Configuration Manager 中远程连接配置文件的安全和隐私

在为客户端管理远程连接配置文件时，请使用下列最佳安全方案。

最佳安全方案	更多信息
手动指定用户设备相关性，而不是允许用户确定其主设备。 此外，不要启用基于使用情况的配置。	由于你必须启用“允许工作计算机的所有主要用户进行远程连接”然后才能部署远程连接配置文件，因此请始终手动指定用户设备相关性。 不考虑从用户或从极可信赖的设备中收集的信息。 如果部署远程连接配置文件，并且受信任的管理用户未指定用户设备相关性，则未授权用户可能会收到提升的权限，然后能够远程连接到计算机。 注意 如果确实启用基于使用情况的配置，则会通过未受 配置管理器 保护的状态消息收集此信息。 为了帮助减轻此威胁，请在客户端计算机和管理点之间使用服务器消息块 (SMB) 签名或 Internet 协议安全性 (IPsec)。
限制站点服务器计算机上的本地管理员权限。	在站点服务器上具有本地管理权限的用户可向 配置管理器 自动创建和维护的“远程 PC 连接”安全组中手动添加成员。 由于添加到此组的成员会接收远程桌面权限，因此这可能会导致权限提升。

如果用户从公司门户中发起与工作计算机的连接，则会下载一个扩展名为 .rdp 或 .wsrdp 的文件，其中包含发起“远程桌面”会话所需的设备名称和远程桌面网关服务器名称。 文件扩展名取决于设备的操作系统。 例如，Windows® 7 和 Windows 8 操作系统使用 .rdp 文件，Windows 8.1 使用 .wsrdp 文件。

用户可选择打开或保存 .rdp 文件。 如果用户选择打开 .rdp 文件，则文件可能存储在 Web 浏览器缓存中，具体情况视为浏览器配置的保留设置而定。 如果用户选择保存文件，则不会将文件存储在浏览器缓存中。 系统会保存文件，直至用户将其手动删除为止。

会自动下载并以本地方式保存 .wsrdp 文件。 用户下次运行“远程桌面”会话时，会覆盖此文件。

在配置远程连接配置文件之前，请考虑隐私要求。