一个 Windows 工作区。您的访问规则。

远程桌面仍然是服务器

Windows 环境运行在托管基础设施上，通过远程桌面协议访问。使用体验取决于与所在地的距离、可用带宽以及您所做的工作类型。响应灵敏的终端会话与图形密集型桌面有着截然不同的要求。

将登录置于边界之后

使用唯一的管理员密码、受支持的 Windows 更新和网络级身份验证。限制可访问 RDP 的源地址，或将其置于安全网关或 VPN 之后。将弱登录暴露在公共互联网上是可以避免的风险。

许可先于部署

Windows 版本、激活权利、远程桌面服务用户访问权限和第三方应用程序许可必须与预期用途相符。请准确核实您的订单包含哪些许可权利。不要假设桌面许可涵盖多用户托管服务。

保持工作数据可迁移

将重要文件保存到受控存储库或桌面之外的加密备份。工作站可以重建；项目的唯一副本不能。设置空闲锁定策略，并注销不再需要的会话。

Windows 镜像选择

对比配置器中列出的五个 Windows 版本。确认所选订单的可用性、许可权利、激活和允许的用户会话数。

• Windows Server 2025
• Windows Server 2022
• Windows Server 2019
• Windows 11 IoT Enterprise
• Windows 10 IoT LTSC 2021

将桌面置于访问边界之后

对于受限的 RDP 配置，在应用经批准的源 IP 允许列表之前，请保持 TCP 端口 3389 对公共互联网关闭。仅使用 WireGuard 的连接是一种替代方案：保持公共 RDP 端口关闭，并通过私有隧道访问桌面。在向用户开放桌面之前，请验证已应用的防火墙规则。最终订单必须明确许可覆盖范围、快照、缓解措施和支持范围。仅凭 Windows 版本标签并不能授予托管或多用户权利。

阅读该版本的实际使用权利

Microsoft 将 Windows IoT Enterprise 描述为面向固定用途设备，其许可和分发与普通桌面版本不同。RDS 会话主机访问有其自己的客户端访问许可模式。这些目录标签在激活前需要经过验证的合法托管和用户访问安排；镜像菜单中的名称并不能证明这些权利。

Microsoft：Windows IoT Enterprise · Microsoft：RDS 客户端访问许可

团队会话和自定义 CAL 数量

Warden Remote 是为五用户远程桌面服务目标指定的。更大的 Guardian Remote、Vanguard Remote 和 Apex Remote 分配，或自定义 CAL 请求，需要单独工程审查；未公布确切更高层级用户数或 CAL 附加费。许可计划、允许的 Windows 版本以及每用户或每设备授权必须在激活前确认。并发会话目标不能替代所需的 CAL 授权。

变更与恢复

更改桌面资源时计划重启，并在做出更改之前检查可用的重装和快照恢复选项。重装和恢复可能覆盖当前数据。请独立备份工作文件，并在更改生产桌面之前规划中断。

清晰的月付和年付条款

全部五个 Windows RDP 套餐均提供按月计费或一次性支付一个 12 个月周期的费用，相比 12 次单独月度付款可节省 30%。年度总额为所列月度价格乘以 0.70 后的 12 倍，并一次性四舍五入到分。所列价格包含所述许可安排，且无设置费。请在适用条款中查看许可范围、续费时间、取消规则、退款以及关闭后的数据保留。

五张图片，许可在订购时确定

Windows 目录将 Windows Server 2022 列为默认项，此外还有 Server 2025、Server 2019、Windows 11 IoT Enterprise 和 Windows 10 IoT LTSC 2021。镜像可用性与许可必须与最终服务协议一致。随附的 Windows 许可证本身并不授予无限并发远程桌面服务用户或第三方软件许可证。

让预期人员能够访问桌面

预期的 RDP 访问策略将远程桌面端口限制为授权源地址，而不是在全球范围内留下弱登录入口。在测试访问前添加管理员允许的网络。使用网络级别身份验证、唯一密码和受支持的更新。如果用户在网络之间移动，请规划经过身份验证的网关或 VPN，并记录更新允许列表的安全方法。

重建前移动工作文件

将 Windows 重装视为破坏性变更。导出应用配置、仓库、配置文件及必要的许可证信息，且不得暴露机密。验证备份可在另一台机器上打开。重建后，在恢复繁忙的桌面之前，检查更新、时间同步、访问允许列表和普通用户会话。