远程桌面服务（Remote Desktop Services，RDS）是Windows Server中用于多用户远程接入的核心角色，管理员可以通过它向用户交付完整桌面或单个应用。很多刚接触RDS的管理员会把“远程桌面”和“远程桌面服务”混为一谈，实际上前者只是单用户管理功能，后者才支持多人并发会话。本文围绕单服务器部署模式，介绍RDS角色安装、会话集合创建与属性配置，并补充RemoteApp发布和常见连接问题排查。
一、远程桌面服务角色安装与部署模式选择
安装RDS之前，建议先确认服务器是否已加入Active Directory域。虽然工作组环境也能安装远程桌面会话主机，但连接代理、会话集合以及用户配置文件磁盘等功能依赖域信任，工作组模式下很多高级功能无法使用。管理员账号至少需要具备本地Administrators组成员权限，同时需要能够访问域控制器以执行部分配置。
通过服务器管理器安装RDS角色时，选择“添加角色和功能”，在角色列表中找到“远程桌面服务”。安装向导会询问部署类型，快速启动模式会将RD连接代理、RD会话主机和RD Web访问都安装在同一台服务器上，适合测试或小规模场景。标准部署则允许将不同角色服务分配到不同服务器，以实现更高的可用性和负载能力。勾选角色服务后，向导会提示需要重启服务器。重启完成后，服务器管理器中会出现“远程桌面服务”节点，后续的集合管理都在此完成。
如果习惯使用命令行，也可以直接用PowerShell安装同样的角色服务。安装日志位于C:\Windows\Logs\ServerManager.log，如果安装过程中出现异常，可以查看该文件获取详细错误信息。
# 安装RDS相关角色服务 Add-WindowsFeature -Name RDS-RD-Server -IncludeManagementTools Add-WindowsFeature -Name RDS-Connection-Broker Add-WindowsFeature -Name RDS-Web-Access
二、创建会话集合并调整关键属性
会话集合是RDS部署中的资源容器，它把一台或多台RD会话主机组织在一起，用户登录时由连接代理从集合中分配会话。创建集合之前，确保至少一台RD会话主机已经加入服务器管理器中的“所有服务器”列表，并且该服务器状态为在线。
创建步骤是在“远程桌面服务”面板中选择“集合”，点击“任务”中的“创建会话集合”。向导会要求指定会话主机、集合名称和用户组。用户组默认使用Domain Users，意味着所有域用户都可登录，建议改成专门的域安全组，例如RDS_Users。配置用户配置文件磁盘时，需要提供UNC共享路径，如\\FileServer\RDSProfiles，并确保该共享对目标用户有写入权限，否则每次登录都会重新创建配置文件。
创建完成后，右键集合属性可调整会话超时和安全设置。在“会话”选项卡中，建议设置已断开会话保留时间为15至30分钟，空闲会话限制1小时，到达限制后自动注销，这样可避免僵尸会话占用服务器内存。在“安全”选项卡中，可以限制仅特定用户组访问，并禁止用户将本地磁盘映射到会话中，防止数据通过剪贴板或驱动器重定向外泄。
使用PowerShell创建集合同样方便，以下命令在连接代理服务器上执行。命令中的双引号表示集合名称，在实际环境中需要替换成自己规划的标识。
# 创建名为RDSSessionCollection的会话集合 New-RDSessionCollection -CollectionName "RDSSessionCollection" -SessionHost "RDSH01.contoso.com" -ConnectionBroker "RDCB01.contoso.com"
集合的配置数据主要存储于RD连接代理数据库中，而终端服务监听参数保存在注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp，修改注册表前应导出备份，避免误操作导致服务不可用。
三、发布RemoteApp程序与防火墙配置
RemoteApp允许用户只打开某个应用程序窗口，而不用看到完整桌面，适合交付业务系统。在会话集合上点击“发布RemoteApp程序”，可以从开始菜单列表选择已安装的应用，也可以手动指定可执行文件路径，如C:\Program Files\VendorApp\app.exe。发布后，用户可以通过RD Web访问页面下载RDP文件，双击即可打开应用。
RD Web访问地址通常为https://服务器FQDN/RDWeb。使用HTTPS时需要为RD Web访问角色配置证书，否则浏览器会提示证书错误。内部测试环境可以使用自签名证书，但需要把证书导入客户端受信任根证书存储。外部访问建议使用公共CA签发的证书，避免每次都点击继续浏览。
防火墙方面，必须允许TCP 3389端口入站。如果使用RD网关，还需要开放TCP 443。可以在高级安全Windows防火墙中创建入站规则，允许特定远程IP或域网络访问。组策略中也有相关设置，路径为计算机配置\管理模板\Windows组件\远程桌面服务\远程桌面会话主机\安全，可强制使用网络级别身份验证，提高会话安全性。
可以通过PowerShell快速启用系统内置的远程桌面防火墙规则，注意该命令需要在管理员PowerShell中执行。
# 启用远程桌面防火墙规则 Enable-NetFirewallRule -DisplayGroup "远程桌面服务"
四、常见连接问题与排查方向
安装配置完成后，最常见问题是用户无法登录或会话立即断开。先检查服务状态：远程桌面服务（TermService）、远程桌面连接代理（Rdms）、远程桌面管理服务（Tssdis）必须处于运行状态。可以使用服务管理器查看，也可以在PowerShell中执行Get-Service TermService,Rdms,Tssdis检查。
如果服务正常，检查用户是否属于会话主机上的Remote Desktop Users本地组。加入域后，该本地组默认包含Domain Users，但如果改过组策略可能被移除。可以在计算机管理\本地用户和组\组\Remote Desktop Users中确认成员。如果用户不是该组成员，即使域组允许访问，也会在登录后被拒绝。
授权模式是另一个常见的坑。RDS安装后有120天宽限期，过期后必须配置RD许可证服务器并在集合属性中指定。许可证服务器可以安装在单独服务器上，也可以与连接代理同机。激活许可证服务器并安装CAL后，在集合属性“授权”选项卡中选择每用户或每设备模式，否则用户连接时会收到“远程桌面服务许可证服务器不可用”错误。
日志排查时，事件查看器路径为应用程序和服务日志\Microsoft\Windows\TerminalServices-LocalSessionManager\Operational，重点查看登录和断开事件。还可以使用C:\Windows\System32\winevt\Logs下的日志文件。如果问题与网络有关，使用telnet测试3389端口连通性，确认防火墙或网络设备没有拦截。
最后，如果集合中有多台会话主机但总分配不均，检查负载均衡设置。集合属性中可设置服务器权重，或者将连接代理配置为按会话数量平衡。对于持续性和非持续性会话需求，可调整“会话重用”策略，使同一用户多次登录更稳定地分配到已存在的会话。
远程桌面服务RDS会话集合Windows Server修改时间：2026-09-24 20:02:44