Для настройки необходимо выполнить 3 шага:
- Создать группу безопасности (AD security group)
- Создать групповую политику
- Применить GPO к компьютерам домена
Создание группы безопасности
Создадим группу RDP_computers и добавим пользователей, которым будет разрешено входить на ВМ через протокол RDP. Для это заходим в оснастку Active Directory — пользователи и компьютеры → Имя домена → Users, щелкаем по нему правой кнопкой мыши и выбираем из доступных свойств Создать → Группа, вводим имя группы и нажимаем ОК
Создание групповой политики
Открываем оснастку управления групповыми политиками: Пуск→ Средства администрирование Windows → Управление групповой политикой. Создаём организационный контейнер для компьютерами с RDP. Контейнер можно создать через оснастку Управление групповой политикой либо Active Directory — пользователи и компьютеры.
Политика применяется на организационный контейнер VDI в котором располагаются подконтрольные компьютеры, поэтому раскрываем домен, находим контейнер, щелкаем по нему правой кнопкой мыши и выбираем из доступных свойств Создать объект групповой политики в этом домене и связать его.... Назовём его Enable RDP. Открываем политику на редактирование и переходим в элементы конфигурирования настроек на компьютер: Enable RDP → Конфигурация компьютера → Политики → Конфигурация Windows → Параметры безопасности → Группы с ограниченным доступом. Щелкаем правой кнопкой мыши вызываем свойства и выбираем Добавить группу → Обзор, далее через Обзор находим созданную группу: RDP_computers. По окончании нажимаем кнопку Применить и OK
В окне Свойства группы настраиваем членства к другой группе. Нажимаем Добавить находим группу Пользователи удалённого рабочего стола и добавляем. Нажимаем ОК.

Теперь активируем галочку разрешить подключение к удалённому рабочему столу в свойства системы. Для этого внесём изменения в групповую политику Enable RDP.
Enable RDP → Конфигурация компьютера → Настройка → Конфигурация Windows → Реестр, создаем новый ключ, Создать – Элемент реестра.
Значения настроек
Действие:Обновить
Куст: HKEY_LOCAL_MACHINE
Путь раздела:System\CurrentControlSet\Control\Terminal Server
Имя параметра: fDenyTSConnections
Тип параметра: REG_DWORD
Значение: 00000000
По окончании настроек нажимаем кнопку Применить и OK для принятия изменений. Теперь чтобы политика применилась на рабочие станции в организационном контейнере VDI они должны быть перезагружены.
wikipedia://Групповая политика
. Стеркин и winitpro ждут тебя с распростёртыми объятиями.