIdleTime             = $tsReg.MaxIdleTime
            MaxDisconnectionTime    = $tsReg.MaxDisconnectionTime
            # Security
            NLAEnforced             = $tsReg.UserAuthentication    # 1
            SecurityLayer           = $tsReg.SecurityLayer         # 2
            MinEncryptionLevel      = $tsReg.MinEncryptionLevel    # 3
            # Redirections
            DriveRedirectionBlocked = $tsReg.fDisableCdm          # 1
            EasyPrintEnabled        = $tsReg.fEnableSmartPrinter  # 1
            ClipboardBlocked        = $tsReg.fDisableClip         # 0 recommended
            # FSLogix
            FSLogixEnabled          = $fslReg.Enabled
            FSLogixVHDPath          = $fslReg.VHDLocations
            # Service
            FSLogixService          = (Get-Service frxsvc -EA SilentlyContinue).Status
        }
    }
}

$results | Export-Csv -Path $LogPath -NoTypeInformation -Encoding UTF8
$results | Format-Table -AutoSize
Write-Host "Report saved: $LogPath"

Host       LoopbackMode NLAEnforced SecurityLayer DriveRedirectionBlocked EasyPrintEnabled FSLogixEnabled FSLogixService
----       ------------ ----------- ------------- ----------------------- ---------------- -------------- --------------
RDSHOST01  1            1           2             1                       1                1              Running
RDSHOST02  1            1           2             1                       1                1              Running

Références croisées¶

• Bible GPO — Loopback Processing — fonctionnement détaillé du Loopback en mode Replace et Merge
• Bible GPO — Redirection de profils — profils itinérants, dossiers redirigés et interaction avec RDS
• Certificats et PKI via GPO — configuration du template RDP et de l'auto-enrôlement PKI