遠端桌面連線 Server 2003 時彈出：「要登入這台遠端電腦，您必須被授予允許透過終端服務登入的權限。」本文提供 8 步驟系統性排查清單，涵蓋群組成員、使用者屬性、安全性原則雙向權利指派、群組原則強制重新整理。

排查清單（按依賴順序執行）

1. 確認帳號屬於「遠端桌面使用者」群組
   伺服器上：lusrmgr.msc → 群組 → Remote Desktop Users → 確認目標域使用者/群組已加入。
   或命令列：net localgroup "Remote Desktop Users" DOMAIN\user /add。
2. AD 使用者屬性啟用「允許登入終端服務器」
   「Active Directory 使用者和電腦」 → 目標使用者 → 右鍵「內容」 → 「終端服務設定檔」索引標籤 → 勾選 「允許登入終端服務器」 → 確定。
3. 安全性原則：移除「拒絕透過終端服務登入」中的帳號/群組
   secpol.msc (或 GPO: 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 使用者權利指派) → 拒絕透過終端服務登入 → 若包含 Remote Desktop Users 或目標帳號 → 移除。
   「拒絕」優先級高於「允許」，任何殘留會導致登入失敗。
4. 安全性原則：確認「允許本地登入」包含 Remote Desktop Users
   同路徑 → 允許本地登入 → 確認包含 Remote Desktop Users（預設應有），缺則新增。
5. 安全性原則：移除「拒絕本地登入」中的目標帳號
   同路徑 → 拒絕本地登入 → 若含目標帳號/群組 → 移除。
6. 安全性原則：確認「從網路存取此電腦」包含目標帳號
   同路徑 → 從網路存取此電腦 → 確認包含 Remote Desktop Users 與目標帳號，缺則新增。
   RDP 流量屬網路存取，缺此權利同樣會被拒絕。
7. 安全性原則：移除「拒絕從網路存取此電腦」中的目標帳號
   同路徑 → 拒絕從網路存取此電腦 → 若含目標帳號/群組 → 移除。
8. 雙端強制重新整理群組原則並重啟
   伺服器與客戶端分別執行：
   gpupdate /force
   重啟電腦 → 再次嘗試遠端桌面連線。

常見遺漏點

• 網域環境下 GPO 覆蓋本地原則，需在正確 OU 連結的 GPO 中修改，而非單機 secpol.msc。
• 「終端服務設定檔」索引標籤僅在安裝「終端服務」角色後出現，若未安裝角色則無此頁籤（但 RDP 仍受權利指派控制）。
• 防火牆/IPsec 封鎖 TCP 3389 會導致連線逾時而非權限錯誤，錯誤訊息不同，可排除。

快速驗證腳本 (PowerShell 2.0+ / Server 2003 需安裝 WMF 2.0)

$user = "DOMAIN\user"
$rights = @("SeDenyRemoteInteractiveLogonRight","SeRemoteInteractiveLogonRight","SeDenyLogonRight","SeInteractiveLogonRight","SeDenyNetworkLogonRight","SeNetworkLogonRight")
foreach($r in $rights){
    $policy = Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\PolicyAgent" -ErrorAction SilentlyContinue
    # 需配合 secedit /export /areas USER_RIGHTS 分析
}

建議將上述 8 步驟製成核對表，納入遠端桌面故障 SOP，逐項勾選可快速定位 99% 權限問題。