允许非管理员访问远程桌面

忘是亡心i 2024-02-24 02:01 41阅读 0赞

**默认情况下，只有具有管理权限的用户才能登录到远程桌面会话。但是，通常情况下，标准用户也需要此类访问权限。为此，您可以将它们添加到相关的本地组。有几种方法可用于此任务。**

远程桌面功能默认处于禁用状态[，需要启用][Link 1]。在 Windows 10 或 11 工作站上，单个用户可以通过 RDP 进行连接，而在 Windows Server 上，允许同时进行两个会话。

### **RDP 访问权限仅限于管理员** ###

在这两种情况下，默认情况下，访问权限仅限于管理员。如果标准用户尝试建立远程桌面连接，他们将收到以下错误消息：

“连接被拒绝，因为用户帐户无权进行远程登录。”

[![默认情况下，标准用户无法建立 RDP 连接][RDP]][RDP _RDP]

*默认情况下，标准用户无法建立 RDP 连接*

要避免这种情况，您可以在远程桌面激活期间通过控制面板 （sysdm.cpl） 中的小程序配置允许的用户和组。然后，在此处选择的帐户将添加到内置远程桌面*用户*组。

[![启用远程桌面时授权用户][2f59a4bdf971be99e24c081e470651d9.png]][2f59a4bdf971be99e24c081e470651d9.png 1]

*启用远程桌面时授权用户*

如果选择使用其他方法（如组策略）激活远程桌面，或者以后需要授予 RDP 连接权限，则需要通过不同的方式管理此本地组中的成员身份。

### **使用 PowerShell 将成员添加到本地组** ###

对于单个计算机，可以使用基于 MMC 的计算机管理或 PowerShell。

PowerShell 提供了多个用于[管理本地组][Link 2]的 cmdlet。例如，可以使用以下命令将 AD 组（如 *RDPUser*）添加到本地*远程桌面用户*组：

Add-LocalGroupMember -name “Remote Desktop Users” -Member contoso\\RDPUser

### **通过 GPO 将用户添加到远程桌面用户** ###

在集中管理的环境中，管理本地远程桌面用户组成员的首选方法是通过组策略。有两种选择。

#### **受限组** ####

*受限*组允许您控制哪些成员应属于本地组以及应将他们添加到哪些组。可以在*“计算机配置*>*策略*”>“*Windows* 设置”>*“安全设置*”下找到此设置。

从那里，从上下文菜单中选择“*添加组*”命令。它将打开一个对话框，您可以在其中输入本地组的名称。为此，请单击*“浏览*”按钮。

请务必注意，Microsoft 已翻译本地化系统上的组名。因此，您应该使用当地语言搜索相应的术语。在语言混合的环境中，选择两个名称中的哪一个并不重要;该分配基于 SID，无论如何都将适用于所有系统。

[![为远程桌面用户创建新的受限组][6a87c296910661122b0562b7ae87ae25.png]][6a87c296910661122b0562b7ae87ae25.png 1]

*为远程桌面用户创建新的受限组*

之后，有两个*添加*按钮可用。第一个允许您指定哪些成员应属于该组。

[![将成员添加到本地远程桌面用户组][cb549c92edb68f082a5a255768204476.png]][cb549c92edb68f082a5a255768204476.png 1]

*将成员添加到本地远程桌面用户组*

此组策略将目标电脑上的组成员与 GPO 中的条目对齐。因此，GPO 中未列出的任何用户都将自动从组中删除。

#### **组策略首选项** ####

或者，您可以使用*“**计算机配置*>首选项”>*“控制面板设置*”下的*“本地用户和组*”设置来完成此任务。

选择*“新建* *>本地组*”以管理用户组的成员。可以使用相应的复选框删除所有现有用户和组，以便远程桌面组仅包含 GPO 显式分配给它的成员。

[![使用 GPP 将成员分配到本地远程桌面用户组][GPP]][GPP _GPP]

*使用 GPP 将成员分配到本地远程桌面用户组*

默认的*“更新”*操作使成员列表保持所需状态，以便您可以保持原样。

### **活动目录中的远程桌面用户组** ###

上述方法与本地*远程桌面用户*组中的成员身份有关。但是，在Active Directory中也有一个同名的组。简单地将所需帐户包含在此 AD 组中以授予它们访问 OU 中每台电脑上的远程桌面的权限不是更容易吗？

此 AD 组仅引用域控制器，其成员不会获得对成员服务器或工作站的 RDP 访问权限。

通常，不应将上述 GPO 与域控制器链接。否则，通常仅成为本地组成员的用户也将添加到*远程桌面用户* AD 组，出于安全原因，通常不需要该组。

[![如果通过 GPO 将帐户分配给本地 RDP 组，并在域级别链接该 GPO，则这些帐户也将添加到 AD 组][GPO _ RDP _ GPO_ AD]][GPO _ RDP _ GPO_ AD _GPO _ RDP _ GPO_ AD]

*如果通过 GPO 将帐户分配给本地 RDP 组，并在域级别链接该 GPO，则这些帐户也将添加到 AD 组*

但 AD 组中的用户远程桌面*用户*仍无法在 DC 上打开远程桌面会话，因为他们没有连接权限。他们还需要*权限“允许通过远程桌面服务登录*”设置。此设置位于“*计算机配置*>*策略*”下>*“Windows 设置*”>*“本地策略*”>“用户*权限分配*”。

### **总结** ###

默认情况下，仅允许管理帐户建立远程桌面连接。如果希望标准用户也能够执行此操作，则需要将其添加到目标主机上的*本地远程桌面用户*组。

您可以使用“计算机管理”或 PowerShell 等工具以交互方式对单个计算机执行此操作。但是，在托管环境中，组策略是首选方法。

为此，组策略提供了两种替代方法。链接 GPO 时，请注意不要影响域控制器。如果发生这种情况，所选帐户也将成为 AD 组*远程桌面用户*的成员，这通常是不希望的。

[Link 1]: https://4sysops.com/archives/activate-remote-desktop-in-windows-11-and-windows-server-2022-gui-wac-wmi-and-gpo/
[RDP]: https://img-blog.csdnimg.cn/img_convert/9a81a46fb3666ba8f74bf5e9a713d864.png
[RDP _RDP]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/24/d4a03ebb086f467297272df2769acd1b.png
[2f59a4bdf971be99e24c081e470651d9.png]: https://img-blog.csdnimg.cn/img_convert/2f59a4bdf971be99e24c081e470651d9.png
[2f59a4bdf971be99e24c081e470651d9.png 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/24/690d02b5c77b4d309ba454ddf605a001.png
[Link 2]: https://4sysops.com/archives/the-new-local-user-and-group-cmdlets-in-powershell-5-1/
[6a87c296910661122b0562b7ae87ae25.png]: https://img-blog.csdnimg.cn/img_convert/6a87c296910661122b0562b7ae87ae25.png
[6a87c296910661122b0562b7ae87ae25.png 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/24/f4366ca707e84579aee0641b84038dbd.png
[cb549c92edb68f082a5a255768204476.png]: https://img-blog.csdnimg.cn/img_convert/cb549c92edb68f082a5a255768204476.png
[cb549c92edb68f082a5a255768204476.png 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/24/e886a4a3557e4c7f936ea9a139ac0bf7.png
[GPP]: https://img-blog.csdnimg.cn/img_convert/40faadedb15d84d989935b64057735ab.png
[GPP _GPP]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/24/f112cb849d37477388fe3d76066f38a6.png
[GPO _ RDP _ GPO_ AD]: https://img-blog.csdnimg.cn/img_convert/0373895d52663af6b89701af77d837d8.png
[GPO _ RDP _ GPO_ AD _GPO _ RDP _ GPO_ AD]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/24/9b99d31bef9c44b5bc976966aa46cbc4.png