Microsoft Windows中的FIPS“单用户模式”要求

在许多FIPS 140-2证书中,Windows必须置于FIPS 140模式,并以“单用户模式”运行.我熟悉本地/组策略对象以启用FIPS模式.但是,“单用户模式”几乎总是用引号写的(正如我所做的那样). GPO中没有特定设置来启用此模式,我没有找到任何指示如何启用此操作模式的详细信息.

我能找到的最好的是,这意味着在任何给定时间只有一个交互式用户.因此,我认为不要求O / S上只有一个用户帐户,而是需要配置一系列事物以防止多个同时交互的用户.我能想到的唯一可能影响这一点的是禁用传入的RDP / Remote Assistant.

需要配置什么来阻止Windows工作站和服务器中的多个并发交互用户？

编辑：由于大多数企业不能只允许一个本地登录,我希望了解什么构成限制环境到单个交互式会话,而不限制多个 – 虽然没有登录 – 帐户.

最简单的方法是限制谁可以登录到给定计算机的单个用户帐户(无论是本地帐户还是域帐户);这可以通过在本地安全策略中或通过GPO限制“本地登录”权限来轻松完成.此外,各种“登录为……”权利是一个很好的起点.

如果您希望允许许多用户登录,但在任何给定时间只允许其中一个用户,则需要禁用远程dekstop(或将其限制为单个会话),并禁用系统控制台的用户切换.

需要记住的是,即使您只有一个交互式会话,您仍然可以将许多后台进程作为其他用户帐户运行(更不用说三个系统上下文,LocalSystem,LocalService和NetworkService);完全不允许这样做需要在系统的许多地方进行大量调整.