Windows Server 2003 終端機服務：連線主控台工作階段 (Session 0) 與 Shadow 隱藏監控完整指令手冊

Windows Server 2003 終端機服務支援兩種進階連線模式：
1. /console 直接連線主控台工作階段 (Session 0)，如同坐在伺服器前。
2. shadow 0 隱藏式監控主控台工作階段，遠端與本地使用者同時看見同一畫面並可互動。
本文提供完整指令語法、前置條件、錯誤代碼對照與群組原則啟用遠端控制步驟。

一、連線主控台工作階段 (/console)

mstsc -v:伺服器名稱 /F -console

• mstsc：遠端桌面連線執行檔。
• -v：指定目標伺服器。
• /F：全螢幕模式。
• -console：連線 Session 0 (主控台)。

行為：

• 無人登入主控台 → 直接登入 Session 0。
• 已有使用者在主控台 → 彈出警告「將登出目前使用者，未儲存資料遺失」→ 確認後強制接管，本地使用者被鎖定。
• 若遠端與本地為**同一帳號** → 直接無縫接管，不登出。

二、隱藏式監控主控台

1. 先建立一般遠端桌面連線 (不加 -console) 進入伺服器 (Session N)。
2. 在該 Session 開啟 CMD，執行：shadow 0
3. 伺服器主控台彈出：「網域\使用者 要求遠端控制您的工作階段。接受嗎？」→ 本地使用者點「是」。
4. 遠端立即切換至主控台畫面 (Session 0)，雙方同步顯示、鍵滑鼠輸入互相可見。
5. 離開監控：遠端按 Ctrl+* (數字鍵盤) 返回原 Session N。

三、常見錯誤代碼與對策

四、啟用群組原則允許遠端控制

1. gpedit.msc →「電腦設定」→「系統管理範本」→「Windows 元件」→「終端機服務」。
2. 雙擊「設定終端機服務使用者工作階段遠端控制規則」→「已啟用」。
3. 選項：「經使用者授權完全控制」→ 確定。
4. gpupdate /force 生效。

五、安全性建議

• 僅授權受信任管理員帳號使用 -console 與 shadow。
• 生產伺服器建議透過 RD Gateway / VPN + MFA 存取，避免直接暴露 3389。
• 稽核：啟用「稽核登入事件」記錄所有 RDP 連線來源 IP、帳號、時間。