Налаштування захищеного RDS Gateway + RemoteApp (Signal, Threema) з Hardening (Zero Footprint)

Требується досвід роботи з GPO, FSRM та налаштуванням Electron-додатків (Signal) в середовищі RemoteApp

Шукаю досвідченого системного адміністратора (Windows Server) для налаштування ізольованого робочого простору на базі RDS.

Основна мета: забезпечити роботу з месенджерами (Signal, Threema) та браузером через захищений шлюз без збереження яких-небудь даних на пристрої користувача (концепція Zero Footprint / Secure Enclave).

Що потрібно зробити (Коротко):

Розгорнути RDS: RD Gateway + RD Web + Session Host на Windows Server 2019/2022 (Single Server). Доступ строго через HTTPS (443).

Опублікувати RemoteApps:

Signal Desktop & Threema (Electron-додатки, вимагають правильної установки в середовищі RDS).

Microsoft Edge (з жорсткими політиками безпеки та uBlock).

Notepad++ та Провідник (ізольований).

Безпека (Hardening) — Найважливіший етап:

DLP / Zero Footprint: Повна блокування буфера обміну (клієнт<->сервер), відключення пробросу дисків та принтерів, захист від скріншотів.

Ізоляція: Налаштування FSRM (квоти, блокування .exe), AppLocker, приховування системних дисків. Користувач повинен бачити тільки свій мережевий диск M:.

Захист входу: Налаштування IPBan (захист від брутфорсу), SSL сертифікат (Let's Encrypt/Commercial).

Скриптинг: Реалізувати сценарії "Logoff" при розриві зв'язку (1 хвилина) та кнопку примусового скидання сесії.

Вимоги до виконавця:

Досвід роботи з Group Policy (GPO) на просунутому рівні.

Розуміння специфіки роботи Electron-додатків (Signal/Threema) в термінальному середовищі (оптимізація пам'яті, оновлення).

Досвід налаштування FSRM та AppLocker.

Локація: Розглядаю кандидатів з України, ЄС та інших країн (крім РФ/РБ).

Вихідні дані:

Є VPS (Windows Server 2022, 8GB RAM), домен, SSL.

Повне детальне ТЗ (10 розділів) вже готове і прикріплене до проекту. Читайте перед ставкою!

Здача проекту:

Демонстрація роботи за чек-листом, передача всіх доступів (Admin), видалення тимчасових обліковок виконавця. Можлива подальша платна підтримка (оновлення ПЗ).