Comment déconnecter à distance les utilisateurs Windows avec PowerShell

Dans le monde informatique moderne, la gestion des sessions utilisateur est essentielle. PowerShell, avec sa polyvalence, offre une excellente solution grâce à ce script pour déconnecter à distance les utilisateurs. Qu’il s’agisse de s’assurer que les sessions inutilisées ne consomment pas de ressources ou de maintenir les protocoles de sécurité en veillant à ce que les sessions non autorisées soient interrompues, il est nécessaire d’assurer une gestion efficace des sessions. Cette importance est d’autant plus grande si l’on considère l’essor du travail à distance et les multiples sessions initiées à partir de différents endroits.

Contexte

Le script fourni sert un objectif simple mais crucial : déconnecter le ou les utilisateurs spécifiés d’une machine Windows, à l’exception de la session de la console. Si de nombreux professionnels de l’informatique et fournisseurs de services gérés (MSP) s’interrogent sur son utilité compte tenu de la disponibilité d’outils basés sur une interface graphique, il ne faut pas oublier que les solutions automatisées et évolutives requièrent souvent des approches basées sur des scripts. Ce script permet aux administrateurs d’intégrer de manière optimale les fonctionnalités de déconnexion des utilisateurs dans des flux d’automatisation plus importants, ce qui est crucial pour les entreprises qui ont de nombreuses sessions d’utilisateurs à gérer.

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Logs off user(s) specified. You can't log off a user from the console session.
.DESCRIPTION
    Logs off user(s) specified. You can't log off a user from the console session.
.EXAMPLE
     -User "Administrator"
    Logs off Administrator user.
.EXAMPLE
     -User "Administrator","Guest"
    Logs off Administrator and Guest users.
.EXAMPLE
    PS C:> Logoff-User.ps1 -User "Administrator","Guest"
    Logs off Administrator and Guest users.
.OUTPUTS
    String[]
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    ManageUsers
#>

[CmdletBinding(SupportsShouldProcess = $True)]
param (
    # User name(s) to log off
    [Parameter(Mandatory = $true)]
    [String[]]
    $User
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    Function Get-QueryUser() {
        Param()
        # Replaces all occurrences of 2 or more spaces in a row with a single comma
        $Lines = @(query.exe user).foreach({ $(($_) -replace ('s{2,}', ',')) })
        $Header = $($Lines[0].split(',').trim())
        for ($i = 1; $i -lt $($Lines.Count); $i++) {
            $Line = $($Lines[$i].split(',')).foreach({ $_.trim().trim('>') })
            # Accounts for disconnected users
            if ($Line.count -eq 5) {
                $Line = @($Line[0], "$($null)", $Line[1], $Line[2], $Line[3], $Line[4] )
            }
            $CurUser = [PSCustomObject]::new()
            for ($j = 0; $j -lt $($Line.count); $j++) {
                $CurUser | Add-Member -MemberType NoteProperty -Name $Header[$j] -Value $Line[$j]
            }
            $CurUser
        }
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    # Get a list of users logged on from query.exe, format it for powershell to process
    $QueryResults = Get-QueryUser
    # Accounts for only one user logged in
    $QueryTest = $($QueryResults | Select-Object -First 1)
    if (
        $QueryResults.Count -or
        (
            $QueryTest.USERNAME -is [String] -and
            -not [String]::IsNullOrEmpty($QueryTest.USERNAME) -and
            -not [String]::IsNullOrWhiteSpace($QueryTest.USERNAME)
        )
    ) {
        $script:HasError = $false
        $QueryResults | Where-Object {
    
            # For each session filter out the user that weren't specified in $User
            $_.UserName -in $User
    
        } | ForEach-Object {
            Write-Host "Found Logged In User: $($_.UserName)"
            if ($_.SessionName -like "console") {
                # We can't log out a user that is at the console.
                # We could do this logic in the Where-Object code block, but then there isn't an output of what was skipped.
                # https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/logoff#remarks
                # "You can't log off a user from the console session."
                Write-Host "Skipping user, can't log off a user($($_.UserName)) from the $($_.SessionName) session."
            }
            else {
                # Log off the user session with a matching ID
                logoff.exe $_.Id
                if ($LASTEXITCODE -gt 0) {
                    $script:HasError = $true
                    Write-Error "logoff.exe $($_.Id) returned exit code: $LASTEXITCODE"
                }
                else {
                    Write-Host "Logged Off User: $($_.UserName)"
                }
            }
        }
        if ($script:HasError) {
            exit 1
        }
    }
    else {
        Write-Output "No Users Logged In"
        exit 2
    }
}
end {}

 

Description détaillée

• Initialisation: Le script commence par une série de commentaires, ou ‘.SYNOPSIS’, ‘.DESCRIPTION’ et ‘.EXAMPLE’, qui fournissent respectivement une vue d’ensemble, une description détaillée et des exemples d’utilisation.
• Paramètres: Le bloc param définit que le script a besoin d’une entrée($User), qui est le(s) nom(s) d’utilisateur à déconnecter.
• Fonctions: Deux fonctions principales sont définies :
• Test-IsElevated: Détermine si le script est exécuté avec des droits d’administrateur.
• Get-QueryUser: Récupère une liste d’utilisateurs connectés à l’aide de la commande Windows query.exe user, puis met en forme cette sortie pour faciliter son utilisation par PowerShell.
• Bloc “process”: C’est là que se déroulent les principales opérations :
• Contrôle d’autorisation: Vérifie si le script est exécuté avec des droits d’administrateur à l’aide de Test-IsElevated.
• Analyse de session: Récupère tous les utilisateurs connectés via Get-QueryUser.
• Fin de la session: Il parcourt la liste des utilisateurs connectés. Si le nom d’utilisateur correspond au paramètre $User fourni et qu’il ne s’agit pas d’une session de console, l’utilisateur est déconnecté à l’aide de logoff.exe.

Cas d’utilisation potentiels

Imaginez un scénario dans lequel l’administrateur informatique d’une grande entreprise observe une augmentation inattendue de l’utilisation des ressources en dehors des heures de travail. Ils identifient plusieurs sessions d’utilisateurs qui sont restées actives et qui doivent être interrompues pour libérer des ressources. Au lieu de déconnecter les utilisateurs manuellement, notre script pourrait être déployé sur plusieurs machines, mettant rapidement fin aux sessions inutiles.

Comparaisons

Les méthodes traditionnelles telles que l’utilisation du gestionnaire des tâches ou de l’interface graphique de Windows requièrent un effort manuel et ne sont pas applicables à plusieurs machines. Bien qu’il existe des outils tiers, l’utilisation de PowerShell en mode natif permet d’éviter toute surcharge logicielle et d’assurer une meilleure compatibilité.

FAQ

• Le script met-il fin à toutes les sessions ?
  Non, il ne déconnecte que les utilisateurs spécifiés et jamais la session de la console.
• Peut-il fonctionner sur n’importe quelle machine Windows ?
  Il prend en charge Windows 10 et Windows Server 2016 et les versions plus récentes.

Implications

Une mauvaise gestion des sessions peut entraîner des failles de sécurité. Des entités malveillantes peuvent exploiter les sessions actives pour obtenir un accès non autorisé. En garantissant que seules les sessions nécessaires restent actives, le script contribue de manière significative à la sécurité informatique.

Recommandations

• Exécutez toujours le script avec les privilèges d’administrateur.
• Avant de l’exécuter dans un environnement réel, testez le script dans un environnement contrôlé pour vous assurer qu’il se comporte comme prévu.

Conclusion

Lorsqu’il s’agit de gérer efficacement les sessions d’utilisateurs dans un environnement Windows, PowerShell offre des solutions performantes et polyvalentes. Ce script ne présente qu’un fragment de ses capacités. Pour ceux qui recherchent une plateforme intégrée pour simplifier ces tâches, NinjaOne propose une suite complète d’outils qui s’intègrent de manière simple à des scripts de ce type, garantissant ainsi une gestion optimale de l’infrastructure informatique.