遠端桌面雖便利，但若不加限制會擴大攻擊面。Windows Server 2003 可透過「本地安全性原則」精確封鎖特定帳號遠端登入，而不影響本地登入或其他帳號遠端存取。

操作步驟

1. 開啟「控制台」→「管理工具」→「本地安全性原則」 (secpol.msc)
2. 展開：「本地原則」→「使用者權利指派」
3. 右側清單雙擊 「拒絕從終端服務登入」 (Deny log on through Terminal Services)
4. 點擊「新增使用者或群組」→ 輸入欲封鎖的帳號名稱 (如 guest, contractor, tempuser) →「確定」
5. 關閉原則編輯器，設定即時生效 (無需重開機)

驗證方式

• 使用被封鎖帳號嘗試遠端桌面連線 → 應提示「無法登入：本地原則不允許透過終端服務登入」
• 同帳號本地控制台登入不受影響 (除非另行設定「拒絕本地登入」)
• 其他未列入名單的帳號遠端登入正常

最佳實踐建議

• 建立專用安全性群組 (如 Deny_RDP_Access) 加入該原則，後續增減用戶只需修改群組成員
• 搭配「允許從終端服務登入」原則 (預設含 Administrators, Remote Desktop Users) 實現白名單機制
• 定期稽核「安全性事件日誌」事件 ID 529/4625 (登入失敗) 監控異常嘗試
• 關鍵伺服器建議部署 RD Gateway + MFA，而非直接暴露 3389 埠

精確的「拒絕終端服務登入」原則，是 Win2003 遠端存取控制的基石，配合群組管理實現彈性且安全的權限模型。