MSWindows2012 Activar Escritorio Remoto (RDP) mediante GPO (Group Policy) a grupo de usuarios

Mi GPO tendrá que hacer lo siguiente:

• Habilitar el servicio de escritorio remoto
• Abrir el Firewall para permitir el escritorio remoto
• No permitir que los administradores locales realicen cambios
• Sólo permitir que ciertos usuarios de inicio de sesión de forma remota

CREAR UN GRUPO DE SEGURIDAD
Quiero sólo los miembros de un grupo de seguridad específico para el uso de escritorio remoto. 
Abra Usuarios y equipos de Active Directory
Crear una unidad organizativa (OU) denominada «dominio — Grupos»
Bajo sus Grupos OU crear otra unidad organizativa llamada «Seguridad». Aquí es donde vamos a celebrar todos nuestros grupos de seguridad. Haga clic derecho en Seguridad y seleccione Nuevo> Grupo. Dar un nombre al grupo. Usé «SG — Usuarios de escritorio remoto».

CREAR LA GPO (Group Policy Management)
Ahora que tenemos un grupo de seguridad, tenemos que permitir RDP y sólo los miembros de este grupo para conectar a nuestros sistemas.

Haga clic derecho sobre su dominio y seleccione «Crear un GPO en este dominio y vincularlo aquí ...». Estoy creando este GPO en la raíz de mi dominio para permitir el acceso a todos los servidores y las computadoras en mi dominio. Esto podría no ser exactamente lo que quieres hacer, si su situación es diferente a continuación, seleccione la unidad organizativa que desea esta política para aplicar en lugar de su dominio.
Nombre del GPO. Usé «Habilitar RDP». Esto creará un GPO en blanco y un enlace a la misma.
Haga clic derecho en el GPO o el enlace y seleccione «Editar ...»
Esto abrirá el Editor de directivas de grupo.
Tenemos que permitir RDP, abrir el firewall, y permitir los miembros del grupo de seguridad. Establezca la siguiente:

Configuración del equipo \ Directivas \ Configuración de Windows \ Configuración de seguridad \ Directivas locales \ Asignación de derechos de usuario \ Permitir inicio de sesión a través de Servicios de Escritorio remoto.
Agregar usuarios o grupo ...
Navega y la búsqueda de su Grupo de Seguridad. En mi caso fue SG — Remoto Los usuarios de escritorio 
Configuración del equipo \ Directivas \ Configuración de Windows \ Configuración de seguridad \ restringidos Grupos
Haga clic derecho en el área en blanco y seleccione Agregar grupo ...
Navega y encuentra «Usuarios de escritorio remoto»
Seleccione Aceptar
Haga doble clic en Usuarios de escritorio remoto
Seleccione Agregar para «Los miembros de este grupo»
Navega y encuentra su grupo de seguridad.
Conexiones plantillas Configuración del equipo \ administrativas \ Red \ Conexiones de red \ Firewall de Windows \ Perfil de dominio \ Firewall de Windows: permitir excepciones de entrada de escritorio remoto: Habilitado
Configuración del equipo \ Plantillas administrativas \ Componentes de Windows \ Servicios de Escritorio remoto \ Host de sesión de Escritorio remoto \ Connections \ Permitir al usuario conectarse de forma remota mediante el uso de servicios de escritorio remoto: Habilitado
Configuración del equipo \ Plantillas administrativas \ Componentes de Windows \ Servicios de Escritorio remoto \ Host de sesión de Escritorio remoto \ Security \ No permita que los administradores locales personalizar permisos: Habilitado
Configuración del equipo \ Plantillas administrativas \ Componentes de Windows \ Servicios de Escritorio remoto \ Host de sesión de Escritorio remoto \ Security \ Requerir la autenticación de usuario para las conexiones remotas usando NLA: Disabled 

www.dannyeckes.com/server-2012-enable-remote-desktop-rdp-group-policy-gpo/#sthash.oQ7OTKKp.dpuf