Как создать пользователя и дать ему доступ по RDP на Windows Server
Чтобы дать сотруднику доступ к серверу по RDP, создайте локальную учётную запись и добавьте её в группу Remote Desktop Users — так пользователь сможет подключаться, но не получит прав администратора. Сделать это можно через оснастку lusrmgr.msc или двумя командами PowerShell. Разберём оба способа.
Принцип: минимум привилегий
Не давайте обычным пользователям права администратора только ради RDP. Достаточно членства в группе Remote Desktop Users — она разрешает удалённый вход без доступа к системным настройкам. Это базовое правило безопасности.
Способ 1. Через графическую оснастку
- Нажмите Win + R, введите
lusrmgr.msc, нажмите Enter. - Откройте папку Users, кликните правой кнопкой → New User.
- Заполните User name и Password. Снимите галку «User must change password at next logon», если это не нужно, и поставьте «Password never expires» при необходимости.
- Нажмите Create.
- Дважды кликните по новому пользователю → вкладка Member Of → Add, введите
Remote Desktop Users, нажмите OK.
Готово — учётная запись может подключаться по RDP.
Способ 2. Через PowerShell
Запустите PowerShell от имени администратора. Создаём пользователя с паролем:
$password = Read-Host -AsSecureString "Введите пароль"
New-LocalUser -Name "ivan" -Password $password -FullName "Ivan Petrov" -Description "RDP user"
Добавляем его в группу Remote Desktop Users:
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "ivan"
Проверяем состав группы:
Get-LocalGroupMember -Group "Remote Desktop Users"
Дополнительно: пароль без истечения срока
Если учётка сервисная и пароль не должен устаревать:
Set-LocalUser -Name "ivan" -PasswordNeverExpires $true
Проверка доступа
Убедитесь, что на сервере включён RDP (иначе даже добавленный пользователь не зайдёт). Затем пусть пользователь подключится с клиента:
mstsc /v:203.0.113.10
и введёт логин ivan с заданным паролем.
Роли групп: что выбрать
| Группа | Что даёт |
|---|---|
| Remote Desktop Users | Только удалённый вход по RDP |
| Administrators | Полный доступ + RDP |
| Users | Локальный вход, без RDP |
Для рядовых сотрудников — только Remote Desktop Users.
Частые вопросы
Пользователь создан, но пишет «нет прав на удалённый вход»
Учётная запись не в группе Remote Desktop Users. Добавьте её командой Add-LocalGroupMember -Group "Remote Desktop Users" -Member "имя" и повторите подключение.
Как удалить пользователя, когда доступ больше не нужен?
Выполните Remove-LocalUser -Name "ivan". Чтобы только отозвать RDP, уберите из группы: Remove-LocalGroupMember -Group "Remote Desktop Users" -Member "ivan".
Можно ли ограничить пользователю время работы или доступ к дискам?
Да, через групповые политики (gpedit.msc) и настройки RDS можно ограничить часы входа, перенаправление дисков и буфера обмена. Права на файлы задаются через NTFS-разрешения.
Нужно ли делать пользователя администратором для RDP?
Нет, и не рекомендуется. Членства в Remote Desktop Users достаточно для входа, а отсутствие админ-прав снижает риски при компрометации учётной записи.
Собираете сервер для команды с раздельными учётными записями? Посмотрите VPS на Windows или тарифы на аренду VPS.
