Windows服务器远程桌面授权核心是启用RDP服务、显式添加用户至Remote Desktop Users组、放行防火墙3389端口、启用NLA认证，并确保账户有密码且未被锁定。
Windows 服务器中配置远程桌面授权，核心是启用 RDP 服务、分配用户权限、设置安全策略，并确保系统版本支持。RDP 授权不是独立的“许可证服务器”配置（那是企业级 Remote Desktop Services 的高级场景），而是指让指定用户能合法通过 RDP 登录这台服务器——也就是完成远程桌面会话授权。
开启远程桌面功能并允许连接
这是授权的前提。没有启用 RDP，后续所有设置都无效。
- 打开「系统属性」→「远程」选项卡
- 勾选「允许远程连接到此计算机」
- 取消勾选「仅允许运行使用网络级别身份验证的远程桌面的计算机连接」（可选，但建议保留以提升安全性）
- 点击「选择用户…」添加允许远程登录的账户（不能只靠管理员组自动继承，必须显式添加）
注意：Windows Server 标准版/数据中心版默认支持；Windows 10/11 家庭版不支持被远程，专业版或企业版才可开启“被控”能力。
添加并配置授权用户账号
RDP 不认“管理员组”隐式权限，必须把具体用户加入「Remote Desktop Users」本地组，或赋予「允许通过远程桌面服务登录」的用户权限。
- 方法一（推荐）：
- 运行
lusrmgr.msc→ 左侧点「组」→ 双击「Remote Desktop Users」 - 点「添加」→ 输入用户名（如
DOMAIN\user或本机SERVER01\john）→ 检查名称 → 确定
- 运行
- 方法二（命令行）：
net localgroup "Remote Desktop Users" "john" /add
若用户是域账户，需确保该账户在目标服务器上有本地登录权限（可通过组策略或 secpol.msc 中的「用户权限分配」检查）。
配置防火墙放行 RDP 端口
默认端口为 TCP 3389（UDP 3389 在 Win8+/2012+ 后也需开放以启用 UDP 加速）。
- 运行
wf.msc→ 左侧「入站规则」→ 找到「远程桌面（TCP-In）」「远程桌面（UDP-In）」 - 确保状态为「已启用」，且作用域匹配你的网络环境（如仅专用网络）
- 若修改过 RDP 端口（如改到 3390），需手动新建对应端口的入站规则
（可选）启用网络级别身份验证（NLA）
NLA 要求用户先完成身份验证，再建立完整桌面会话，能有效防御暴力破解和 DoS 类攻击。
- 在「系统属性」→「远程」→ 勾选「仅允许运行使用网络级别身份验证的远程桌面的计算机连接」
- 或用 PowerShell 强制启用：
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "UserAuthentication" -Value 1
NLA 是 Windows Server 2008 及以后版本的默认推荐设置，不应关闭。
验证与排障要点
- 用户必须设置密码（空密码账户无法通过 RDP 登录）
- 账户不能被禁用，且未超出登录时间/登录工作站点限制
- 若用域环境，确认域控制器可达，且 Kerberos 或 NTLM 认证路径正常
- 查看事件查看器 → 「Windows 日志」→「安全」，筛选事件 ID 4625（登录失败）或 4624（成功）定位拒绝原因
不复杂但容易忽略
