限制誰可以觸達 RDP，在支援的情況下保持網路層級驗證啟用，使用個別的強式憑證，並將管理權限降到最低。在關閉目前連線之前，測試第二個工作階段與復原存取。
將桌面視為管理邊界
RDP 工作階段提供對遠端系統的互動式存取，因此用於該工作階段的帳號可能成為有價值的目標。先決定誰需要存取，以及他們必須執行什麼工作。共用管理員登入很方便，直到你需要移除某人的存取權或了解某項設定變更。個別帳號讓這些營運工作更清楚。
在軟體允許的情況下，將例行活動與特權變更分開。需要業務應用程式的使用者，不一定需要不受限制的系統管理。也要維護管理員的端點：保護遠端機器並不能保護從受感染或共用的本機裝置輸入的憑證。在存取設計中考慮工作階段的兩端。
在依賴登入保護之前先限制可達性
決定哪些網路或已授權裝置應能觸達工作階段主機。在你的架構支援時，使用受控的 VPN 或 Remote Desktop Gateway，而不是廣泛暴露管理介面。Microsoft 記載 RD Gateway 是通往內部資源的路徑，具備連線與資源授權原則。其適用性取決於環境；不能僅因某方案支援 RDP 就說它是內含功能。
將防火牆規則限制在預定路徑，並確認如何處理動態用戶端位址。不要制定會立即中斷唯一管理員連線且沒有復原選項的限制性規則。保持現有工作階段開啟，從另一個工作階段測試新路徑，並在移除較舊存取路由之前記錄已授權的復原機制。
讓驗證與信任保持明確
Microsoft 建議在大多數支援的環境中使用網路層級驗證。NLA 要求在建立完整遠端工作階段之前先驗證，在該階段增加保護。它不能取代防火牆、帳號原則或系統更新。檢查用戶端相容性並疑難排解驗證問題，而不是把永久削弱設定當作第一反應。
盡可能透過支援的存取架構使用唯一憑證與第二因素。驗證預期的遠端身分與憑證行為，尤其是在重建或主機名稱變更之後。憑證警告值得調查；反覆接受非預期的身分，會把有用的信任檢查變成被忽略的對話方塊。將復原憑證存放在經核准的私密存放區。
| 層級 | 決策 | 驗證 |
|---|---|---|
| 網路 | 哪些用戶端可以觸達主機？ | 非預期來源無法連線 |
| 驗證 | 需要哪個帳號與因素？ | 允許的第二個工作階段成功 |
| 權限 | 哪些工作需要管理權限？ | 例行使用者無法變更系統設定 |
| 復原 | 發生錯誤後如何恢復存取？ | 已記錄的復原路徑可用 |
減少工作階段可以攜帶的內容
依實際工作流程檢視剪貼簿、磁碟機、印表機與其他重新導向功能。管理員可能不需要將每個本機資源暴露給遠端主機。反之，在沒有替代方案的情況下停用必要的傳輸路徑，可能助長不安全的變通做法。記錄允許的檔案移動方法，並讓機密遠離一般桌面筆記或共用下載目錄。
對於適合的網域型環境，Microsoft 提供 Remote Credential Guard，以減少 RDP 連線期間的憑證暴露。它需要相容的用戶端與 Kerberos 驗證，並支援直接連線至目標機器；不支援透過 Remote Desktop Gateway 或 Connection Broker 的連線。檢查你實際存取路徑的需求，而不是把它當作獨立主機代管 Windows 機器的通用保護。
維護機器與你所需的證據
排程作業系統與應用程式更新，包括刻意的重新啟動流程。檢查更新是否需要重新開機，並在之後驗證服務。為無人看管或已中斷連線的工作設定合理的逾時原則，但考慮必須持續執行的應用程式。逾時原則應回應安全或營運需求，而不是單純從其他環境複製任意數字。
依已記錄的原則保留有用的存取與事件資訊。監控重複的驗證失敗與非預期的管理活動，同時避免收集不必要的內容。限制誰可以讀取診斷記錄，並決定需要保留多久。精確的日誌原則，比無限期保留一切或承諾永遠不會有營運記錄更有意義。
安全的第一階段工作階段順序
交付時，驗證預期的系統，透過核准流程變更臨時憑證，並建立個別存取。確認防火牆與復原路由，然後測試第二個連線。套用更新、檢視重新導向並安裝所需的應用程式。建立備份並練習復原重要的設定，然後才依賴該桌面進行日常工作。
DeskLink RDP 與選定的專用設定在 SwissOctet 目錄中提供與 Windows 相關的選項。確認你訂單的作業系統、授權、帳號權限與管理責任。受支援的桌面連線是管理計畫的開始；你所設定並驗證的控制，決定該存取如何被使用。
您的實用檢查清單。
- 使用個別帳號與適當權限。
- 限制預定的 RDP 存取路徑。
- 在相容系統上保持 NLA 啟用。
- 在關閉目前存取之前測試第二個工作階段。
- 檢視重新導向、更新與工作階段原則。
- 確認授權與復原程序。
重要細節。
NLA 會讓暴露的 RDP 主機完全安全嗎？+
不。NLA 只是一項驗證控制。可達性、認證資訊、更新與權限仍需要處理。
我可以在每一台 Windows 伺服器上使用 Remote Credential Guard 嗎？+
不行。用戶端、主機與驗證環境必須符合 Microsoft 的要求，包括適用的 Kerberos 配置。
在收緊防火牆之前，我應該做什麼？+
確認復原路徑、保留可用的工作階段，並透過第二個連線測試新的允許路徑。
前往來源。
這些參考資料支持本指南中的技術概念。在變更生產系統之前，請遵循最新文件。
- Microsoft：啟用遠端桌面與網路層級驗證 learn.microsoft.com
- Microsoft：遠端桌面閘道存取 learn.microsoft.com
- Microsoft：Remote Credential Guard learn.microsoft.com
由 SwissOctet 提供的編輯指引。範例僅供說明。服務規格、可用選項與合約條件必須另行驗證。