# 安全地進行 Windows RDP 管理而不失去存取 | SwissOctet Insights https://swissoctet.com/zh-tw/insights/secure-windows-rdp-administration/ SwissOctet / 深入解析 / 第二天營運 第二天營運 實務 · 6 分鐘閱讀 安全地管理 Windows RDP 而不失去存取權 區分網路可達性、驗證與權限，然後在緊縮遠端存取之前先驗證復原途徑。 由 SwissOctet 編輯部撰寫 儲存指南 複製連結 本頁內容 01 將桌面視為管理邊界 02 在依賴登入保護之前先限制可達性 03 讓驗證與信任保持明確 04 減少工作階段可以攜帶的內容 05 維護機器與你所需的證據 06 安全的第一階段工作階段順序 您的實用檢查清單 來源與延伸閱讀 返回資料庫 直接答案 限制誰可以觸達 RDP，在支援的情況下保持網路層級驗證啟用，使用個別的強式憑證，並將管理權限降到最低。在關閉目前連線之前，測試第二個工作階段與復原存取。 01 將桌面視為管理邊界 RDP 工作階段提供對遠端系統的互動式存取，因此用於該工作階段的帳號可能成為有價值的目標。先決定誰需要存取，以及他們必須執行什麼工作。共用管理員登入很方便，直到你需要移除某人的存取權或了解某項設定變更。個別帳號讓這些營運工作更清楚。 在軟體允許的情況下，將例行活動與特權變更分開。需要業務應用程式的使用者，不一定需要不受限制的系統管理。也要維護管理員的端點：保護遠端機器並不能保護從受感染或共用的本機裝置輸入的憑證。在存取設計中考慮工作階段的兩端。 02 在依賴登入保護之前先限制可達性 決定哪些網路或已授權裝置應能觸達工作階段主機。在你的架構支援時，使用受控的 VPN 或 Remote Desktop Gateway，而不是廣泛暴露管理介面。Microsoft 記載 RD Gateway 是通往內部資源的路徑，具備連線與資源授權原則。其適用性取決於環境；不能僅因某方案支援 RDP 就說它是內含功能。 將防火牆規則限制在預定路徑，並確認如何處理動態用戶端位址。不要制定會立即中斷唯一管理員連線且沒有復原選項的限制性規則。保持現有工作階段開啟，從另一個工作階段測試新路徑，並在移除較舊存取路由之前記錄已授權的復原機制。 03 讓驗證與信任保持明確 Microsoft 建議在大多數支援的環境中使用網路層級驗證。NLA 要求在建立完整遠端工作階段之前先驗證，在該階段增加保護。它不能取代防火牆、帳號原則或系統更新。檢查用戶端相容性並疑難排解驗證問題，而不是把永久削弱設定當作第一反應。 盡可能透過支援的存取架構使用唯一憑證與第二因素。驗證預期的遠端身分與憑證行為，尤其是在重建或主機名稱變更之後。憑證警告值得調查；反覆接受非預期的身分，會把有用的信任檢查變成被忽略的對話方塊。將復原憑證存放在經核准的私密存放區。 層級 決策 驗證 網路 哪些用戶端可以觸達主機？ 非預期來源無法連線 驗證 需要哪個帳號與因素？ 允許的第二個工作階段成功 權限 哪些工作需要管理權限？ 例行使用者無法變更系統設定 復原 發生錯誤後如何恢復存取？ 已記錄的復原路徑可用 04 減少工作階段可以攜帶的內容 依實際工作流程檢視剪貼簿、磁碟機、印表機與其他重新導向功能。管理員可能不需要將每個本機資源暴露給遠端主機。反之，在沒有替代方案的情況下停用必要的傳輸路徑，可能助長不安全的變通做法。記錄允許的檔案移動方法，並讓機密遠離一般桌面筆記或共用下載目錄。 對於適合的網域型環境，Microsoft 提供 Remote Credential Guard，以減少 RDP 連線期間的憑證暴露。它需要相容的用戶端與 Kerberos 驗證，並支援直接連線至目標機器；不支援透過 Remote Desktop Gateway 或 Connection Broker 的連線。檢查你實際存取路徑的需求，而不是把它當作獨立主機代管 Windows 機器的通用保護。 05 維護機器與你所需的證據 排程作業系統與應用程式更新，包括刻意的重新啟動流程。檢查更新是否需要重新開機，並在之後驗證服務。為無人看管或已中斷連線的工作設定合理的逾時原則，但考慮必須持續執行的應用程式。逾時原則應回應安全或營運需求，而不是單純從其他環境複製任意數字。 依已記錄的原則保留有用的存取與事件資訊。監控重複的驗證失敗與非預期的管理活動，同時避免收集不必要的內容。限制誰可以讀取診斷記錄，並決定需要保留多久。精確的日誌原則，比無限期保留一切或承諾永遠不會有營運記錄更有意義。 06 安全的第一階段工作階段順序 交付時，驗證預期的系統，透過核准流程變更臨時憑證，並建立個別存取。確認防火牆與復原路由，然後測試第二個連線。套用更新、檢視重新導向並安裝所需的應用程式。建立備份並練習復原重要的設定，然後才依賴該桌面進行日常工作。 DeskLink RDP 與選定的專用設定在 SwissOctet 目錄中提供與 Windows 相關的選項。確認你訂單的作業系統、授權、帳號權限與管理責任。受支援的桌面連線是管理計畫的開始；你所設定並驗證的控制，決定該存取如何被使用。 付諸行動 您的實用檢查清單。 ✓ 使用個別帳號與適當權限。 ✓ 限制預定的 RDP 存取路徑。 ✓ 在相容系統上保持 NLA 啟用。 ✓ 在關閉目前存取之前測試第二個工作階段。 ✓ 檢視重新導向、更新與工作階段原則。 ✓ 確認授權與復原程序。 下載檢查清單 常見問題 重要細節。 NLA 會讓暴露的 RDP 主機完全安全嗎？ + 不。NLA 只是一項驗證控制。可達性、認證資訊、更新與權限仍需要處理。 我可以在每一台 Windows 伺服器上使用 Remote Credential Guard 嗎？ + 不行。用戶端、主機與驗證環境必須符合 Microsoft 的要求，包括適用的 Kerberos 配置。 在收緊防火牆之前，我應該做什麼？ + 確認復原路徑、保留可用的工作階段，並透過第二個連線測試新的允許路徑。 主要參考資料 前往來源。 這些參考資料支持本指南中的技術概念。在變更生產系統之前，請遵循最新文件。 Microsoft：啟用遠端桌面與網路層級驗證 learn.microsoft.com Microsoft：遠端桌面閘道存取 learn.microsoft.com Microsoft：Remote Credential Guard learn.microsoft.com 由 SwissOctet 提供的編輯指引。範例僅供說明。服務規格、可用選項與合約條件必須另行驗證。 連結知識 相關基礎架構。 DeskLink RDP 瑞士 Metal Atlas 瑞士 Metal EPYC 瑞士 保持脈絡 您的下一份實地筆記。 探索所有指南 實地筆記 / 01 + 第二天營運 實務應用 建立您真正能還原的備份 選擇復原目標、保護獨立副本，並在事件迫使您面對問題之前練習還原。 4 分鐘閱讀 閱讀指南 實地筆記 / 02 + 第二天營運 實務應用 為你的代管專案建立實用的威脅模型 描繪資產與信任邊界，選擇幾個實際的失效情境，並將其轉化為可測試的控制措施。 6 分鐘閱讀 閱讀指南 實地筆記 / 03 + 第二天營運 實務應用 可持續維護的 Linux VPS 強化基準 安全地管理、只暴露必要的服務，並建立更新與復原機制，同時避免把自己鎖在外面。 6 分鐘閱讀 閱讀指南