组策略限制3389登录时，可通过修改配置、利用服务权限或第三方工具等方式绕过，需注意合规。

声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

症状：

要登录到这台远程计算机，您必须被授予允许通过终端服务登录的权限。默认地，“远程桌面用户”组的成员拥有该权限，如果您不是“远程桌面用户”组或其他拥有该权限的组的成员，或者如果“远程桌面用户”组没有该权限，您必须被手动授予该权限。

2003组策略拒绝远程登录错误

2008组策略拒绝远程登录错误

2012组策略拒绝远程登录错误

原因：

因为目标机器设置了组策略用户权限分配中的“拒绝通过远程桌面服务登录”或“拒绝本地登录”选项，所以在进行远程终端连接时就会出现上图报错提示。

组策略“拒绝通过远程桌面服务登录”

解决方案：

(1) 将目标机器sethc.exe、Utilman.exe等程序替换为cmd.exe或taskmgr.exe，然后在gpedit.msc组策略中修改用户权限分配的“拒绝通过远程桌面服务登录”或“拒绝本地登录”选项。

(2) 通过命令行导出/修改/导入/更新本地组策略。

代码语言：javascript
代码运行次数： 0 运行 复制

拒绝本地登陆：

说明：此安全设置确定要防止哪些用户在该计算机上登录。如果帐户受制于此策略设置和“允许本地登录”策略设置，则前者会取代后者。

代码语言：javascript
代码运行次数： 0 运行 复制

拒绝通过远程桌面服务登录：

说明：此安全设置确定禁止哪些用户和组作为远程桌面服务客户端登录。

代码语言：javascript
代码运行次数： 0 运行 复制

允许本地登陆：

说明：确定哪些用户可以登录到该计算机。

代码语言：javascript
代码运行次数： 0 运行 复制

允许通过远程桌面服务登录：

说明：此安全设置确定哪些用户或组具有作为远程桌面服务客户端登录的权限。

代码语言：javascript
代码运行次数： 0 运行 复制

Windows组策略导出的配置文件：

代码语言：javascript
代码运行次数： 0 运行 复制

Windows组策略（用户权限分配）常量名：

组策略设置

常量名

作为受信任的调用方访问凭据管理器

SeTrustedCredManAccessPrivilege

从网络访问此计算机

SeNetworkLogonRight

作为操作系统的一部分运行

SeTcbPrivilege

将工作站添加到域

SeMachineAccountPrivilege

调整进程的内存配额

SeIncreaseQuotaPrivilege

允许本地登录

SeInteractiveLogonRight

允许通过远程桌面服务登录

SeRemoteInteractiveLogonRight

备份文件和目录

SeBackupPrivilege

绕过遍历检查

SeChangeNotifyPrivilege

更改系统时间

SeSystemtimePrivilege

更改时区

SeTimeZonePrivilege

创建页面文件

SeCreatePagefilePrivilege

创建令牌对象

SeCreateTokenPrivilege

创建全局对象

SeCreateGlobalPrivilege

创建永久共享对象

SeCreatePermanentPrivilege

创建符号链接

SeCreateSymbolicLinkPrivilege

调试程序

SeDebugPrivilege

拒绝从网络访问这台计算机

SeDenyNetworkLogonRight

拒绝作为批处理作业登录

SeDenyBatchLogonRight

拒绝以服务身份登录

SeDenyServiceLogonRight

拒绝本地登录

SeDenyInteractiveLogonRight

拒绝通过远程桌面服务登录

SeDenyRemoteInteractiveLogonRight

允许信任计算机和用户帐户以进行委派

SeEnableDelegationPrivilege

在远程系统中强制关机

SeRemoteShutdownPrivilege

生成安全审核

SeAuditPrivilege

身份验证后模拟客户端

SeImpersonatePrivilege

增加进程工作集

SeIncreaseWorkingSetPrivilege

提升调度优先级

SeIncreaseBasePriorityPrivilege

加载和卸载设备驱动程序

SeLoadDriverPrivilege

在内存中锁定页面

SeLockMemoryPrivilege

作为批处理作业登录

SeBatchLogonRight

以服务身份登录

SeServiceLogonRight

管理审核和安全日志

SeSecurityPrivilege

修改对象标签

SeRelabelPrivilege

修改固件环境值

SeSystemEnvironmentPrivilege

执行批量维护任务

SeManageVolumePrivilege

配置文件单一进程

SeProfileSingleProcessPrivilege

配置文件系统性能

SeSystemProfilePrivilege

从扩展坞中删除计算机

SeUndockPrivilege

替换进程级令牌

SeAssignPrimaryTokenPrivilege

还原文件和目录

SeRestorePrivilege

关闭系统

SeShutdownPrivilege

同步目录服务数据

SeSyncAgentPrivilege

取得文件或其他对象的所有权

SeTakeOwnershipPrivilege

官方说明文档：

https://docs.microsoft.com/zh-cn/previous-versions/mt629101(v=vs.85)