Semua pengguna administrator sistem memiliki satu perhatian yang sangat tulus – mengamankan kredensial melalui koneksi Remote Desktop . Ini karena malware dapat menemukan jalannya ke komputer lain melalui koneksi desktop dan berpotensi mengancam data Anda. Itulah sebabnya OS Windows^{(Windows OS)} menampilkan peringatan “ Pastikan Anda mempercayai PC ini, menghubungkan ke komputer yang tidak dipercaya dapat membahayakan PC Anda^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} ” ketika Anda mencoba menghubungkan ke desktop jarak jauh.

Dalam posting ini, kita akan melihat bagaimana fitur Remote Credential Guard , yang telah diperkenalkan di  Windows 10 , dapat membantu melindungi kredensial desktop jarak jauh di Windows 10 Enterprise dan Windows Server .

Penjaga Kredensial Jarak Jauh^{(Remote Credential Guard)} di Windows 10

Fitur ini dirancang untuk menghilangkan ancaman sebelum berkembang menjadi situasi yang serius. Ini membantu Anda melindungi kredensial Anda melalui koneksi Desktop Jarak Jauh dengan mengarahkan kembali permintaan Kerberos ke perangkat yang meminta koneksi. Ini juga memberikan pengalaman masuk tunggal untuk sesi Desktop Jarak Jauh .^{(Remote Desktop)}

Jika terjadi kemalangan di mana perangkat target disusupi, kredensial pengguna tidak diekspos karena kredensial dan turunan kredensial tidak pernah dikirim ke perangkat target.

Modus operandi Remote Credential Guard sangat mirip dengan perlindungan yang ditawarkan oleh Credential Guard pada mesin lokal kecuali Credential Guard juga melindungi kredensial domain yang disimpan melalui Credential Manager .

Seseorang dapat menggunakan Remote Credential Guard dengan cara berikut-

1. Karena kredensial Administrator sangat istimewa, mereka harus dilindungi. Dengan menggunakan Remote Credential Guard , Anda dapat yakin bahwa kredensial Anda dilindungi karena tidak mengizinkan kredensial untuk melewati jaringan ke perangkat target.
2. Karyawan Helpdesk^(Helpdesk) di organisasi Anda harus terhubung ke perangkat yang bergabung dengan domain yang dapat disusupi. Dengan Remote Credential Guard , karyawan helpdesk dapat menggunakan RDP untuk terhubung ke perangkat target tanpa mengorbankan kredensial mereka ke malware.

Persyaratan perangkat keras dan perangkat lunak

Untuk mengaktifkan kelancaran fungsi Remote Credential Guard , pastikan persyaratan klien dan server Remote Desktop berikut terpenuhi.

1. Klien Desktop Jarak Jauh^{(Remote Desktop Client)} dan server harus bergabung ke domain Direktori Aktif
2. Kedua perangkat harus bergabung ke domain yang sama, atau server Desktop Jarak Jauh^{(Remote Desktop)} harus bergabung ke domain dengan hubungan kepercayaan ke domain perangkat klien.
3. Otentikasi Kerberos seharusnya diaktifkan.
4. Klien Desktop Jarak Jauh^{(Remote Desktop)} harus menjalankan setidaknya Windows 10 , versi 1607 atau Windows Server 2016 .
5. Aplikasi Remote Desktop Universal Windows Platform tidak mendukung Remote Credential Guard jadi, gunakan aplikasi Windows Remote Desktop klasik .

Aktifkan Remote Credential Guard melalui Registry

Untuk mengaktifkan Remote Credential Guard pada perangkat target, buka Registry Editor dan buka kunci berikut:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Tambahkan nilai DWORD baru bernama DisableRestrictedAdmin . Tetapkan nilai pengaturan registri ini ke 0 untuk mengaktifkan Remote Credential Guard .

Tutup Penyunting Registri.

Anda dapat mengaktifkan Remote Credential Guard dengan menjalankan perintah berikut dari CMD yang ditinggikan:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Aktifkan Penjaga Kredensial Jarak Jauh^{(Remote Credential Guard)} dengan menggunakan Kebijakan Grup^{(Group Policy)}

Dimungkinkan untuk menggunakan Remote Credential Guard pada perangkat klien dengan menetapkan Kebijakan Grup^{(Group Policy)} atau dengan menggunakan parameter dengan Remote Desktop Connection .

Dari Konsol Manajemen Kebijakan Grup^{(Group Policy Management Console)} , navigasikan ke Computer Configuration > Administrative Templates > System > Credentials Delegation.

Sekarang, klik dua kali Batasi delegasi kredensial ke server jauh^{(Restrict delegation of credentials to remote servers)} untuk membuka kotak Properties-nya.

Sekarang di kotak Gunakan mode terbatas berikut^{(Use the following restricted mode)} , pilih Memerlukan Penjaga Kredensial Jarak Jauh. ^{( Require Remote Credential Guard. )}Opsi lain Mode Admin Terbatas^{(Restricted Admin mode)} juga ada. Signifikansinya adalah ketika Remote Credential Guard tidak dapat digunakan, ia akan menggunakan mode Admin Terbatas .^{(Restricted Admin)}

Bagaimanapun, mode Remote Credential Guard maupun Restricted Admin tidak akan mengirim kredensial dalam teks yang jelas ke server Remote Desktop .

Izinkan Remote Credential Guard^{(Allow Remote Credential Guard)} , dengan memilih opsi ' Prefer Remote Credential Guard '.

Klik OK^{(Click OK)} dan keluar dari Konsol Manajemen Kebijakan Grup^{(Group Policy Management Console)} .

Sekarang, dari prompt perintah, jalankan gpupdate.exe /force untuk memastikan bahwa objek Kebijakan Grup^{(Group Policy)} diterapkan.

Gunakan Remote Credential Guard^{(Use Remote Credential Guard)} dengan parameter ke Remote Desktop Connection

Jika Anda tidak menggunakan Kebijakan Grup^{(Group Policy)} di organisasi Anda, Anda dapat menambahkan parameter remoteGuard saat Anda memulai Remote Desktop Connection untuk mengaktifkan Remote Credential Guard untuk koneksi tersebut.

mstsc.exe /remoteGuard

Hal-hal yang harus Anda ingat saat menggunakan Remote Credential Guard

1. Remote Credential Guard tidak dapat digunakan untuk menyambungkan ke perangkat yang digabungkan ke Azure Active Directory .
2. Remote Desktop Credential Guard hanya berfungsi dengan protokol RDP .
3. Remote Credential Guard tidak termasuk klaim perangkat. Misalnya, jika Anda mencoba mengakses server file dari jarak jauh dan server file memerlukan klaim perangkat, akses akan ditolak.
4. Server dan klien harus mengautentikasi menggunakan Kerberos .
5. Domain harus memiliki hubungan kepercayaan, atau klien dan server harus bergabung ke domain yang sama.
6. Remote Desktop Gateway tidak kompatibel dengan Remote Credential Guard .
7. Tidak ada kredensial yang bocor ke perangkat target . Namun, perangkat target masih memperoleh Tiket ^(Tickets)Layanan Kerberos^{(Kerberos Service)} sendiri.
8. Terakhir, Anda harus menggunakan kredensial pengguna yang masuk ke perangkat. Menggunakan kredensial yang disimpan atau kredensial yang berbeda dari milik Anda tidak diizinkan.

Anda dapat membaca lebih lanjut tentang ini di Technet .

Terkait^(Related) : Cara menambah jumlah Remote Desktop Connections^{(increase the number of Remote Desktop Connections)} di Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very genuine concern – securing credentials over a Remote Desktop connеction. This is becauѕe malware can find its way to any other computer oνer the desktop connectіon and pose а potential threat to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Tambah jumlah Remote Desktop Connections di Windows 11/10

• Kunci Windows macet setelah beralih dari Remote Desktop session

• Tidak dapat menyalin Paste di Remote Desktop Session di Windows 10

• RDP connection authentication error; Function yang diminta tidak didukung

• Create Remote Desktop Connection shortcut di Windows 11/10

• Perform CTRL+ALT+DEL di komputer jarak jauh menggunakan Remote Desktop

• Pertanyaan Sederhana: Apa Itu Koneksi Desktop Jarak Jauh?

• RDP connection Putuskan saat Anda mengaktifkan suara pada Remote Desktop

• Connect iPhone ke Windows 10 PC menggunakan Microsoft Remote Desktop

• Best Free Remote Desktop Software untuk Windows 10

• Ammyy Admin: Portable Secure Zero-Config Remote Desktop Software

• Remote Desktop Services menyebabkan High CPU di Windows 10

• Microsoft Remote Desktop Assistant untuk Windows 10

• Ubah listening port untuk Remote Desktop

• Command Line Parameters untuk Remote Desktop Connections

• Fix Remote Desktop connection Masalah & Kesalahan pada Windows 10

• Untuk masuk dari jarak jauh, Anda perlu masuk melalui Remote Desktop Services

• Aplikasi Remote Desktop vs. TeamViewer Touch - Manakah Aplikasi yang Lebih Baik?

• Cara Mengkonfigurasi Remote Desktop Melalui Router

• Cara menggunakan aplikasi Remote Desktop di Windows 10