LimitLogin：Windows Server 2003 企業級登入控制神器——限制同時登入、稽核報表、AD 整合全解析

前言：微軟官方釋出的域環境登入管理解決方案

LimitLogin 是微軟為 Windows Server 2003 量身打造的登入管理工具，主要解決企業、銀行、圖書館、ISP 等場景需求：限制同一帳號同時登入數量、集中稽核所有登入紀錄、整合 AD 管理介面、匯出 CSV/XML 報表。普通家用用戶較少用到，但對合規性要求高的組織極具價值。

系統需求與下載

• 作業系統：Windows XP + .NET Framework 1.1 或 Windows Server 2003
• 建議架構：至少一台 Windows 2003 Domain Controller
• 下載：https://download.microsoft.com/download/f/d/0/fd05def7-68a1-4f71-8546-25c359cc0842/limitlogin.exe (v1.0)

複雜的三階段安裝流程

階段 1：安裝 LimitLogin Web Service

• 自訂服務名稱（預設 WSLimitLogin），務必記住，後續 AD 安裝需用到。
• 可自訂 Web Service 通訊埠號。

階段 2：安裝 LimitLogin Active Directory 元件 (LimitLoginADSetup.msi)

三個核心步驟（首次安裝全勾選）：

1. Prepare Forest for LimitLogin
   • 更新 Configuration 容器、加入 AD MMC 控制項
   • 擴展 Forest Schema（新增 LimitLogin 類別與屬性）
   • 需 Schema Admins 權限
   • 產生詳細日誌於 %windir%\system32\ 與 \Program Files\LimitLogin\
2. Prepare Domain for LimitLogin
   • 建立/設定 llogin.vbs、llogoff.vbs、limitlogin.wsdl
   • 建立 LimitLogin 應用程式目錄分區
   • 需提供三參數：
     • Scripts Share Folder（共享資料夾，存放腳本與 wsdl，所有認證使用者需可存取）
     • IIS Server 名稱（跑 Web Service 的機器）
     • LimitLogin Web Service 名稱（階段 1 設定的名稱）
   • 選擇建立應用程式目錄分區的 DC
3. Install LimitLogin AD MMC Add-in
   • 複製檔案至 %windir%
   • 僅安裝在需操作 AD MMC 的管理機上
   • 裝好後：AD 使用者/電腦/OU 右鍵 → 「LimitLogin Tasks」即可管理

亦可用命令列模式：LimitLoginADSetup.exe /ForestPrep 及 /DomainPrep。

手動設定登入/登出腳本與委派信任

1. 部署腳本至共享資料夾

將 \Program Files\LimitLogin\Scripts 整個複製到 Domain Setup 指定的共享資料夾（如 \\Server\Share）。

2. 設定群組原則登入/登出腳本

1. 開啟「Active Directory 使用者和電腦」
2. 右鍵網域 → 內容 → 群組原則 → 編輯預設 Domain Policy
3. 使用者設定 → Windows 設定 → 指令碼
   • 登入：加入 \\Server\Share\llogin.vbs
   • 登出：加入 \\Server\Share\llogoff.vbs

3. 設定 IIS 伺服器「委派信任」

1. AD 使用者和電腦 → Domain → Computers → 右鍵 IIS 伺服器 → 內容 → 委派
2. 選「僅信任指定服務」+「僅使用 Kerberos」
3. 新增 → 選 DC 電腦 → 可用服務選 LDAP
4. 或簡易選「信任此電腦進行任何服務的委派」（較不安全）

用戶端部署

每台域成員機器執行 LimitLoginClientSetup.msi，安裝：

• SOAP Runtime（呼叫 Web Service）
• WTSApiAx.dll（取得 Session ID）
• LLoginSessions.exe（選擇性，超額時顯示既有登入使用者清單）

大量部署可用 SMS、登入腳本、群組原則；無訊息安裝：msiexec /i LimitLoginClientSetup.msi /qn。

診斷與維護命令列工具 LLogincmd.exe

工具位於 %ProgramFiles%\LimitLogin\。

適用性評估與現代替代方案

結論：LimitLogin 是 2003 時代的產物，已無安全性更新。維舊系統可用，新建環境請採用現代身分治理方案。