限制谁可以访问 RDP，在支持的地方保持网络级别身份验证启用，使用个人强凭据并最小化管理权限。在关闭当前连接之前，测试第二个会话和恢复访问。
将桌面视为管理边界
RDP 会话提供对远程系统的交互式访问，因此用于它的账户可能成为有价值的目标。首先确定谁需要访问以及他们必须执行什么工作。共享管理员登录很方便，直到你需要移除某人的访问权限或了解配置更改。个人账户使这些运营任务更清晰。
在软件允许的情况下，将日常活动与特权更改分开。需要业务应用程序的用户不一定需要不受限制的系统管理。管理员端点也要保持维护：保护远程机器并不能保护从受感染或共享本地设备输入的凭据。在访问设计中考虑会话的两端。
在依赖登录保护之前限制可达性
确定哪些网络或授权设备应能访问会话主机。在你的架构支持的情况下，使用受控的 VPN 或远程桌面网关，而不是广泛暴露管理。Microsoft 将 RD 网关记录为通过连接和资源授权策略访问内部资源的途径。其适用性取决于环境；仅因某个计划支持 RDP 并不意味着它包含该功能。
将防火墙规则限制到预期路径，并确认如何处理动态客户端地址。不要制定会立即断开唯一管理员且没有恢复选项的限制性规则。保持现有会话打开，从另一个会话测试新路径，并在移除旧访问路由之前记录授权的恢复机制。
保持身份验证和信任明确
Microsoft 建议在大多数受支持环境中使用网络级别身份验证。NLA 要求在建立完整远程会话之前进行身份验证，在该阶段增加保护。它不能替代防火墙、账户策略或系统更新。检查客户端兼容性并排查身份验证问题，而不是将永久削弱配置作为第一反应。
尽可能通过受支持的访问架构使用唯一凭据和第二因素。验证预期的远程身份和证书行为，尤其是在重建或主机名更改之后。证书警告值得调查；反复接受意外身份会把有用的信任检查变成被忽略的对话框。将恢复凭据保存在经批准的私密存储中。
| 层 | 决定 | 验证 |
|---|---|---|
| 网络 | 哪些客户端可以访问主机？ | 意外来源无法连接 |
| 身份验证 | 需要哪个账户和因素？ | 允许的第二个会话成功 |
| 权限 | 哪些任务需要管理？ | 日常用户无法更改系统设置 |
| 恢复 | 出错后如何恢复访问？ | 已记录的恢复路径可用 |
减少会话可以携带的内容
对照实际工作流程，审查剪贴板、驱动器、打印机及其他重定向功能。管理员可能不需要将每个本地资源都暴露给远程主机。反过来，在没有替代方案的情况下禁用所需的传输路径，可能会助长不安全的变通做法。记录允许的文件移动方法，并让机密信息远离普通桌面笔记或共享下载目录。
对于合适的基于域的环境，Microsoft 提供 Remote Credential Guard，以减少 RDP 连接期间的凭据暴露。它需要兼容的客户端和 Kerberos 身份验证，并支持直接连接到目标计算机；不支持通过 Remote Desktop Gateway 或 Connection Broker 的连接。请根据实际访问路径检查要求，而不是将其视为对独立托管 Windows 机器的通用保护。
维护机器和你需要的证据
安排操作系统和应用程序更新，包括有意的重启流程。检查更新是否需要重启，并在之后验证服务。为无人值守或断开连接的工作设置合理的会话策略，但要考虑必须继续运行的应用程序。超时策略应满足安全或运营需求，而不是简单地从其他环境复制一个任意数字。
按照有记录的政策保留有用的访问和事件信息。监控重复的身份验证失败和意外的管理活动，同时不收集不必要的内容。限制谁可以读取诊断记录，并决定需要保留多长时间。精确的日志记录策略比无限期保留所有内容或承诺永远不会有任何运营记录更有意义。
安全的首次会话序列
交付时，验证预期系统，通过批准的流程更改临时凭据，并建立个人访问权限。确认防火墙和恢复路由，然后测试第二个连接。应用更新，审查重定向并安装所需的应用程序。在依赖桌面进行日常工作之前，创建备份并演练恢复重要设置。
DeskLink RDP 和选定的专用配置在 SwissOctet 目录中提供与 Windows 相关的选项。确认您的订单对应的操作系统、许可、账户权限和管理职责。受支持的桌面连接只是管理计划的开始；您配置和验证的控制措施决定了该访问权限的使用方式。
您的实用清单。
- 使用个人账户和适当的权限。
- 限制预期的 RDP 访问路径。
- 在兼容系统上保持启用 NLA。
- 在关闭当前访问之前测试第二个会话。
- 审查重定向、更新和会话策略。
- 确认许可和恢复流程。
重要细节。
NLA 是否能让暴露的 RDP 主机完全安全？+
不能。NLA 只是一种身份验证控制。可达性、凭据、更新和权限仍然需要关注。
我可以在每台 Windows 服务器上使用 Remote Credential Guard 吗？+
不能。客户端、主机和身份验证环境必须满足 Microsoft 的要求，包括适用的 Kerberos 配置。
在收紧防火墙之前我应该做什么？+
验证恢复路由，保留工作会话，并通过第二个连接测试新的允许路径。
前往来源。
这些参考资料支持本指南中的技术概念。在更改生产系统之前，请遵循当前文档。
- Microsoft：启用远程桌面和网络级别身份验证 learn.microsoft.com
- Microsoft：Remote Desktop Gateway 访问 learn.microsoft.com
- Microsoft：Remote Credential Guard learn.microsoft.com
由 SwissOctet 提供编辑指导。示例仅作说明。服务规格、可用选项和合同条件必须单独核实。