创建普通账户并授予远程桌面权限

多人维护同一服务器时，应为每位获授权的操作者建立独立系统账号，再授予所需权限。本教程适用于工作组模式、带桌面体验的Windows Server，操作人已经拥有管理员权限。域成员服务器或域控制器，应由域管理员按组织策略管理，不能照搬本地账户流程。

先区分三种权限

添加账号不会增加可用并发会话，也不替代Windows或远程桌面服务的授权。多人日常办公、桌面托管等用途，应先确认相应许可和产品适用性，不通过破解会话限制解决。

创建本地标准账户

1. 在服务器里按Win+R，运行lusrmgr.msc，打开“本地用户和组”。
2. 选择“用户”，在空白处右键“新用户”。填写能对应实际操作者的用户名，例如baole_user，并由账户负责人设置独立强密码。
3. 安排合适的密码初始化方式。如果用户只能通过RDP登录，必须先确保其密码有效；“下次登录必须更改密码”与NLA组合可能阻止首次远程登录，应在受控方式完成初始化后再交付。不要因此普遍设置密码永不过期。
4. 创建后打开该用户属性，查看“隶属于”。普通业务用户保持标准账户身份，除非确实承担系统管理工作。

加入远程桌面用户组

1. 在同一控制台选择“组”，双击Remote Desktop Users（中文系统显示“远程桌面用户”）。
2. 点击“添加”，输入刚建立的本地用户名，选择当前服务器作为查找位置，再点击“检查名称”。
3. 确认解析结果指向当前服务器上的正确账户，再点击确定保存。不要把Everyone或整个Users组作为省事的替代。
4. 保持原管理员连接，另开客户端，使用服务器计算机名\用户名和该用户密码测试RDP。

如果成员正确却仍被拒绝

先确认服务器启用了远程桌面，再在secpol.msc中查看“本地策略→用户权限分配”的“允许通过远程桌面服务登录”和相应“拒绝”策略。拒绝项、组成员关系或域策略都可能影响最终结果。查看现有策略并记录，不删除整套安全基线或关闭NLA来碰运气。域策略控制的设置应交由域管理员调整。

完成标准与离职撤权

• 新用户能建立自己的会话，账号名称正确，所需程序可运行；不需要管理权限时无法随意更改系统级设置。
• 关键目录仍按文件权限单独授权，RDP登录权限不等于可以读写所有业务数据。
• 人员不再需要访问时，先确认没有服务或计划任务依赖该账号，再停用账户、处理活动会话和文件归属，并留下操作记录。
• 保留独立可用的管理员与恢复渠道，不能在测试新用户之前就停用唯一管理员。