Autentisering och kryptering av fjärrskrivbordstjänster

Microsoft.Windows.Server.10.0.RemoteDesktopServices.NewUnitMonitor_24 (UnitMonitor)

Det här objektet övervakar autentisering och kryptering av fjärrskrivbordstjänster.

Knowledge Base article:

Sammanfattning

Transport Layer Security (TLS) 1.0 förbättrar sessionernas säkerhet genom serverautentisering och kryptering av kommunikationen på värdservern för fjärrskrivbordssessionen. Värdserver för fjärrskrivbordssession och klientdatorn måste konfigureras korrekt för att klienter ska kunna genomföra fjärranslutningar och så att TLS kan tillhandahålla förbättrad säkerhet. Exempelvis krävs det ett certifikat för att autentisera en värdserver för fjärrskrivbordssession när SSL (TLS 1.0) används för att säkra kommunikationen mellan en klient och en värdserver för fjärrskrivbordssession vid fjärrskrivbordsprotokoll-anslutningar (RDP).

Lösningar

Lös problemet genom att kontrollera händelse-ID och granska felsökningsinformationen för händelsen i avsnitten nedan.

Stegvisa instruktioner för händelse-ID:1054

Så här löser du problemet:

Bekräfta att certifikatet som värdservern för fjärrskrivbordssession är konfigurerad att använda till TLS 1.0 (SSL) inte innehåller korrekt värde för förbättrad nyckelanvändning (EKU). Certifikatet måste antingen innehålla ett EKU för serverautentisering (1.3.6.1.5.5.7.3.1) eller inget EKU.
Om certifikatet inte uppfyller dessa krav installerar du ett alternativt certifikat på den värdserver för fjärrskrivbordssession som inte uppfyller kraven så att du kan använda certifikatet till TLS 1.0 (SSL).

Mer information om certifikatkrav finns i Certifikatkrav nedan i detta avsnitt.

För att utföra dessa procedurer måste du vara medlem i administratörsgruppen, eller delegerats motsvarande behörighet.

Bekräfta att certifikatet som värdservern för fjärrskrivbordssession är konfigurerad för, och som används i TLS 1.0 (SSL), inte innehåller korrekt värde för förbättrad nyckelanvändning (EKU).

Gör så här för att bekräfta att certifikatet inte innehåller korrekt värde för förbättrad nyckelanvändning (EKU):

1. Öppna Konfiguration av värdserver för fjärrskrivbordssession. Öppna Konfiguration av värdserver för fjärrskrivbordssession genom att klicka på Start, peka på Administrationsverktyg, peka på Fjärrskrivbordstjänster och sedan klicka på Konfiguration av värdserver för fjärrskrivbordssession.

2. Högerklicka på anslutningen i informationsfönstret under Anslutningar (exempelvis RDP-tcp) och klicka sedan på Egenskaper.

3. På fliken Allmänt klickar du på Välj.

4. I dialogrutan Välj certifikat noterar du vilket certifikat som är markerat. Klicka sedan på Visa certifikat.

5. I dialogrutan Certifikat klickar du på Information och markerar sedan EKU-värdet. Certifikatet måste antingen innehålla ett EKU för serverautentisering (1.3.6.1.5.5.7.3.1) eller inget EKU. Om certifikatet inte innehåller något av dessa värden installerar du ett alternativt certifikat på värdservern för fjärrskrivbordssession, enligt anvisningarna i Att importera ett giltigt certifikat till värdserver för fjärrskrivbordssession och Att konfigurera värdserver för fjärrskrivbordssession för certifikat till TLS 1.0 (SSL).

6. Klicka på OK för att stänga dialogrutan Certifikat.

7. Klicka på OK för att stänga dialogrutan Välj certifikat.

8. Klicka på OK för att stänga dialogrutan Egenskaper för anslutningen.

Installera ett certifikat på sessionens värdserver

Viktigt! Du bör endast installera certifikat från tillförlitliga källor. Att installera ett förändrat eller otillförlitligt certifikat kan äventyra säkerheten i alla systemkomponenter som använder installerade certifikat.

Att installera ett certifikat på värdservern för fjärrskrivbordssession:

1. Välj det/de certifikat som du vill installera och dubbelklicka sedan på dem. Certifikatet finns eventuellt på värdservern för fjärrskrivbordssession eller på en plats för delning.

2. När du får frågan om du vill öppna filen som innehåller certifikatet, klickar du på Öppna.

3. Gå till dialogrutan Certifikategenskaper och flikenAllmänt, klicka på Installera certifikat.

4. Gå till sidan Välkommen till guiden Importera certifikat, klicka på Nästa.

5. Gå till sidan Certifikatarkiv. Gör något av följande:

6. Om certifikatet placeras automatiskt i ett certifikatarkiv som är baserat på certifikattyp, klickar du på Välj certifikatarkiv automatiskt utifrån certifikattyp.

7. Om du vill ange var certifikatet lagras, väljer du Placera alla certifikat i nedanstående arkiv och klicka sedan på Bläddra. Gå till Välj certifikatarkiv. Klicka på certifikatarkivet som du vill använda. Klicka sedan på OK.

8. Gå till sidan Certifikatarkiv. Klicka påNästa.

9. Gå till sidan Välkommen till guiden Importera certifikat, klicka sedan på Slutför.

När du har installerat ett certifikat måste du ange var det ska användas av värdservern för fjärrskrivbordssession, enligt anvisningarna i följande procedur.

Konfigurera sessionens värdserver för att använda ett certifikat till TLS 1.0 (SSL).

Vi rekommenderar att du använder snapin-modulen Konfiguration av värdserver för fjärrskrivbordssession när du anger vilket certifikat som ska användas av sessionens värdserver för serverautentisering och kryptering. Om du använder Konfiguration av värdserver för fjärrskrivbordssession när du gör ett försök att installera ett certifikat som inte uppfyller kraven som anges i Certifikatkrav senare i detta avsnitt, kommer certifikatet inte att installeras.

Att konfigurera sessionens värdserver för att använda ett certifikat i TLS 1.0 (SSL).

2. Högerklicka på anslutningen i informationsfönstret under Anslutningar (exempelvis RDP-tcp) och klicka sedan på Egenskaper.

3. På fliken Allmänt klickar du på Välj.

4. I dialogrutan Välj certifikat klickar du på certifikatet som du vill använda. Klicka sedan på OK.

Certifikatkrav

Ett certifikat som ska användas av en värdserver för fjärrskrivbordssession för serverautentisering och kryptering måste uppfylla följande krav:

Certifikatet måste vara ett datorcertifikat.
Certifikatet måste ha en motsvarande privat nyckel. Behållare för nyckeln måste vara tillgänglig för NT INSTANS\Network Service-kontot.
Certifikatet måste antingen innehålla ett EKU för serverautentisering (1.3.6.1.5.5.7.3.1) eller inget EKU.
Följande värde för nyckelanvändning måste anges för certifikatet: CERT_KEY_ENCIPHERMENT_KEY_USAGE
Certifikatet måste vara giltigt. Vi rekommenderar att certifikatet är giltigt ett år från installationsdatumet.

Stegvisa instruktioner för följande händelse-ID: 1055, 1051

Så här löser du problemet:

Installera ett certifikat på värdserver för fjärrskrivbordssessionen som uppfyller kraven för ett servercertifikat. Mer information om certifikatkrav finns i Certifikatkrav nedan i detta avsnitt.
Konfigurera värdserver för fjärrskrivbordssession för att använda ett certifikat för TLS 1.0 (SSL).

För att utföra dessa procedurer måste du vara medlem i administratörsgruppen, eller delegerats motsvarande behörighet.

Installera ett certifikat på sessionens värdserver

Att installera ett certifikat på värdservern för fjärrskrivbordssession:

1. Gå till värdservern för fjärrskrivbordssession. Välj det/de certifikat som du vill installera och dubbelklicka sedan på dem. Certifikatet finns eventuellt på värdservern eller på en plats för delning.

2. När du får frågan om du vill öppna filen som innehåller certifikatet, klickar du på Öppna.

3. Öppna dialogrutan Certifikategenskaper, gå till fliken Allmänt och klicka på Installera certifikat.

4. Gå till sidan Välkommen till guiden Importera certifikat, klicka på Nästa.

5. Gå till sidan Certifikatarkiv. Gör något av följande:

6. Om certifikatet placeras automatiskt i ett certifikatarkiv som är baserat på certifikattyp, klickar du på Välj certifikatarkiv automatiskt utifrån certifikattyp.

8. Gå till sidan Certifikatarkiv. Klicka påNästa.

9. Gå till sidan Välkommen till guiden Importera certifikat, klicka sedan på Slutför.

När du har installerat ett certifikat måste du ange var det ska användas av värdservern för fjärrskrivbordssession, enligt anvisningarna i följande procedur.

Konfigurera värdservern för fjärrskrivbordssession för att använda ett certifikat till TLS 1.0 (SSL).

Konfigurera värdserver för fjärrskrivbordssession för att använda ett certifikat till TLS 1.0 (SSL).

1. Öppna Konfiguration av värdserver för fjärrskrivbordssession. Öppna Konfiguration av värdserver för fjärrskrivbordssession genom att klicka på Start, peka på Administrationsverktyg, peka på Fjärrskrivbordstjänster och klicka sedan på Konfiguration av värdserver för fjärrskrivbordssession.

2. Högerklicka på anslutningen i informationsfönstret under Anslutningar (exempelvis RDP-tcp) och klicka sedan på Egenskaper.

3. På fliken Allmänt klickar du på Välj.

4. I dialogrutan Välj certifikat klickar du på certifikatet som du vill använda. Klicka sedan på OK.

Certifikatkrav

Ett certifikat som ska användas av en värdserver för fjärrskrivbordssession för serverautentisering och kryptering måste uppfylla följande krav:

Certifikatet måste vara ett datorcertifikat.
Certifikatet måste ha en motsvarande privat nyckel. Behållare för nyckeln måste vara tillgänglig för NT INSTANS\Network Service-kontot.
Certifikatet måste antingen innehålla ett EKU för serverautentisering (1.3.6.1.5.5.7.3.1) eller inget EKU.
Följande värde för nyckelanvändning måste anges för certifikatet: CERT_KEY_ENCIPHERMENT_KEY_USAGE.
Certifikatet måste vara giltigt. Vi rekommenderar att certifikatet är giltigt ett år från installationsdatumet.

Stegvisa instruktioner för möjliga lösningar för händelse-ID: 1133

Lös det här problemet genom att ange licensieringsalternativ för fjärrskrivbord på värdservern för fjärrskrivbordssession.

För att utföra dessa procedurer måste du vara medlem i administratörsgruppen, eller delegerats motsvarande behörighet.

Ta bort ett certifikat på värdservern för fjärrskrivbordssession

Gör så här för att ta bort ett certifikat på värdservern för fjärrskrivbordssession:

1. Öppna snapin-modulen för certifikat på värdservern för fjärrskrivbordssession. Öppna snapin-modulen för certifikat genom att klicka på Start, klicka på Kör, skriv mmc och klicka sedan på Retur.

2. Klicka på Lägg till/ta bort snapin-moduler i menyn Arkiv.

3. Välj dialogrutan Lägg till eller ta bort snapin-moduler, klicka påCertifikat och sedan på Lägg till.

4. Välj dialogrutan Datorkonto och klicka sedan på Nästa.

5. Klicka på Slutför och klicka sedan på OK.

6. ExpanderaCertifikat och expandera därefter certifikatarkivet med certifikatet som ska tas bort.

7. Högerklicka på certifikatet och klicka därefter på Ta bort.

8. Klicka påJa för att bekräfta att du vill ta bort certifikatet.

När du har tagit bort ett certifikat måste du starta om tjänsten för fjärrskrivbordstjänster enligt anvisningarna i följande procedur.

Starta om tjänststatus för fjärrskrivbordstjänster

Så här gör du för att starta om tjänststatus för fjärrskrivbordstjänster:

1. Öppna snapin-modulen för tjänster på värdservern för fjärrskrivbordssession. Öppna snapin-modulen för tjänster genom att klicka på Starta, peka på Administrationsverktyg och sedan klicka på Tjänster.

2. Om dialogrutan User Account Control öppnas bekräftar du att åtgärden som visas är den du vill ha. Klicka sedan på Ja.

3. Öppna fönstret Tjänster och högerklicka på Fjärrskrivbordslicensiering. Klicka sedan på Starta om.

4. Om du blir ombedd att starta om andra tjänster, klickar du på Ja.

5. Bekräfta att Statuskolumnen för tjänststatus för fjärrskrivbordstjänster anges som Startad.

Stegvisa instruktioner för följande händelse-ID: 1058, 1057

Du löser problemet genom att tilldela mera minne. Om problemet kvarstår kontaktar du Microsofts kundservice och support. Mer information om att kontakta CSS finns i Supportalternativ från Microsoft Services ( http://go.microsoft.com/fwlink/?LinkId=52267).

Ett sätt att öka tillgängligt minne är att kontrollera om det finns några program eller processer som körs på sessionens värdserver som kan stängas. Använd Aktivitetshanteraren för att ta reda på vilka processer som använder mest minne och för att avsluta dessa processer.

Du måste vara medlem i den lokala gruppen Administratörer eller ha tilldelats motsvarande behörighet för att utföra den här proceduren.

Gör så här för att frigöra minne på värdservern för fjärrskrivbordssession genom att använda Aktivitetshanteraren:

1. Klicka på ett tomt område i aktivitetsfältet på värdservern för fjärrskrivbordsessionen och klicka på Starta Aktivitetshanteraren.

2. Klicka på fliken Processer.

3. Kontrollera att kolumnerna Användarnamn och Privat arbetsminne visas. Om kolumnerna inte visas, går du till menyn Visa och klickar på Välj kolumner, markerar kryssrutorna Användarnamn och Privat arbetsminne. Klicka sedan på OK.

4. Gå till flikens nedre del och markera kryssrutan i Visa processer från alla användare.

5. Om du vill sortera processerna efter minnesanvändning, klickar du på kolumnrubriken Privat arbetsminne.

6. Undersök om du kan avsluta någon eller några av de minneskrävande processerna.

7. Du avslutar en process genom att klicka på processnamnet och sedan klickar du på Avsluta process.

8. Klicka på Avsluta process för att bekräfta att du vill avsluta processen.

Om du inte lyckas frigöra minne via aktivitetshanteraren, eller om problemet kvarstår efter att du frigjort minne, kan du starta om värdservern för fjärrskrivbordssessionen.

Stegvisa instruktioner för händelse-ID: 1062

Du löser problemet genom att förändra certifikatmallen som Active Directory-certifikattjänster (AD CS) använder som grund för servercertifikat, som är registrerade på värdservrar för fjärrskrivbordssessioner. Certifikatmallen måste ändras så att certifikatets alternativa ämnesnamn matchar DNS-namnet på värdservern för fjärrskrivbordssession.

För att utföra den här proceduren måste du vara medlem i gruppen Företagsadministratörer eller Domänadministratörer eller ha fått motsvarande behörighet.

Certifikatmallen måste ändras så att certifikatets alternativa ämnesnamn matchar DNS-namnet på värdservern för fjärskrivbordssession.

1. Gå till datorn där Active Directory-certifikattjänster är installerade och öppna snapin-moduler för certifikatmallar. Öppna snapin-modulen för certifikatmallar genom att klicka på Start, klicka på Kör, skriv mmc och klicka sedan på RETUR.

2. Klicka på Lägg till/ta bort snapin i menyn Arkiv.

3. Välj dialogrutan Lägg till eller ta bort snapin-moduler, klicka på Certifikatmallar, klicka på Lägg till och sedan på OK.

4. Klicka på Certifikatmallar i konsolträdet.

5. Högerklicka i resultatfönstret på den certifikatmall som utgör grund för certifikaten som är registrerade i värdservrar för fjärrskrivbordssession, och klicka sedan på Egenskaper.

6. På fliken Ämnesnamn kontrollerar du att Skapa utifrån följande Active Directory-information är markerad.

7. Under rubriken Ämnesnamnets format klickar du på Fullständigt unikt namn.

8. Under rubriken Ta med följande information i alternativt ämnesnamn väljer du DNS-namn i kryssrutan.

9. Klicka på OK för att stänga dialogrutan Egenskaper för certifikatmallen.

10. Aktivera tjänsten Konfiguration av fjärrskrivbord på värdservern för fjärrskrivbordssession. Du startar om tjänsten Konfiguration av fjärrskrivbord genom att klicka på Start, klicka på Kör, sedan skriver du tjänster.msc och trycker sedan på RETUR. I kolumnen Namn för tjänstens snapin-modul högerklickar du på Konfiguration av fjärrskrivbord och klickar sedan på Starta om.

11. Starta om datorn, om försöket att enbart starta om tjänsten misslyckas. Detta tvingar alla relaterade och beroende tjänster att starta om.

Stegvisa instruktioner för händelse-ID: 1064

Det här felmeddelandet skickas ut när Certifikatutfärdaren har utfärdat ett certifikat till värdservern för fjärrskrivbordssession, som baseras på en certifikatmall som är angiven i Grupprincip, samt när ett av följande villkor har uppstått:

Den certifikatmallens korrekta namn är inte angivet i Grupprincip.
Behörigheterna på certifikatmallen tillåter inte att värdservern för fjärrskrivbordssession registreras på denna typ av certifikat.
Certifikatet är inte giltigt för begärd användning.
Certifikatmallen finns inte.
Certifikat som baseras på certifikatmall utfärdas inte till datorer.

Grupprincipinställningarna i Certifikatmall för serverautentisering gör att du kan ange namnet på certifikatmallen som avgör vilket certifikat som används för autentisering av värdservern vid SSL- eller TLS 1.0-kryptering. Om du anger certifikatmallens namn så görs ett automatisk val av certifikat. När du angett namnet på en certifikatmall görs ett urval av certifikat som skapats med hjälp av mallen, och ett av de kvalificerade certifikaten väljs ut automatiskt.

Certifikatmallens korrekta namn är inte angivet i Grupprincip

Kontrollera att certifikatmallens korrekta namn är angivet i Grupprincip genom att använda konsolen Grupprinciphantering (GPMC).

För att kunna utföra denna procedur måste du vara medlem i Domänadministratörer, Företagsadministratörer eller gruppen Skapare och ägare av grupprincip eller ha tilldelats motsvarande behörighet.

Obs! Du hanterar Grupprincip på en Windows Server-baserad domänkontrollant genom att först lägga till konsolen Grupprinciphantering (GPMC).

Så här kontrollerar du att certifikatmallens korrekta namn är angivet i Grupprincip:

1. Starta GPMC. Gör detta genom att klicka på Start, peka på Administrationsverktyg och sedan klicka på Grupprinciphantering.

2. Leta reda på den organisationsenhet som du vill redigera i det vänstra fönstret.

3. Ändra ett befintligt grupprincipobjekt (GPO) för organisationsenheten genom att expandera organisationsenheten och sedan klicka på grupprincipobjektet.

4. Klicka på fliken Inställningar i det högra fönstret.

5. Gå till det vänstra fönstret under Datorkonfiguration och expandera Administrativa mallar, expandera Windows komponenter, expandera Fjärrskrivbordstjänster, expandera Värd för fjärrskrivbordssession och klicka sedan på Säkerhet.

6. Högerklicka på Certifikatmall för serverautentisering i det högra fönstret och klicka sedan på Egenskaper.

7. Gå till fliken Inställningar och kontrollera om Aktiverad är markerad och om det angivna namnet i Certifikatmallens namn är korrekt och klicka sedan på OK.

8. Om alternativet Aktiverad inte är markerat går du till avsnittsrubriken Ange korrekt certifikatmall i Grupprincip.

Behörigheterna i certifikatmallen tillåter inte att värdservern för fjärrskrivbordssession registreras på denna typ av certifikat.

Kontot i en värdserver för fjärrskrivbordssession måste ha behörigheter i Registrera för att kunna läsa in rätt certifikatmallar.

För att utföra den här proceduren måste du vara medlem i gruppen Företagsadministratörer eller Domänadministratörer eller ha fått motsvarande behörighet.

Så här kontrollerar du vilka behörigheter som värdservern har beviljats för fjärrskrivbordsession i certifikatmallarna.

1. Gå till datorn där Active Directory-certifikattjänster (AD CS) är installerade och öppna snapin-moduler för certifikatmallar. Öppna snapin-modulen för certifikatmallar genom att klicka på Start, klicka på Kör, skriv mmc och klicka sedan på RETUR.

2. Klicka på Lägg till/ta bort snapin-moduler i menyn Arkiv.

3. Välj dialogrutan Lägg till eller ta bort snapin-moduler, klicka på Certifikatmallar, klicka på Lägg till och sedan på OK.

4. Klicka på Certifikatmallar i konsolträdet.

5. Högerklicka i resultatfönstret på certifikatmallen som utgör grund för certifikaten som är registrerade i värdservrar för fjärrskrivbordssession, och klicka sedan på Egenskaper.

6. Gå till fliken Säkerhet under Grupp- eller användarnamn, och kontrollera om värdservern (eller en säkerhetsgrupp som innehåller värdservern) visas i listan, och klicka sedan på den. Ange värdserver för fjärrskrivbordssession (eller säkerhetsgrupp som innehåller värdserver för fjärrskrivbordssession). Gå till Behörigheter och kontrollera att kryssrutan som aktiverar Registrera behörigheter är markerad och klicka sedan på OK.

7. Om kryssrutan som aktiverar Registrera behörigheter inte är markerad, går du till avsnittet med rubriken Bevilja Registrera behörigheter för certifikatmallen till värdservern.

Certifikatet är inte giltigt för begärd användning.

Certifikatmallen som Active Directory-certifikattjänster (AD CS) använder som grund för servercertifikat, som är registrerade på värdservrar för fjärrskrivbordssessioner, måste innehålla Förbättrad nyckelanvändning (EUK) i serverautentisering.

För att utföra den här proceduren måste du vara medlem i gruppen Företagsadministratörer eller Domänadministratörer eller ha fått motsvarande behörighet.

Så här kontrollerar du att tillägget nyckelanvändning vid serverautentisering är angivet i certifikatmallen.

1. Gå till en dator där Active Directory-certifikattjänster är installerade och öppna snapin-moduler för certifikatmallar. Öppna snapin-modulen för certifikatmallar genom att klicka på Start, klicka på Kör, skriv mmc och klicka sedan på RETUR.

2. Klicka på Lägg till/ta bort snapin-moduler i menyn Arkiv.

3. Välj dialogrutan Lägg till eller ta bort snapin-moduler, klicka på Certifikatmallar, klicka på Lägg till och sedan på OK.

4. Klicka på Certifikatmallar i konsolträdet.

5. Högerklicka i resultatfönstret på certifikatmallen som utgör grund för certifikaten som är registrerade i värdservrar för fjärrskrivbordssession, och klicka sedan på Egenskaper.

6. Öppna fliken Tillägg under Tillägg som ingår i den här mallen, klicka på Nyckelanvändning och klicka sedan på Redigera.

7. Kontrollera att tillägget för nyckelanvändning vid Autentisera server är markerat, och klicka sedan på OK för att stänga dialogrutan Egenskaper för certifikatmallen.

8. Om tillägget nyckelanvändning vid serverautentisering inte är markerat, kan du läsa avsnittet med rubriken Lägg till EKU för Autentisera server i certifikatmallen.

Certifikatmallen finns inte

För att utföra den här proceduren måste du vara medlem i gruppen Företagsadministratörer eller Domänadministratörer eller ha fått motsvarande behörighet.

Gör så här för att kontrollera om certifikatmallen existerar:

2. Klicka på Lägg till/ta bort snapin-moduler i menyn Arkiv.

3. Välj dialogrutan Lägg till eller ta bort snapin-moduler, klicka på Certifikatmallar, klicka på Lägg till och sedan på OK.

4. Klicka på Certifikatmallar i konsolträdet.

5. Gå till resultatfönstret med listan över certifikatmallar. Leta reda på den certifikatmall som används för certifikaten som är registrerade i värdservrar för fjärrskrivbordssessionen.

6. Om certifikatmallen inte visas går du till avsnittet med rubriken Skapa en ny certifikatmall.

Certifikat som baseras på certifikatmallen utfärdas inte till datorer

Certifikatutfärdaren kan enbart utfärda certifikat som baseras på certifikatmallar om certifikatmallen läggs till i behållaren för certifikatmallar i snapin-modulen för certifikatutfärdare.

För att utföra den här proceduren måste du vara medlem i gruppen Företagsadministratörer eller Domänadministratörer eller ha fått motsvarande behörighet.

Gör så här för att ta reda på om certifikatmallen har lagts till i behållaren för certifikatmallar i snapin-modulen för certifikatutfärdare:

1. Gå till en dator där Active Directory-certifikattjänster är installerade, klicka på Start, klicka på Kör, skriv mmc och klicka sedan på RETUR.

2. Klicka på Lägg till/ta bort snapin-moduler i menyn Arkiv.

3. Välj dialogrutan Lägg till eller ta bort snapin-moduler, klicka på Certifikatutfärdare, klicka på Lägg till och sedan på OK.

4. Välj den certifikatutfärdare som du vill hantera och klicka sedan på Slutför.

5. Expandera Certifikatmallar och kontrollera sedan om rätt certifikatmall visas i listan. Certifikatets namn bör matcha namnet som är specificerat i inställningen Certifikatmall för serverautentisering i Grupprincip. Mer information finns i Så här kontrollerar du att certifikatets korrekta namn är angivet i grupprincip, tidigare i detta avsnitt.

6. Om rätt certifikatmall inte visas i listan, finns mer information i avsnittet med rubriken Lägg till certifikatmall i behållaren för certifikatmallar.

Stegvisa instruktioner för möjliga lösningar för händelse-ID: 1059

Så här löser du problemet:

Kontrollera certifikatarkivet för certifikatet som värdservern för fjärrskrivbordssession är konfigurerad för att använda till TLS 1.0 (SSL).
Konfigurera värdserver för fjärrskrivbordssession för att använda ett certifikat för TLS 1.0 (SSL).

Mer information om certifikatkrav finns i Certifikatkrav nedan i detta avsnitt.

Du måste vara medlem i den lokala gruppen Administratörer eller ha tilldelats motsvarande behörighet för att utföra den här proceduren.

Kontrollera certifikatarkivet för certifikatet som värdservern för fjärrskrivbordssession är konfigurerad för att använda till TLS 1.0 (SSL).

Så här kontrollerar du certifikatarkivet:

1. Öppna snapin-modulen för certifikat på värdservern för fjärrskrivbordssession. Om du inte redan har lagt till snapin-modulen för certifikat kan du göra det genom att göra följande:

2. Klicka på Start, klicka på Kör, skriv mmc och klicka sedan på OK.

3. Klicka på Lägg till/ta bort snapin-modul i menyn Arkiv.

4. Öppna dialogrutan Lägg till eller ta bort snapin-moduler, i listan Tillgängliga snapin-moduler, klicka på Certifikat och klicka sedan på Lägg till.

5. Öppna dialogrutan Certifikat för snapin-moduler, klicka på Datorkonto och sedan på Nästa.

6. Öppna dialogrutan Välj dator, klicka på Lokal dator: (den dator konsolen körs på) och sedan på Slutför.

7. Öppna dialogrutan Lägg till eller ta bort snapin-moduler, klicka på OK.

8. Bekräfta att certifikaten visas av logiska certifikatarkiv. Gå till menyn Visa, klicka på Alternativ och i dialogrutan Visa alternativ bekräftar du sedan att du valt Logiska certifikatarkiv.

9. Expandera Certifikat (lokal dator) i snapin-modulen för certifikat i konsolträdet och välj sedan Personligt. Klicka på Certifikat.

10. Gå till informationsfönstret och kontrollera att certifikatet som ska användas av värdserver för fjärrskrivbordssession vid serverautentisering och -kryptering visas i listan över certifikat.

11. Gör något av följande:

Om certifikatet visas i listan, följer du anvisningarna steg för steg i Konfigurera värdservern för fjärrskrivbordssession för att använda ett certifikat till TLS 1.0 (SSL).
Om certifikatet inte visas i listan, följer du anvisningarna steg för steg i Installera ett certifikat på en värdserver för fjärrskrivbordssession.

Installera ett certifikat på sessionens värdserver

Att installera ett certifikat på värdservern för fjärrskrivbordssession:

2. När du får frågan om du vill öppna filen som innehåller certifikatet, klickar du på Öppna.

3. Gå till dialogrutan Certifikategenskaper och flikenAllmänt, klicka på Installera certifikat.

4. Gå till sidan Välkommen till guiden Importera certifikat, klicka på Nästa.

5. Gå till sidan Certifikatarkiv. Gör något av följande:

6. Om certifikatet placeras automatiskt i ett certifikatarkiv som är baserat på certifikattyp, klickar du på Välj certifikatarkiv automatiskt utifrån certifikattyp.

8. Gå till sidan Certifikatarkiv. Klicka påNästa.

9. Gå till sidan Välkommen till guiden Importera certifikat, klicka sedan på Slutför.

När du har installerat ett certifikat måste du ange var det ska användas av värdservern för fjärrskrivbordssession, enligt anvisningarna i följande procedur.

Konfigurera värdservern för fjärrskrivbordssession för att använda ett certifikat till TLS 1.0 (SSL).

Att konfigurera värdservern för fjärrskrivbordssessionen:

2. Högerklicka på anslutningen i informationsfönstret under Anslutningar (exempelvis RDP-tcp) och klicka sedan på Egenskaper.

3. På fliken Allmänt klickar du på Välj.

4. I dialogrutan Välj certifikat klickar du på certifikatet som du vill använda. Klicka sedan på OK.

Certifikatkrav

Ett certifikat som ska användas av en värdserver för fjärrskrivbordssession för serverautentisering och kryptering måste uppfylla följande krav:

Certifikatet måste vara ett datorcertifikat.
Certifikatet måste ha en motsvarande privat nyckel. Behållare för nyckeln måste vara tillgänglig för NT INSTANS\Network Service-kontot.
Certifikatet måste antingen innehålla ett EKU för serverautentisering (1.3.6.1.5.5.7.3.1) eller inget EKU.
Följande värde för nyckelanvändning måste anges för certifikatet: CERT_KEY_ENCIPHERMENT_KEY_USAGE.
Certifikatet måste vara giltigt. Vi rekommenderar att certifikatet är giltigt ett år från installationsdatumet.

Stegvisa instruktioner för möjliga lösningar för händelse-ID: 1050

För att lösa problemet kontrollerar du inställningar för serverautentisering och kryptering på värdservern för fjärrskrivbordssession, så att de är kompatibla och anpassade för dina krav på säkerhet och de säkerhetsnivåer som dina klientdatorer klarar.

Obs! Anslutning till fjärrskrivbord 5.2 använder 128-bitars kryptering.

För att utföra dessa procedurer måste du vara medlem i administratörsgruppen, eller delegerats motsvarande behörighet.

Konfigurera serverautentisering och inställningar för kryptering av en anslutning med hjälp av Konfiguration av värdserver för fjärrskrivbordssession

Tänk på att vissa inställningar för autentisering och kryptering inte är kompatibla. Om du exempelvis väljer SSL (TLS 1.0) för säkerhetslagret och låg krypteringsnivå får du ett felmeddelande om du försöker tillämpa dessa inställningar. Felmeddelandet kommer att uppge att krypteringsnivån är för låg för det säkerhetslager som används.

Konfigurera serverautentisering och inställningar för kryptering av en anslutning med hjälp av Konfiguration av värdserver för fjärrskrivbordssession

2. Högerklicka på anslutningen (exempelvis RDP-Tcp) under Anslutningar och klicka sedan på Egenskaper.

3. Öppna dialogrutan Egenskaper för anslutningen och klicka på fliken Allmänt.

4. Välj inställningar för serverautentisering och kryptering på värdservern för fjärrskrivbordssession som är lämpliga för din miljö och anpassade för dina krav på säkerhet och de säkerhetsnivåer som dina klientdatorer klarar.

5. Om du väljer SSL (TLS 1.0), väljer du antingen ett certifikat som är installerat på värdservern för fjärrskrivbordssession eller klickar på Standard så genereras ett självsignerat certifikat. Om du vill välja ett certifikat som är installerat på värdservern för fjärrskrivbordssession, klickar du på Välj och på Välj certifikat i dialogrutan och väljer vilket certifikat du vill använda. Klicka sedan på OK.

6. Om du använder ett självsignerat certifikat, visas namnet på certifikatet som Automatiskt genererat.

7. Klicka påOK.

Konfigurera serverautentisering och inställningar för kryptering av en anslutning med hjälp av grupprincip

Konfigurera serverautentisering och inställningar för kryptering med hjälp av följande grupprincipinställningar:

Ange nivå för kryptering av klientanslutning
Kräver specifikt säkerhetslager för RDP-fjärranslutningar
Certifikatmall för serverautentisering
Kräver autentisering av användare för fjärranslutningar med hjälp av Autentisering på nätverksnivå

Grupprincipinställningarna finns i Datorkonfiguration\Administrativa mallar\Windows-komponenter\Fjärrskrivbordstjänster\Värd för fjärrskrivbordssession\Säkerhet och de kan konfigureras antingen med hjälp av redigeraren för lokal grupprincip eller med konsolen för grupprinciphantering (GPMC). Notera att grupprincipinställningarna prioriteras framför den konfigurerade inställningen i Konfiguration av värdserver för fjärrskrivbordssession. Undantaget är grupprincipinställningen i Certifikatmall för serverautentisering

Du kan konfigurera värdservern för fjärrskrivbordssession genom att använda FIPS-kompliant krypteringsnivå genom att tillämpa Datorkryptografi: Använd FIPS-kompatibla algoritmer för kryptering, att skapa hasher och signering Grupprincipinställning. Grupprincipinställningen finns i Datorkonfiguration\Windowsinställningar\Säkerhetsinställningar\Lokala principer\Säkerhetsalternativ och de kan konfigureras antingen med hjälp av redigeraren för lokal grupprincip eller med konsolen för grupprinciphantering (GPMC). Notera att denna grupprincipinställning prioriteras framför den konfigurerade inställningen i Konfiguration av värdserver för fjärrskrivbordssession, samt över grupprincipinställningen Ange nivå för kryptering av klientanslutning.

Mer information om konfiguration av grupprincipinställningar finns antingen i hjälpen om Redigeraren för lokala grupprinciper ( http://go.microsoft.com/fwlink/?LinkId=143317) eller i hjälpdelen för GPMC ( http://go.microsoft.com/fwlink/?LinkId=143867) i Tekniskt bibliotek för Windows Server.

Stegvisa instruktioner med lösningar för följande händelse-ID: 1052, 1065, 1053

Så här löser du problemet:

Använd Konfiguration av värdserver för fjärrskrivbordssession för att avgöra vilka certifikat som behöver förnyas.
Förnya certifikatet som används av värdservern för fjärrskrivbordssession på ett av följande sätt:
Förnya certifikat med samma nyckel. Detta alternativ ger maximal kompatibilitet med tidigare användning av medföljande nyckelpar, men innebär ingen förbättring av certifikatets och nyckelparets säkerhet. När certifikatet har förnyats, arkiveras det gamla certifikatet.
Förnya certifikat med ny nyckel. Detta alternativ gör att du kan fortsätta använda ett befintligt certifikat och associerade data, samtidigt som du får förbättrad styrka hos nyckeln som är associerad med certifikatet. När certifikatet har förnyats, arkiveras det gamla nyckelparet och certifikatet.
Konfigurera värdserver för fjärrskrivbordssession för att använda ett certifikat för TLS 1.0 (SSL).

Om du använder ett självtilldelat certifikat som skapades automatiskt av värdservern för fjärrskrivbordssession, bör du komma ihåg att värdservern för fjärrskrivbordssessionen automatiskt förnyar certifikatet 30 dagar innan det upphör.

För att utföra dessa procedurer måste du vara medlem i administratörsgruppen, eller delegerats motsvarande behörighet.

Avgöra vilket certifikat som behöver förnyas

Gör så här för att avgöra vilket certifikat som behöver förnyas

2. Högerklicka på anslutningen i informationsfönstret under Anslutningar (exempelvis RDP-tcp) och klicka sedan på Egenskaper.

3. På fliken Allmänt klickar du på Välj.

4. I dialogrutan Välj certifikat noterar du vilket certifikat som är markerat. Klicka sedan på Visa certifikat.

5. I dialogrutan Certifikat klickar du på Allmänt och markerar sedan utgångsdatum. Om certifikatet kommer att upphöra inom några dagar följer du stegen i Förnya certifikat med samma nyckel eller Förnya certifikat med ny nyckel.

6. Klicka på OK för att stänga dialogrutan Certifikat.

7. Klicka på OK för att stänga dialogrutan Välj certifikat.

8. Klicka på OK för att stänga dialogrutan Egenskaper för anslutningen.

Förnya certifikat med samma nyckel

Du kan följa denna procedur för att begära certifikat enbart från certifikatutfärdare för företag (CA).

Förnya certifikat med samma nyckel:

1. Öppna snapin-modulen för certifikat till datorer på värdservern för fjärrskrivbordssession. Om du inte redan har lagt till snapin-modulen för certifikat kan du göra det genom att göra följande:

2. Klicka på Start, klicka på Kör, skriv mmc och klicka sedan på OK.

3. Klicka på Lägg till/ta bort snapin-modul i menyn Arkiv.

4. Öppna dialogrutan Lägg till eller ta bort snapin-moduler, i listan över Tillgängliga snapin-moduler, klicka på Certifikat och klicka sedan på Lägg till.

5. Öppna dialogrutan Certifikat för snapin-moduler, klicka på Datorkonto och klicka sedan på Nästa.

6. Öppna dialogrutan Välj dator, klicka på Lokal dator: (den dator konsolen körs på) och klicka sedan på Slutför.

7. Öppna dialogrutan Lägg till eller ta bort snapin-moduler, klicka på OK.

9. Expandera Certifikat (lokal dator) i snapin-modulen för certifikat i konsolträdet och välj sedan Personligt. Klicka sedan på Certifikat.

10. Öppna informationsfönstret och klicka på certifikatet som du tänker förnya.

11. Öppna menyn Åtgärd, peka på Alla uppgifter och markera Avancerade alternativ och klicka sedan på Förnya det här certifikatet med samma nyckel för att starta guiden Förnya certifikat.

12. Om det finns fler än ett certifikat finns i listan i fönstret Begär certifikat, markerar du certifikatet som du vill förnya och gör sedan något av följande:

13. Använd standardvärdet för att förnya certifikatet.

14. Klicka på Information och sedan på Egenskaper för att ange dina egna inställningar för att förnya certifikatet. Du måste känna till Certifikatutfärdaren (CA).

15. Klicka på Registrera.

16. När Guiden Förnya certifikat har slutförts, klickar du på Slutför.

Förnya certifikat med ny nyckel

Du kan använda denna procedur för att begära certifikat enbart från certifikatutfärdare för företag (CA).

Förnya certifikat med ny nyckel: