需求：禁止特定帳號（如離職人員、服務帳號）透過遠端桌面登入 Server 2003，但保留其本地登入權限。解法：使用「本地安全性原則」將帳號加入「拒絕透過終端服務登入」權利指派。

操作步驟

1. Win+R → secpol.msc 開啟「本地安全性原則」（或控制台 → 管理工具 → 本地安全性原則）。
2. 展開：本地原則 → 使用者權利指派。
3. 右側找到並雙擊 「拒絕透過終端服務登入」（Deny log on through Terminal Services）。
4. 點擊「新增使用者或群組…」 → 輸入要禁止的帳號名稱（或瀏覽選擇） → 確定。
5. 套用 → 確定關閉。
6. 執行 gpupdate /force 強制重新整理原則（或重啟伺服器）。

驗證

使用該帳號嘗試遠端桌面連線，應提示：
無法登入：因帳號限制，無法透過終端服務登入。
但該帳號在伺服器本地鍵盤/螢幕登入（Console）應仍正常。

補充：相關權利指派對照

權利名稱	用途
允許本地登入	控制 Console/實體登入權限
拒絕本地登入	禁止 Console 登入
允許透過終端服務登入	預設授權遠端桌面權限（遠端桌面使用者群組已具備）
拒絕透過終端服務登入	本文核心：優先級高於允許，精準封鎖特定帳號遠端登入
從網路存取此電腦	控制 SMB/共用資料夾/RPC 等網路存取
拒絕從網路存取此電腦	封鎖網路存取

最佳實務

• 建立專用安全性群組（如 Deny_RDP_Access），將需封鎖帳號加入該群組，再將群組加入「拒絕透過終端服務登入」，便於集中管理。
• 定期審核該權利指派成員，配合離職/異動流程同步更新。
• 網域環境建議在 GPO（群組原則物件）中配置，而非單機本地原則，確保全域一致性。

「拒絕」權利優先級高於「允許」，善用此機制可精準控制遠端存取權限，提升伺服器安全態勢。