Windows Server 2003 LimitLogin 登入限制工具 深度部署與管理實務

Microsoft 針對 Windows Server 2003 推出的 LimitLogin 是一款企業級登入控制解決方案，支援限制單一帳號同時登入數、稽核全域登入紀錄、整合 Active Directory MMC 管理、匯出 CSV/XML 報告。適用於銀行、圖書館、ISP、虛擬桌面等需嚴格帳號存取控制的場景。本文詳細記錄下載安裝、AD 整合、指令碼部署全流程。

一、 系統需求與取得

• 作業系統：Windows XP + .NET Framework 1.1 或 Windows Server 2003。
• 建議環境：至少一台 Windows Server 2003 Domain Controller。
• 下載來源：Microsoft 官方下載中心（已歸檔）或可信任技術社群保存站點，最新版本 1.0。

二、 安裝架構三階段

階段 1：安裝 LimitLogin Web Service

• 執行 LimitLoginWebService.msi。
• 自訂 Web Service 名稱（預設 WSLimitLogin）與連接埠，**務必記錄名稱**，後續 AD Setup 會用到。
• 完成後服務自動啟動，驗證 https://localhost/WSLimitLogin/Service.asmx 可正常開啟。

階段 2：安裝 LimitLogin Active Directory 元件

執行 LimitLoginADSetup.msi，三個核心選項首次安裝全勾選：

1. Prepare your Active Directory Forest for LimitLogin
   • 更新組態、新增 LimitLogin AD MMC 控制項。
   • 擴展 Forest Schema，新增 LimitLogin 類別與屬性。
   • 需 Schema Admins 權限；完成後於 %windir%\system32 與 \Program Files\LimitLogin 產生詳細記錄。
2. Prepare your Active Directory Domain for LimitLogin
   • 建立/設定 llogin.vbs、llogoff.vbs、limitlogin.wsdl 指令碼。
   • 建立 LimitLogin 應用程式目錄分割區。
   • 需提供三參數：Scripts Share Folder（指令碼共享資料夾，所有驗證使用者需讀取權限）、IIS Server 名稱（執行 Web Service 的主機）、LimitLogin Web Service 名稱（階段 1 設定的名稱）。
3. Install LimitLogin AD MMC add-in tools on this machine
   • 複製管理工具檔案至 %windir%，讓該機器能從 AD MMC 右鍵選單啟動「LimitLogin Tasks」。

亦可命令列安裝：LimitLoginADSetup.exe /ForestPrep 並 /DomainPrep。

階段 3：手動部署登入/登出指令碼

1. 將 \Program Files\LimitLogin\Scripts 整個資料夾複製至「Domain Setup」指定的共享資料夾（如 \\DC01\LimitLoginScripts）。
2. 開啟 Active Directory 使用者與電腦 → 右鍵網域 → 內容 → 群組原則 → 編輯預設網域原則。
3. 使用者設定 → Windows 設定 → 指令碼 (登入/登出)：
   • 登入指令碼：加入 \\DC01\LimitLoginScripts\llogin.vbs
   • 登出指令碼：加入 \\DC01\LimitLoginScripts\llogoff.vbs
4. 執行 gpupdate /force 刷新原則。

三、 管理與稽核操作

• 開啟 AD MMC → 右鍵使用者/電腦/OU → 選擇 LimitLogin Tasks。
• 可檢視：目前登入使用者、登入歷史、強制登出、設定同時登入上限 (1-99)。
• 報表匯出：CSV/XML 格式，支援排程自動匯出至共享資料夾供稽核系統擷取。

四、 常見問題排除

結語

LimitLogin 雖非內建元件，但以輕量架構實現企業級登入管控，配合 AD 整合與指令碼自動化部署，可大幅降低帳號共用、濫用風險。部署前請詳閱 ReadMe.htm 並於測試環境驗證完整流程，再推廣至生產網域。