Windows Server 終端服務實現遠端管理完整指南：多使用者同時連線、權限控制、域環境部署

終端服務讓管理員透過網路遠端桌面管理伺服器，應用程式在伺服器端執行，客戶端僅傳遞鍵鼠與畫面。支援多使用者同時連線（郵件管理員、資料庫管理員、系統管理員並行），適合機房集中管理。本文涵蓋終端服務本質、權限控制（遠端桌面用戶群組、域環境設定）、安全強化（密碼原則、登入稽核、錯誤鎖定）。

終端服務核心概念

• 應用程式在伺服器端執行，客戶端僅為輸入/顯示終端。
• 多使用者會話隔離，各自擁有獨立 Session、桌面、暫存資料夾。
• 頻寬需求低（僅傳輸畫面差異與指令），適合 WAN/VPN 環境。

權限控制兩大部署模式

模式一：獨立伺服器啟用遠端桌面（簡化版終端服務）

1. 「控制台」►「系統」►「遠端」索引標籤 ► 勾選「允許使用者遠端連線到此電腦」。
2. 「選取遠端使用者」► 新增需連線的帳號 → 自動加入「遠端桌面使用者」群組。

3. 安全強化：密碼複雜度原則、登入事件稽核、錯誤 3 次鎖定帳號。

模式二：域環境部署完整終端服務角色（較複雜、安全性高）

1. 伺服器管理員 ► 新增角色 ► 「終端服務」► 選擇「工作階段主機」、「授權」、「閘道」等角色服務。
2. 域控制器建立專用安全性群組（如 TS_Admins、TS_Users）授權存取。
3. 群組原則統一設定：會話逾時、磁碟重導向、印表機重導向、驅動器對應限制。
4. 客戶端使用遠端桌面連線 (mstsc) 或 RD Web Access 入口連線。

安全最佳實務

• 僅開放必要連接埠（TCP 3389），防火牆限制來源 IP 範圍。
• 強制網路層級驗證 (NLA)，未驗證不建立會話。
• 定期稽核遠端登入日誌 (Event ID 4624 Type 10)。
• 考慮部署 RD Gateway (HTTPS 443) 替代直接 3389 暴露。