Чтобы предоставить доступ к серверу через удалённый рабочий стол (RDP), в Windows Server 2016 нужно не только создать учётную запись, но и добавить её в специальную группу. Без этого пользователь не сможет подключиться, даже если у него есть логин и пароль. мы разберём, как сделать это правильно — от создания пользователя до настройки прав и проверки подключения.
В случаев достаточно выполнить 3 шага: создать локального пользователя, добавить его в группу Удалённые пользователи рабочего стола (или Remote Desktop Users), а затем проверить настройки брандмауэра и служб. Но есть нюансы — например, если сервер входит в домен, алгоритм отличается. Об этом тоже расскажем.
Подготовка сервера к подключению по RDP
Перед тем как добавлять пользователей, убедитесь, что на сервере включён сам удалённый рабочий стол. По умолчанию в Windows Server 2016 он отключён. Чтобы проверить и включить:
Откройте Панель управления → Система → Настройка удалённого доступа. Выберите Разрешить подключения к этому компьютеру и укажите версию протокола (обычно Только с проверкой подлинности на уровне сети — это безопаснее). Не забудьте применить изменения.
Если вы настраиваете сервер в облаке (например, Azure), проверьте, открыт ли порт 3389 в правилах сетевой безопасности. Без этого подключение не будет работать даже при правильных настройках Windows.
Также убедитесь, что служба Удалённый рабочий стол (Remote Desktop Services) запущена. Для этого откройте services.msc, найдите службу Remote Desktop Services и проверьте её статус. Если она остановлена — запустите её и настройте автоматический тип запуска.
| Критерий | Локальные пользователи | Доменные пользователи |
|---|---|---|
| Тип сервера | Автономный (не в домене) | Член домена Active Directory |
| Место создания пользователя | Локальная БД SAM | Active Directory |
| Где добавлять в группу RDP | Локальные группы сервера | Группы домена или сервера |
| Сложность настройки | Проще | Требует прав администратора домена |
Способы добавления пользователя в группу RDP
Есть два основных способа предоставить пользователю доступ к удалённому рабочему столу: через локальные учётные записи и через доменные. Рассмотрим оба варианта.
Локальные пользователи подходят для серверов, не входящих в домен. Доменные учётные записи удобны, если сервер — частью Active Directory. В таблице ниже — ключевые отличия:
Если ваш сервер не входит в домен, используйте локальные учётные записи. Это проще и быстрее. Если сервер в домене — лучше управлять пользователями через Active Directory, чтобы избежать дублирования учётных записей.
Создание локального пользователя для RDP
Чтобы создать нового пользователя, который сможет подключаться по RDP:
- Откройте
Управление компьютером(compmgmt.msc) - Перейдите в раздел
Локальные пользователи и группы → Пользователи - Кликните правой кнопкой по пустому месту и выберите
Новый пользователь - Заполните поля: имя пользователя, полное имя (необязательно), пароль и подтверждение пароля. Поставьте галочки
Требуется смена пароля при следующем входеиЗапретить смену пароля пользователемпри необходимости. - Нажмите
Создать, затемЗакрыть.
Теперь пользователь создан, но у него ещё нет прав для подключения по RDP. Нужно добавить его в специальную группу.
Добавление пользователя в группу удалённых пользователей
В Windows Server 2016 есть две группы, которые контролируют доступ по RDP:
Удалённые пользователи рабочего стола(Remote Desktop Users) — основная группа для пользователей RDP.Администраторы(Administrators) — члены этой группы автоматически получают доступ к RDP.
Чтобы добавить пользователя в группу Remote Desktop Users:
- В
Управлении компьютеромперейдите вЛокальные пользователи и группы → Группы. - Найдите группу
Remote Desktop Usersи откройте её свойства двойным кликом. - Нажмите
Добавить, введите имя пользователя и проверьте его правильность. - Нажмите
ОКво всех окнах.
⚠️
Внимание: Если вы добавляете пользователя в группуАдминистраторытолько для доступа к RDP, помните, что он получит полные права на сервере. Это небезопасно — лучше использовать группуRemote Desktop Users.
Настройка прав для доменных пользователей
Если сервер входит в домен Active Directory, алгоритм немного иной. Вы можете:
- Добавить доменного пользователя в локальную группу
Remote Desktop Usersна сервере. - Создать отдельную группу в и добавить её в
Remote Desktop Users.
Второй способ удобнее, если нужно предоставить доступ нескольким пользователям. Например, создайте в группу RDP_Users_Server01, добавьте в неё нужных пользователей, а затем добавьте эту группу в Remote Desktop Users на сервере.
Чтобы добавить доменную группу в локальную:
| Шаг | Действие | Пример |
|---|---|---|
| 1 | Откройте Управление компьютером |
compmgmt.msc |
| 2 | Перейдите в Локальные пользователи и группы → Группы |
— |
| 3 | Откройте свойства группы Remote Desktop Users |
Двойной клик по группе |
| 4 | Нажмите Добавить и введите имя доменной группы |
DOMAIN\RDP_Users_Server01 |
| 5 | Проверьте имя и сохраните изменения | Проверка имён → ОК |
После этого все пользователи из доменной группы RDP_Users_Server01 получат доступ к серверу по RDP.
Проверка подключения и устранение ошибок
После настройки попробуйте подключиться к серверу с другого компьютера. Используйте стандартное приложение Подключение к удалённому рабочему столу (mstsc.exe). Введите IP-адрес или имя сервера, затем введите логин и пароль пользователя, которого вы добавили.
Если подключение не работает, сначала проверьте, включён ли RDP на сервере, открыт ли порт 3389 в брандмауэре и добавлен ли пользователь в правильную группу.
Частые ошибки и их решения:
- Ошибка "Удалённый рабочий стол отключён" — проверьте настройки в
Система → Настройка удалённого доступа. - Ошибка "Учётная запись отключена" — убедитесь, что пользователь не отключён в
Свойствах учётной записи. - Ошибка "Нет прав для входа" — проверьте, добавлен ли пользователь в группу
Remote Desktop Users. - Ошибка "Сетевой ресурс недоступен" — проверьте, открыт ли порт 3389 в брандмауэре сервера и сети.
Пошаговая инструкция: от создания пользователя до подключения
Чтобы не пропустить ни одного шага, следуйте этому чек-листу. Он подходит для большинства сценариев — как для серверов, так и для серверов в домене.
Чек-лист настройки RDP в Windows Server 2016
Если вы следуете этому списку, вероятность ошибок минимальна. Наиболее частые упущения — это забыть добавить пользователя в группу или не открыть порт в брандмауэре.
Часто задаваемые вопросы
Можно ли предоставить доступ по пользователю без прав администратора?
Да, можно. Достаточно добавить учётную запись в группу Remote Desktop Users. Пользователь получит доступ только к удалённому рабочему столу без административных прав.
Как ограничить время сеанса RDP?
Для этого используйте Редактор локальной групповой политики (gpedit.msc). Перейдите в Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Ограничения сеансов. Здесь можно настроить ограничения по времени, количество подключений и другие параметры.
Почему после добавления в группу пользователь не может подключиться?
самые частые причины: RDP отключён на сервере, порт 3389 закрыт в брандмауэре, пользователь не добавлен в правильную группу или учётная запись отключена. Проверьте все эти моменты по порядку.
Можно ли использовать через интернет?
Да, но это небезопасно без дополнительных мер. Рекомендуется использовать для подключения к локальной сети, а уже затем — RDP. Альтернатива — настроить шлюз удалённых рабочих столов (RD Gateway) для безопасного доступа через интернет.