Массовая настройка многопользовательского RDP на Windows 10 Pro через AD и автоматизацию

В этой заметке я собрал всё в кучу: как заставить Windows 10 Pro принимать несколько RDP-сессий одновременно, и как это дело автоматизировать для кучи машин в домене. Без групповых политик и PowerShell тут не обойтись. Погнали!

🧠 Что мы автоматизируем?

Нам нужно:

1. Доставить RDP Wrapper на все компьютеры в определённой OU.
2. Установить его тихо (без окон).
3. Обновить конфиг rdpwrap.ini до актуальной версии (иначе после обновлений Windows всё сломается).
4. Настроить автообновление конфига (чтобы не бегать за каждым ПК с ведром).
5. Добавить доменные группы в локальные "Пользователи удалённого рабочего стола".

📦 Способ 1: RDP Wrapper с автообновлением (готовый установщик)

Самый простой путь — использовать сборку RDP Wrapper with Autoupdater (например, версия от asmtron). Она сама создаёт задание в планировщике, которое при каждом запуске системы проверяет свежий rdpwrap.ini с GitHub.

Как раскатать через GPO:

• Кладём установщик RDPWrap-with-Autoupdate-installer.exe в сетевую папку (например, \\domain.local\sysvol\software\).
• Создаём новую GPO для нужной OU.
• Идём в Computer Configuration -> Windows Settings -> Scripts -> Startup.
• Добавляем скрипт запуска с командой:

  \\domain.local\sysvol\software\RDPWrap-with-Autoupdate-v1.4-Installer.exe /verysilent /suppressmsgboxes /norestart

• После применения политики и перезагрузки RDP Wrapper установлен и настроен.

Плюс: дальше он живёт своей жизнью, автообновление работает.

⚙️ Способ 2: Полный DIY через PowerShell Startup Script

Если хочется контроля, пишем свой PowerShell скрипт и тоже вешаем его в Startup скрипты GPO.

Что должно быть в скрипте:

# RDP_Wrapper_Deploy.ps1
# Запускается от имени SYSTEM при старте компьютера

$log = "C:\Windows\Temp\RDPWrap_Install.log"
Start-Transcript -Path $log -Append

try {
    # 1. Качаем свежий RDP Wrapper (если ещё нет)
    $rdpPath = "C:\Program Files\RDP Wrapper"
    if (-not (Test-Path $rdpPath)) {
        # Скачиваем с GitHub или копируем из сетевой папки
        Copy-Item -Path "\\domain.local\sysvol\software\RDPWrap-v1.6.2.zip" -Destination "C:\Temp\" -Force
        Expand-Archive -Path "C:\Temp\RDPWrap-v1.6.2.zip" -DestinationPath "C:\Temp\RDPWrap" -Force
        Set-Location "C:\Temp\RDPWrap"
        .\install.bat
    }

    # 2. Останавливаем службу, обновляем конфиг
    Stop-Service termservice -Force
    $iniUrl = "https://raw.githubusercontent.com/sebaxakerhtc/rdpwrap.ini/master/rdpwrap.ini"
    $iniPath = "$rdpPath\rdpwrap.ini"
    Invoke-WebRequest -Uri $iniUrl -OutFile $iniPath -UseBasicParsing
    Start-Service termservice

    # 3. Создаём задание в планировщике для автообновления при старте
    $taskName = "Update RDP Wrapper INI"
    $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-Command `"Stop-Service termservice; Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/sebaxakerhtc/rdpwrap.ini/master/rdpwrap.ini' -OutFile '$iniPath' -UseBasicParsing; Start-Service termservice`""
    $trigger = New-ScheduledTaskTrigger -AtStartup
    $principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest
    Register-ScheduledTask -TaskName $taskName -Action $action -Trigger $trigger -Principal $principal -Force

    # 4. Добавляем доменную группу в локальную группу RDP
    $group = "Пользователи удаленного рабочего стола"
    $domainGroup = "DOMAIN\RDP_Users"   # ваша доменная группа
    net localgroup "$group" "$domainGroup" /add

    Write-Host "RDP Wrapper установлен и настроен."
}
catch {
    Write-Error "Ошибка: $_"
}
Stop-Transcript
    

Важно: Скрипт должен быть подписан или разрешено выполнение неподписанных скриптов через GPO (Set-ExecutionPolicy Bypass в настройках политик).

🧩 А что делать с антивирусом?

RDP Wrapper часто детектится как потенциально нежелательное ПО (хак-тул). Без исключений Защитник Windows может снести файлы. Лечится через GPO:

• Computer Configuration -> Administrative Templates -> Windows Components -> Microsoft Defender Antivirus -> Exclusions
• Добавляем исключение на папку: C:\Program Files\RDP Wrapper

📋 Проверка результата

Чтобы убедиться, что всё работает на целевой машине:

• Запустите RDPConf.exe (должен гореть зелёный [fully supported]).
• Попробуйте подключиться двумя разными пользователями одновременно.
• Проверьте журнал: C:\Windows\Temp\RDPWrap_Install.log.

🧠 Итог

Через Active Directory и GPO можно централизованно настроить многопользовательский RDP на всех Windows 10 Pro. Либо ставим готовый установщик с автообновлением, либо пишем свой PowerShell скрипт. Второй вариант даёт больше гибкости, но требует аккуратности. Главное — не забыть про исключения в антивирусе и обновление rdpwrap.ini, иначе после ближайшего обновления Windows всё отвалится.

Заметка написана для внутреннего использования. Если есть что добавить или поправить — дайте знать!