Restricted Admin Mode

Restricted Admin Mode — режим подключения по Remote Desktop Protocol, предназначенный для администрирования потенциально недоверенных систем. При таком входе повторно используемые учётные данные администратора, включая пароль и Kerberos TGT, не делегируются удалённому хосту, поэтому их последующее извлечение с этого хоста ограничено. Для работы режим должен поддерживаться и быть разрешён целевой системой; штатный клиент mstsc запускают с параметром `/restrictedAdmin`. При обращении из удалённого сеанса к сетевым ресурсам по умолчанию используется учётная запись целевого компьютера, а не подключившегося администратора; приложение также может запросить отдельную аутентификацию. Режим применяют при поддержке серверов, которые нельзя полностью считать доверенными. При этом его разрешение создаёт риск pass-the-hash: похищенного NTLM-хеша административной учётной записи может быть достаточно для RDP-входа, поэтому доступ к службе необходимо ограничивать. Режим отличается от Remote Credential Guard: последний перенаправляет запросы Kerberos-аутентификации на клиент, тогда как Restricted Admin не предоставляет удалённому сеансу TGT пользователя.