Konto lokalne nie może logować się przez RDP

Konto lokalne nie może logować się przez RDP wskazuje na brak dodania konta do grupy Użytkownicy pulpitu zdalnego w Właściwościach systemu.

Konto lokalne nie może logować się przez RDP – na czym polega problem

Komunikat „Konto lokalne nie może logować się przez RDP” oznacza, że połączenie pulpitu zdalnego zostało nawiązane z komputerem, ale system Windows nie zezwala wskazanemu użytkownikowi na rozpoczęcie sesji. Nie musi to oznaczać awarii samego RDP, błędnego hasła ani uszkodzenia sieci. W wielu przypadkach przyczyna znajduje się w lokalnych uprawnieniach użytkownika. Konto może istnieć w systemie, poprawnie działać przy logowaniu bezpośrednio przy komputerze, a mimo tego nie mieć prawa do korzystania z pulpitu zdalnego.

RDP, czyli Remote Desktop Protocol, służy do zdalnego wyświetlania pulpitu i obsługi systemu tak, jak gdyby użytkownik siedział przed urządzeniem. Windows rozdziela jednak samo istnienie konta od prawa do logowania przez określony mechanizm. Konto lokalne jest zapisane na konkretnym komputerze, a nie w zewnętrznym katalogu użytkowników. Przy połączeniu należy więc wskazać właściwy komputer oraz użyć danych konta, które rzeczywiście znajduje się na urządzeniu docelowym.

Najczęstszy scenariusz wygląda następująco: włączono Pulpit zdalny, podano prawidłową nazwę użytkownika i hasło, lecz konto nie zostało dopuszczone do zdalnego logowania. System odrzuca wtedy próbę dostępu, ponieważ użytkownik nie należy do grupy uprawnionej do obsługi sesji RDP albo obowiązuje reguła, która ogranicza takie logowanie. Sama zmiana hasła zwykle nie rozwiązuje tego rodzaju problemu.

Konto lokalne przez RDP – kontekst techniczny i porównanie uprawnień

W systemie Windows uprawnienia do zdalnego pulpitu można nadać na kilka sposobów. Najbardziej typowym jest dodanie konta do lokalnej grupy „Użytkownicy pulpitu zdalnego”. Drugą możliwością jest użycie zasad zabezpieczeń, w których określa się, kto może logować się za pomocą usług pulpitu zdalnego. Trzeba przy tym odróżnić uprawnienie do logowania od uprawnienia administratora. Zwykłe konto może korzystać z RDP bez uzyskiwania pełnej kontroli nad ustawieniami systemu.

Właściwości systemu zawierają ustawienie pozwalające wybrać użytkowników, którzy mogą łączyć się z komputerem zdalnie. Po otwarciu odpowiedniego okna można sprawdzić, czy Pulpit zdalny jest aktywny, a następnie przejść do listy użytkowników dopuszczonych do połączeń. Jeżeli konto nie jest widoczne na tej liście, należy zweryfikować jego nazwę i dodać je zgodnie z przeznaczeniem. W niektórych edycjach Windows dostępność poszczególnych funkcji może się różnić, dlatego warto sprawdzić dokładną wersję systemu.

Istotne jest również rozróżnienie między nazwą wyświetlaną a nazwą logowania. Konto może mieć opisową nazwę widoczną na ekranie logowania, lecz przy połączeniu RDP wymagane będzie użycie właściwego identyfikatora. Dla konta lokalnego często stosuje się format z nazwą komputera, na przykład NAZWA-KOMPUTERA\użytkownik, albo zapis .\użytkownik, który wskazuje, że chodzi o konto lokalne na urządzeniu docelowym. Wpisanie samej nazwy może w pewnych konfiguracjach prowadzić do wybrania innego źródła konta.

Nie należy mylić zdalnego logowania z udostępnianiem folderów. Dostęp do udziału sieciowego może działać, podczas gdy RDP nadal będzie odrzucać użytkownika. Obie funkcje wykorzystują mechanizmy uwierzytelniania Windows, ale podlegają innym prawom i zasadom. Podobnie lokalne logowanie przy fizycznie podłączonym monitorze nie potwierdza jeszcze, że konto ma przydzielone prawo do rozpoczęcia sesji przez RDP.

„Konto lokalne nie może logować się przez RDP” – typowe problemy

Jedną z częstych przyczyn jest brak konta w grupie „Użytkownicy pulpitu zdalnego”. W takim przypadku należy sprawdzić członkostwo grupy w narzędziu do zarządzania użytkownikami lokalnymi albo w ustawieniach systemu. Po zmianie członkostwa może być konieczne wylogowanie użytkownika, ponowne uruchomienie sesji lub ponowne nawiązanie połączenia, ponieważ wcześniejsza sesja mogła zachować stare uprawnienia.

Drugim problemem bywa konto bez ustawionego hasła. Zależnie od zasad zabezpieczeń Windows logowanie przez sieć dla kont pozbawionych hasła może być zablokowane. W takiej sytuacji należy użyć konta z bezpiecznym hasłem i sprawdzić, czy podczas wpisywania danych nie jest włączona funkcja automatycznego uzupełniania nieaktualnych poświadczeń. Warto też zweryfikować układ klawiatury, wielkość liter oraz to, czy nie został przypadkowo wpisany końcowy znak spacji.

Kolejna możliwość to wyłączone konto, wygasłe hasło albo ograniczenie godzin logowania. W przypadku kont lokalnych można sprawdzić ich stan w narzędziach administracyjnych Windows. Jeżeli konto jest zablokowane, nieaktywne lub wymaga zmiany hasła przy następnym logowaniu, klient RDP może wyświetlać komunikat, który wygląda podobnie do błędu uprawnień.

RDP może być także ograniczone przez lokalne zasady zabezpieczeń. Reguła zezwalająca na logowanie przez usługi pulpitu zdalnego musi obejmować danego użytkownika lub grupę, a reguła odmowy nie może mieć pierwszeństwa. Jeżeli komputer był wcześniej konfigurowany przez inne osoby, zmieniano profile użytkowników albo przywracano ustawienia systemowe, konflikt zasad może nie być widoczny na pierwszy rzut oka.

Nie można pominąć zapory sieciowej i ustawień nasłuchiwania usługi pulpitu zdalnego. Jeżeli komunikat pojawia się dopiero po dłuższym oczekiwaniu, a nie natychmiast po podaniu danych, warto sprawdzić dostępność urządzenia, nazwę hosta, adres w sieci oraz stan usługi. Gdy połączenie dociera do ekranu uwierzytelniania, problem z siecią jest mniej prawdopodobny niż problem z kontem lub prawami logowania.

Praktyczne wskazówki dla konta lokalnego i RDP

Najbezpieczniej rozpocząć od zebrania informacji o sytuacji. Należy ustalić, z jakiego urządzenia wykonywane jest połączenie, jaki użytkownik znajduje się na komputerze docelowym, jaka jest wersja Windows oraz czy logowanie lokalne przy urządzeniu działa poprawnie. Przydatne jest także zapisanie dokładnej treści komunikatu, ponieważ różne komunikaty mogą wskazywać na brak prawa logowania, nieprawidłowe poświadczenia albo niedostępność usługi.

Warto wykonać sprawdzenie w następującej kolejności:

• potwierdzić, że Pulpit zdalny jest włączony na komputerze docelowym;
• sprawdzić, czy konto lokalne jest aktywne i ma ustawione prawidłowe hasło;
• zweryfikować członkostwo konta w grupie „Użytkownicy pulpitu zdalnego”;
• sprawdzić, czy nazwa użytkownika wskazuje konto lokalne na właściwym komputerze;
• przejrzeć lokalne zasady zezwalające i odmawiające logowania przez RDP;
• zweryfikować usługę pulpitu zdalnego, zaporę oraz dostępność urządzenia w sieci;
• po zmianach wylogować konto i ponowić próbę połączenia.

Nie powinno się dodawać użytkownika do grup administracyjnych wyłącznie po to, aby ominąć błąd logowania. Takie działanie rozszerza zakres uprawnień i może utrudnić późniejsze ustalenie przyczyny. Lepszym rozwiązaniem jest nadanie minimalnego prawa potrzebnego do korzystania z RDP oraz zachowanie oddzielnego konta administracyjnego do czynności serwisowych. Jeżeli zdalny dostęp jest potrzebny tylko okazjonalnie, po zakończeniu prac można go wyłączyć albo ograniczyć do zaufanej sieci.

Przydatne informacje diagnostyczne znajdują się również w Podglądzie zdarzeń. Dzienniki zabezpieczeń mogą wskazywać, czy próba została odrzucona z powodu braku odpowiedniego prawa, błędnych danych, ograniczenia konta albo konfliktu zasad. Warto analizować zdarzenia z czasu konkretnej próby, a nie tylko ostatni wpis na liście. Dzięki temu można odróżnić problem z autoryzacją od problemu z usługą lub połączeniem.

Konto lokalne nie może logować się przez RDP – kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy dodanie użytkownika do właściwej grupy nie przynosi efektu, ustawienia są natychmiast cofane, system pokazuje sprzeczne komunikaty albo nie ma pewności, które konto znajduje się na komputerze docelowym. Pomoc może być potrzebna również po zmianie nazwy komputera, odtworzeniu systemu, migracji profilu użytkownika lub pojawieniu się kilku kont o podobnych nazwach. W takich sytuacjach przed kolejnymi zmianami dobrze zabezpieczyć ważne dane i zanotować dotychczasowe ustawienia.

Warszawskie Pogotowie Komputerowe 24/7 może sprawdzić konfigurację konta lokalnego, usług pulpitu zdalnego, zasad bezpieczeństwa oraz zapory, a następnie uporządkować uprawnienia bez rozszerzania ich ponad potrzebę. Diagnoza laptopa jest bezpłatna, natomiast przed rozpoczęciem czynności przy komputerze stacjonarnym zakres prac powinien zostać wcześniej ustalony. W przypadku problemu z RDP szczególnie ważne jest przekazanie informacji o rodzaju konta, dokładnym komunikacie, sposobie łączenia oraz tym, czy użytkownik może zalogować się bezpośrednio przy urządzeniu.

Jeżeli zdalne logowanie zaczęło odrzucać konto po aktualizacji, zmianie hasła lub modyfikacji ustawień, nie powinno się wielokrotnie wpisywać przypadkowych danych. Powtarzające się nieudane próby mogą doprowadzić do czasowego zablokowania konta albo utrudnić ocenę zdarzeń w dzienniku. Systematyczne sprawdzenie uprawnień, nazwy konta i lokalnych zasad zazwyczaj pozwala ustalić, dlaczego konto lokalne nie może logować się przez RDP i jakie ustawienie wymaga korekty.