某單位文件服務器升級為 Windows Server 2008 後，用戶嘗試通過遠程桌面連接進行應用數據備份，卻始終提示「遠程連接失敗」。網管嘗試使用 Administrator 帳號密碼登錄，同樣失效。經排查，根因在於本地安全策略中「限制本地賬戶使用空密碼進行網絡登錄」默認啟用，導致任何無密碼或密碼為空的賬戶（包括未正確配置密碼的 Administrator）均被拒絕遠程訪問。
故障現象回顧
- 客戶端遠程桌面連接 Server 2008 失敗，無具體錯誤碼；
- 本地控制台以 Administrator 登錄正常，遠程同帳號失敗；
- 「本地安全策略 → 用戶權限分配 → 從網絡訪問此計算機」已包含 Administrator；
- 「終端服務配置 → RDP-TCP → 安全」顯示 Administrator/Remote Desktop Users 擁有「完全控制」權限。
深度排查與根因定位
- 打開
secpol.msc → 本地策略 → 安全選項；
- 找到 「賬戶：使用空密碼的本地賬戶僅允許控制台登錄」（Accounts: Limit local account use of blank passwords to console logon only）；
- 該策略默認 已啟用，意味著：任何本地賬戶若密碼為空，僅允許本地控制台登錄，禁止網絡/RDP/共享等遠程訪問。
- 若 Administrator 未設置密碼，或密碼策略導致其被視為「空密碼」，即觸發此限制。
解決方案（二選一）
方案 A：為 Administrator 設置強密碼（推薦）
1. 控制台登錄 → Ctrl+Alt+Del → 修改密碼
2. 密碼複雜度：≥8 位，含大小寫、數字、特殊符號
3. 重試遠程連接，即可成功
方案 B：禁用「空密碼限制」策略（不推薦，降低安全性）
1. secpol.msc → 本地策略 → 安全選項
2. 「賬戶：使用空密碼的本地賬戶僅允許控制台登錄」 → 禁用
3. gpupdate /force 刷新策略
4. 遠程連接恢復正常
最佳實踐建議
- 原則： 生產環境所有賬戶（特別是 Administrator）必須設置強密碼，嚴禁空密碼；
- 策略： 保持「空密碼限制」啟用，作為安全基線；
- 審計： 定期腳本掃描本地賬戶密碼狀態，發現空密碼即告警整改；
- 替代： 若需無密碼自動化腳本，改用服務賬戶 + 密鑰認證 / 計劃任務存儲憑證，而非降低策略等級。
結語：「空密碼限制」是 Windows Server 2008+ 重要的安全基線，看似是「阻礙」，實則是「護欄」。遇到 RDP 連接失敗、共享訪問被拒、計劃任務跑不動，優先檢查目標賬戶是否為空密碼，給強密碼才是正道。
