用群組原則自動啟用客戶端遠端桌面：域環境批次部署腳本實戰

企業管理大量客戶端時，逐台手動勾選「允許遠端桌面」效率極低。透過域群組原則部署啟動腳本，可實現全自動批次啟用遠端桌面並自動開啟防火牆 3389 連接埠。本文提供經驗證的 VBS 腳本與完整部署步驟。

適用場景

• Active Directory 域環境
• 客戶端為 Windows Server 2003（腳本經驗證）或更新版本
• 需統一啟用遠端桌面供管理員遠端維護

部署步驟

1. 在域控制器（DC）建立一個 OU，將目標客戶端電腦帳號移入該 OU。
2. 針對該 OU 建立新群組原則物件（GPO）。
3. 編輯 GPO：電腦設定 → 原則 → Windows 設定 → 指令碼 → 啟動，新增啟動腳本 RDP.vbs。

RDP.vbs 腳本內容

Const ENABLE_CONNECTIONS = 1
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")
Set colItems = objWMIService.ExecQuery("Select * from Win32_TerminalServiceSetting")
For Each objItem in colItems
    errResult = objItem.SetAllowTSConnections(ENABLE_CONNECTIONS)
Next
Set oShell = WScript.CreateObject("WScript.Shell")
oShell.Run "cmd.exe /c netsh firewall add portopening tcp 3389 RemoteDesktop", 0, True
Set oShell = Nothing

腳本解析

• 透過 WMI 呼叫 Win32_TerminalServiceSetting.SetAllowTSConnections(1) 啟用遠端桌面。
• 呼叫 netsh firewall add portopening tcp 3389 RemoteDesktop 在 Windows 防火牆開啟 3389 連接埠（適用 XP/2003；Vista 以上建議改用 netsh advfirewall）。
• 腳本以 SYSTEM 權限在啟動階段執行，無需使用者互動。

驗證與注意事項

• 客戶端重啟後自動生效，可遠端測試 mstsc 連線。
• 若客戶端為 Vista/Win7/2008 以上，防火牆命令需更新為 netsh advfirewall firewall add rule name="Remote Desktop" dir=in action=allow protocol=TCP localport=3389。
• GPO 同步間隔預設 90 分鐘，急迫可在客戶端執行 gpupdate /force。

群組原則不僅能自動化遠端桌面啟用，更是企業級桌面管理的核心利器。善用啟動/關機、登入/登出腳本，可將重複性設定工作完全自動化。