什么是 Remote Interactive Logon 权限？
-
定义: Remote Interactive Logon 是一种登录类型（Logon Type 10），表示用户通过远程桌面服务（Remote Desktop Services, RDS）以交互式方式登录系统。它区别于本地交互式登录（Console Logon）和网络登录（Network Logon）。
-
作用: 用于授权用户通过 RDP 访问计算机的桌面环境，执行交互式操作（如运行程序、管理文件）。
-
典型场景: 使用远程桌面客户端（mstsc）连接到另一台 Windows 计算机。
Remote Interactive Logon 权限的具体能力
Remote Interactive Logon 的权限取决于登录账户及其所属组，默认包括：
-
远程桌面访问:
-
登录权限: 可以通过 RDP 登录系统，控制远程桌面。
-
交互操作: 运行程序、访问文件、调整设置（视账户权限而定）。
-
-
文件和文件夹管理:
-
默认权限:
-
由登录账户的组身份决定（如 Users 或 Administrators）。
-
Users 组：访问自己的用户文件夹（如 C:\Users\用户名）。
-
Administrators 组：完全控制权。
-
-
限制:
- 无独立权限，继承自账户身份。
-
-
系统配置:
- 无权修改系统设置，除非账户属于 Administrators 组。
-
特权:
- 拥有 SeRemoteInteractiveLogonRight，由系统分配给授权用户。
与 Console Logon、Network 和其他登录类型的对比
-
与 Console Logon 的对比:
-
Console Logon: 本地物理控制台登录（Logon Type 2）。
-
Remote Interactive Logon: 远程桌面登录（Logon Type 10）。
-
-
与 Network 的对比:
-
Network: 通过网络访问资源（如文件共享，Logon Type 3）。
-
Remote Interactive Logon: 完整的远程桌面交互。
-
-
与 Batch/Service 的对比:
-
Batch/Service: 非交互式后台任务。
-
Remote Interactive Logon: 交互式用户操作。
-
-
与 TrustedInstaller 的关系:
- 无权修改受 TrustedInstaller 保护的系统文件。
Remote Interactive Logon 权限的特点
-
动态性: 权限由登录账户的组身份决定（如 Remote Desktop Users 或 Administrators）。
-
默认分配: 默认仅 Administrators 组拥有此权限，需手动授权其他用户。
-
安全性: 通过策略控制，防止未经授权的远程访问。
如何管理 Remote Interactive Logon 权限？
-
查看权限:
-
本地安全策略（secpol.msc）→ 本地策略 → 用户权限分配 → “允许通过远程桌面服务登录”：
- 默认分配给 Administrators 和 Remote Desktop Users。
-
-
添加授权:
-
将用户加入 Remote Desktop Users 组：
-
“计算机管理”（compmgmt.msc）→ 组 → Remote Desktop Users → 添加用户。
-
命令行：net localgroup "Remote Desktop Users" 用户名 /add。
-
-
或直接修改策略：
- 在“允许通过远程桌面服务登录”中添加用户或组。
-
-
启用远程桌面:
-
控制面板 → 系统 → 远程设置 → 勾选“允许远程连接到此计算机”。
-
可启用“网络级别身份验证（NLA）”增强安全性。
-
-
检查日志:
- 事件查看器（eventvwr.msc）→ Windows 日志 → 安全 → 查看登录类型（Logon Type 10 表示远程交互式登录）。
实际应用场景
-
远程办公: 员工通过 RDP 登录公司电脑，权限由账户身份决定。
-
服务器管理: 管理员远程登录服务器执行维护任务。
-
技术支持: 支持人员远程连接用户设备进行故障排查。
注意事项
-
权限依赖账户: 登录后的权限由账户所属组决定（如 Users 或 Administrators）。
-
安全性: 建议启用 NLA，使用强密码，并限制授权用户。
-
防火墙: 确保 RDP 端口（默认 3389）在防火墙中开放。
总结
Remote Interactive Logon 权限是为通过远程桌面服务交互式登录设计的权限状态，由 SeRemoteInteractiveLogonRight 控制，默认分配给 Administrators 和 Remote Desktop Users。它的权限范围取决于登录账户身份，低于 TrustedInstaller 的系统保护级别，区别于本地登录（Console）或网络访问（Network）。管理上通过组成员和安全策略配置，适用于远程桌面访问场景。