Windows Server 2003 透過群組原則管理遠程桌面完整指南

群組原則提供集中化、標準化的遠程桌面管理能力，涵蓋連線允許/禁止、裝置重導向、閒置逾時、使用者授權等核心設定。本文詳細說明透過 gpedit.msc 進行遠程桌面全方位配置。

開啟群組原則編輯器

執行 gpedit.msc 或 gpmc.msc（網域環境）。本機原則路徑：

電腦設定 → 系統管理範本 → Windows 元件 → 終端機服務

一、允許/禁止遠程桌面連線

1. 展開「終端機服務」節點
2. 雙擊「允許使用者使用終端機服務遠端連線」
3. 選擇「已啟用」（允許）或「已停用」（禁止）→ 確定

二、配置用戶端裝置重導向

展開「終端機服務 → 用戶端/伺服器資料重導向」，可設定下列重導向項目：

• 允許音訊重導向：啟用 → 遠程會話可播放聲音至本機喇叭/耳機
• 允許 COM 連接埠重導向：序列埠裝置（POS、儀器）映射至遠程會話
• 允許 LPT 連接埠重導向：平行埠印表機映射
• 允許磁碟機重導向：本機磁碟在遠程會話顯示為網路磁碟（如 \\tsclient\C），支援檔案雙向傳輸
• 允許印表機重導向：本機印表機在遠程會話可用
• 允許智慧卡裝置重導向：雙因子驗證裝置傳遞

各項目雙擊 → 「已啟用」/「已停用」即時生效（新連線適用）。

三、設定閒置會話連線時間限制

1. 展開「終端機服務 → 工作階段」
2. 雙擊「為作用中但閒置的終端機服務工作階段設定時間限制」
3. 「已啟用」→ 「閒置工作階段限制」選擇時間（如 15 分鐘）→ 確定
4. 同樣可設定「為中斷連線的工作階段設定時間限制」控制斷線保留時長

補充：新增遠程桌面授權使用者

1. 我的電腦 → 右鍵內容 → 遠程頁籤 → 「選擇遠端使用者」
2. 「新增」→ 「進階」→ 「立即尋找」→ 選取目標使用者/群組 → 確定
3. 或透過群組原則：電腦設定 → Windows 設定 → 安全性設定 → 限制群組 新增 Remote Desktop Users 群組成員

網域環境部署建議

• 建立專用 GPO（如 GPO-TerminalServices-Standard）連結至伺服器 OU
• 使用 WMI 篩選器針對 Windows Server 2003 機器生效
• 定期執行 gpresult /h report.html 驗證原則套用結果
• 變更管理：所有調整經變更諮詢委員會（CAB）審核，記錄變更單

安全性最佳實務

• 預設拒絕：GPO 設定「已停用」遠程桌面，再為特定伺服器 OU 連結「已啟用」GPO
• 強制 NLA：系統管理範本 → Windows 元件 → 終端機服務 → 安全性 → 要求使用者驗證 → 已啟用
• 限制重導向：僅啟用業務必要項（通常僅需磁碟機、印表機），停用音訊/COM/LPT/智慧卡
• 閒置/斷線逾時：依資料敏感度設定（金融/醫療建議 ≤15 分鐘）

透過群組原則統一管理遠程桌面，能確保合規性、降低配置漂移風險、簡化稽核作業。