Benutzer können nicht mehr auf Terminalserver zugreifen "Die Verbindung wurde abgelehnt, da das Benutzerkonto nicht zu Remoteanmeldung autorisiert ist."

Er macht es nicht weil du ihm nicht gesagt hast, dass er es machen soll. Standardmäßig loggt er nur das Nötigste. Du kannst aber die ADDS-Überwachung für bestimmte Objekte, hier Gruppen, einschalten.

So konfigurieren Sie die Überwachung für bestimmte Active Directory-Objekte

0. Aktiviere die Überwachungsrichtlinie, so wie in der Quelle beschrieben. Welche Richtlinie genau du da definieren musst in der DDCP-GPO kann ich nicht sagen. Spontan hätte ich gesagt "Verzeichnisdienstzugriff überwachen".

1. Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Verwaltungund klicken Sie dann auf Active Directory-Benutzer und-Computer.
2. Stellen Sie sicher, dass Erweiterte Funktionen , im Menü Ansicht ausgewählt ist sicher, dass der Befehl ein Häkchen hat.
3. Maustaste auf Active Directory-Objekt, das Sie überwachen möchten, und klicken Sie auf Eigenschaften.
4. Klicken Sie auf die Registerkarte Sicherheit , und klicken Sie dann auf Erweitert.
5. Klicken Sie auf die Registerkarte Überwachung , und klicken Sie dann auf Hinzufügen.
6. Führen Sie einen der folgenden:
- Geben Sie den Namen des Benutzers oder der Gruppe, deren Zugriff Sie im Feld Geben Sie die zu verwendenden Objektnamen überwachen
möchten, und klicken Sie dann auf OK.
- Doppelklicken Sie in der Liste der Namen der Benutzer oder die Gruppe, deren Zugriffe Sie überwachen möchten.
7. Aktivieren Sie das Kontrollkästchen erfolgreich oder Fehler -Kontrollkästchen für die zu überwachenden Aktionen, und klicken Sie dann auf OK.
8. Klicken Sie auf OK, und klicken Sie dann auf OK.

Quelle

Als Prinzipal für Schritt 6 solltest du die Gruppe Jeder nehmen. Die standardmäßigen beiden Überwachungen loggen keine Veränderungen. "Löschen" bedeutet nur, dass geloggt wird wenn die Gruppe gelöscht wird.

Edit: Das ist zwar für Server 2008, aber lässt sich vielleicht doch verändert anwenden: http://blog.dikmenoglu.de/2007/11/active-directory-domain-services-ad-d ...
Da steht aber auch was von rechtlichen Einschränkungen. ich vermute nicht, dass ihr einen betriebsrat habt, oder?

Edit 2: Alternativ dazu könntest du einen Task erstellen, der ein Powershell-Skript mit einen oder mehreren "Add-ADGroupMember"-Cmdlets ausführt, welches der RD-Benutzergruppe immer wieder die Benutzer hinzufügt.

Ja, aber das zulassen scheint in dem Fall nicht das Problem zu sein, sondern dass da irgendetwas ist, das diese Konfiguration nicht zulässt und entfernt. Und das musst du erstmal herausbekommen. Grundsätzlich muss man aber auch sagen, dass man keinen DC und RD-Sitzungshost auf derselben Maschine laufen lässt. Ich würde nicht wollen, dass meine Nutzer meine Domänendienste sehen können, selbst wenn sie keinen Zugriff darauf haben sollten.

Na super, freut mich. Da ich noch nie eingeschränkte Gruppen im Einsatz gesehen habe, wäre ich da nicht drauf gekommen. Zumindest hatte ich recht, dass da etwas ist, das die Konfiguration nicht zulässt.
Jetzt musst du aber auch überprüfen, ob das nicht negative Auswirkungen hat, wenn du die Gruppe daraus entfernt hast. Die waren ja sicher nicht ohne Grund darin.

Markiere die Frage noch als gelöst. In der anderen Frage am besten auch mit einem Link auf die Frage hier.