为什么“远程桌面用户”组总是清空自己？还有更奇怪的 RDP 问题

Question

我正在运行带有 AD 的 Windows Server 2003 PDC，我们有 2 台机器，我们要求每个人都能够远程登录。因此，我将“域用户”添加到内置的“远程桌面用户”帐户，但在策略刷新后该组清空自身，导致“此系统的本地策略不允许您交互登录”错误。

在 GPO 中，我将“域用户”组添加到“允许通过终端服务登录”。这让我通过了之前的错误，但出现了“您无权登录此会话”的新错误消息。

域管理员可以登录，只是普通用户不能。

谁有想法？我在这里扯头发。我来自 unix 管理员背景，所以这对我来说是全新的。GPO 被证明是一种令人讨厌的痛苦，但对某些事情很有用。

请帮忙！

谢谢！

编辑：我应该提到我要求人们能够 RDP 进入的两台机器是 Windows XP 客户端，所以他们没有“终端服务配置”工具。Edit2：运行 Windows Server 2003 R2 x64，更新到刀柄。

Answer 1

在您的帖子的第一部分中，听起来有人已经为“远程桌面用户”组配置了“受限组策略”，这解释了它“清空”的原因。这不是一个股票操作系统功能——有人在某个时候配置了它。您可以通过修改“清空”组的 GPO 或创建一个新的 GPO 来解决它，该新 GPO 在包含“受限组”的现有 GPO 之后应用以覆盖设置。

下一位——“您无权登录此会话”位有点令人困惑。我一直在尝试在 Windows Server 2003 SP2 32 位标准版上重现它。机器现在有点，我无法想出一个再现条件。

如果愿意，请打开机器上的“终端服务配置”工具，突出显示左侧窗格中的“连接”节点，并在右侧窗格中调出“RDP-Tcp”对象的“属性”。查看“权限”选项卡，看到“远程桌面用户”被授予“用户访问”和“来宾访问”（股票权限）。

如果做不到这一点，我不确定是否能够复制它。您运行的 W2K3 服务包级别是什么？

（顺便说一句：我和你有类似的背景——我从 Unix 开始，然后不情愿地转移到 Windows。一旦你克服了这些怪癖，组策略就非常有用。我像疯子一样编写 Windows 机器的脚本，因为我不能站着不止一次做同样的工作。内置的 Windows 命令 shell 完全不如任何 Unix shell，但它可以被哄去执行大多数任务......）

编辑：

哦——它们是 Windows XP 机器。我没有意识到。这会改变事情。我认为这些是您尝试使用 RDP 访问的服务器。

我的通灵能力说您看到“您无权登录此会话”消息，因为有人已经登录到 PC 并且使用 RDP 登录的用户没有“管理员”权限在 Windows XP 机器上。Windows XP 一次只能托管一个 RDP/控制台会话，如果有人已经登录，则只有“管理员”用户可以使用 RDP 远程“阻止他们”。尝试使用 RDP 登录的所有其他用户将收到您上面描述的消息。

这看起来如何？

要进一步调查“受限组”策略，请在 WinXP 客户端上运行 RSoP 工具，看看是否有任何 GPO 在“远程桌面用户”上强制执行“受限组”设置。例如，在我设置的网络中，会有。这是授予组访问客户端上 RDP 的常见方法。