## 为什么默认只让两个人连
Windows Server 的远程桌面服务默认允许两个管理员同时连接，第三个会提示占用。这不是故障，是授权设计：管理员模式的远程会话本意是运维用途，两个并发足够日常管理；要支持更多用户同时远程办公，属于终端服务的完整形态，需要额外的客户端访问授权，按用户或按设备计费。理解这条分界线，遇到"连不上、被踢下线"才知道是配置问题还是授权问题。
## 管理员通道与常规会话
远程桌面客户端的 /admin 参数有特殊身份：它连接的是控制台会话，即"本机屏幕"那一个会话，用于解决服务卡死、独占操作这类场景。日常运维应当用普通管理会话，控制台会话留作最后手段，滥用会与本地登录互踢。会话管理三板斧命令：
query user logoff 会话ID quser /server:机器名
看到自己或同事的残留会话占着名额，直接 logoff 释放；远程会话记得正常注销而不是直接关窗口，断开与会话注销是两种状态，断开的会话仍占名额，这是"明明没人用却连不上"的最常见原因。
## 授权模式说明
需要三人以上并发的正式场景，服务器要配置完整的会话主机角色与授权服务器，激活授权后按实际人数购买与安装访问授权，模式选按用户或按设备。未配置授权的会话主机在宽限期后开始拒绝连接，事件日志里会明确记录授权到期提醒。这是商业授权问题，绕不过去，规划容量时把授权成本一并算进去。
## 运维建议
远程桌面本身是高危入口：3389 端口被全球扫描器盯着，弱口令加默认端口是被入侵的经典路径。基础加固：强口令与账户锁定策略、控制台防火墙规则限制来源 IP、必要时改默认端口配合、开启网络级认证。账号定期清理，离职人员立即禁用。顺云的 Windows 云服务器暴露公网前，先把这些项过一遍，远程桌面的便利不该以安全为代价。