应手动清除本地rdp证书缓存、重置windows time服务同步时间、再通过mstsc命令或临时禁用验证完成首次连接，使系统自动生成并信任新证书。
你在Windows 11上尝试连接远程桌面时，弹出“安全证书凭据不匹配”错误，说明系统检测到当前缓存的RDP证书与目标主机实际身份不一致——这通常发生在目标主机重装系统、更换主机名、IP变更或证书被手动替换后，旧指纹仍残留在本地注册表或证书存储中。
强制清除本地RDP证书缓存
系统不会自动更新已缓存的RDP服务器证书，必须手动删除旧记录，否则每次连接都会沿用错误指纹校验并报错。
按 Win + R → 输入 certmgr.msc 回车 → 左侧展开“受信任的根证书颁发机构”→“证书”，在右侧列表中查找颁发者为“Remote Desktop”或主题含“CN=计算机名”的证书 → 右键删除所有相关条目。
再打开 certlm.msc（需管理员权限）→ 展开“个人”→“证书”，同样删除所有Remote Desktop类证书。注意：这里删的是本机作为RDP客户端缓存的服务器证书，不是你自己的登录证书。
打开注册表编辑器（regedit）→ 定位到 HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers → 删除该路径下对应目标主机IP或名称的整个子项。若不确定具体名称，可直接删除Servers下的全部子项——这一步清空所有历史连接的证书绑定关系。
重置Windows Time服务并同步时间
时间偏差超5分钟会导致证书“尚未生效”判定，即使证书本身有效，也会触发凭据不匹配的误报。
右键任务栏时间 → “调整日期和时间” → 确保“自动设置时间”和“自动设置时区”均为开启状态 → 点击“其他时间与日期设置” → 切换到“Internet时间”选项卡 → 点击“更改设置” → 勾选同步 → 将服务器改为 time.nist.gov → 点击“立即更新”。
若提示失败，按 Win + R → 输入 services.msc → 找到“Windows Time”服务 → 右键“属性” → 启动类型设为“自动(延迟启动)” → 若状态非“正在运行”，点击“启动” → 确定后，在管理员PowerShell中执行：w32tm /resync /force。
让系统重新生成并信任新RDP证书
这一步不需手动申请或导入证书，Windows会在首次成功建立RDP连接时自动生成新的自签名证书并缓存。
方法一：使用mstsc命令行绕过缓存校验
按 Win + R → 输入 mstsc /v:目标IP /admin（/admin参数启用控制台模式，跳过部分NLA验证）→ 连接后若弹出证书警告，勾选“不再询问”并点“是”。此时系统将丢弃旧指纹，用新连接握手生成的证书覆盖缓存。
方法二：禁用证书验证临时连通（仅调试用）
新建文本文档，粘贴以下内容：
echo off
reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client" /v "AuthenticationLevelOverride" /t REG_DWORD /d 0 /f
mstsc /v:目标IP
保存为 rdp_temp.bat，右键以管理员身份运行。连接成功后，立即删除该注册表项：reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client" /v "AuthenticationLevelOverride" /f。
【必须执行】连接成功一次后，立刻在目标主机上打开 certlm.msc → 查看“个人”→“证书”中是否出现新生成的Remote Desktop证书（颁发给当前主机名，有效期5年）。若无，说明RDP服务未正常触发证书重建，需重启远程桌面服务：net stop termservice && net start termservice。
