Windows Server 2003 禁止特定使用者遠端桌面登入設定

遠端桌面雖方便管理，但開放所有帳號遠端登入會擴大攻擊面。Windows Server 2003 可透過「本機安全性原則」→「使用者權限指派」→「拒絕透過終端機服務登入」，精確封鎖特定帳號遠端存取，保留本地登入權限。

設定步驟

1. 「控制台」→「管理工具」→「本機安全性原則」。
2. 「本機原則」→「使用者權限指派」。
3. 右側找到 「拒絕透過終端機服務登入」 (Deny log on through Terminal Services)。
4. 雙擊 → 「新增使用者或群組」→ 輸入欲封鎖的帳號名稱 (如 guest、contractor) → 確定。
5. 關閉原則編輯器，設定即時生效 (無需重開機)。

驗證方式

使用被封鎖帳號嘗試遠端桌面連線，應出現：「本機原則不允許您以互動方式登入」或「存取被拒」錯誤訊息；同帳號本地登入 (主控台) 則不受影響。

進階管理建議

注意：「拒絕」權限優先序高於「允許」，若帳號同時在允許與拒絕清單，拒絕生效。請謹慎規劃避免誤鎖管理員自身。

相關權限對照

• 允許本機登入：控制主控台 (實體/主控台會話) 登入。
• 允許透過終端機服務登入：控制遠端桌面 (RDP) 登入。
• 拒絕本機登入 / 拒絕透過終端機服務登入：明確封鎖對應管道。

精準控制遠端登入權限是 Windows Server 2003 最小權限原則的核心實踐，配合群組管理與 GPO 推廣，能有效縮減攻擊面同時維持運維彈性。