网络资讯
办公电脑或外包人员的终端连接到远程桌面时，磁盘映射可能让本地文件夹出现在远程会话中。要落实远程桌面安全限制磁盘映射和文件复制的组策略，不能只关闭一个选项：磁盘重定向、剪贴板和外接设备是不同通道，应按实际工作需要分别控制。
以下设置主要面向 Windows 远程桌面会话主机。它们能限制 RDP 会话中的资源重定向，但不能替代文件权限、终端防护或数据防泄漏措施。
先确认策略生效的位置
在域环境中，使用组策略管理控制台（GPMC）创建或编辑 GPO，并将其链接到包含会话主机计算机账户的组织单位；单机环境可使用本地组策略编辑器。相关设置通常位于“计算机配置 > 管理模板 > Windows 组件 > 远程桌面服务 > 远程桌面会话主机 > 设备和资源重定向”。不同 Windows 版本的中文翻译可能略有区别，可对照英文策略名确认。
五项策略设置，按通道逐项收紧
1. 禁止驱动器重定向
启用“Do not allow drive redirection（不允许驱动器重定向）”。这是限制远程会话访问客户端本地磁盘的核心设置。启用后，客户端在 RDP 连接选项中勾选的本地驱动器通常也不会映射到会话主机。它不影响远程主机自身磁盘的访问权限，因此仍需用 NTFS 权限控制远程文件夹。
2. 禁止剪贴板重定向
启用“Do not allow Clipboard redirection（不允许剪贴板重定向）”。这会阻断本地与远程会话之间的剪贴板传递，可能影响文本、图片及通过剪贴板传递的文件内容。它与磁盘映射是两项独立策略：仅禁用剪贴板，并不能阻止用户通过已映射的本地盘复制文件。
3. 禁止即插即用设备重定向
对不需要远程使用本地设备的场景，启用“Do not allow supported Plug and Play device redirection（不允许支持的即插即用设备重定向）”。它针对受支持的即插即用设备，不应被理解为对所有 USB 设备或所有文件传输方式的通用封锁。先核对业务设备是否依赖重定向，再决定是否启用。
4. 关闭不需要的串口和并口重定向
若应用不依赖本地串口或并口设备，可分别启用“不允许 COM 端口重定向”和“不允许 LPT 端口重定向”策略。它们主要减少设备通道，不等同于禁止磁盘或剪贴板传输。办公终端通常可按应用兼容性评估；需要连接专用设备的用户应单独测试。
5. 收紧远程登录账号范围
通过“允许通过远程桌面服务登录”和“拒绝通过远程桌面服务登录”等用户权限分配策略，限定哪些账号可以建立会话，并避免用宽泛用户组覆盖不必要的人员。此项不会直接拦截文件复制，但能减少可使用重定向通道的账号范围。外包账号宜按工作需要授权，并在项目结束后及时撤销。
部署、验证与例外处理
- 先选一台测试会话主机，建立独立 GPO，只配置确有需要的重定向策略。
- 将 GPO 链接到正确的计算机组织单位，并确认没有更高优先级或强制继承的策略造成覆盖。
- 在主机上运行 gpupdate /force，再用 gpresult /h 生成策略结果报告，检查对应设置是否应用。
- 使用普通测试账号重新发起远程桌面连接，分别验证本地盘是否出现、剪贴板能否跨会话传递，以及所需设备是否可用。
- 记录确有业务需要的例外账号或设备，采用范围更窄的策略配置，并定期复核；不要为方便而对所有用户开放本地磁盘映射。
远程桌面安全限制磁盘映射和文件复制的组策略应与文件服务器权限、终端防护和日志审查配合。若用户仍需交换文件，可考虑仅开放指定的受控共享目录，并为账号设置最小权限；组策略负责关闭 RDP 重定向通道，不负责判断文件内容是否敏感。
常见问题
禁用驱动器重定向后，远程主机还能访问自己的磁盘吗？
可以。该策略针对客户端磁盘映射，不会自动关闭会话主机本地磁盘；主机文件访问仍由账户权限控制。
只禁用剪贴板，能否阻止文件复制？
不能。剪贴板策略与驱动器重定向分别控制不同通道；需要限制本地盘访问时，应同时评估驱动器重定向设置。
策略配置后为什么客户端选项看起来仍可勾选？
客户端界面状态不一定能反映服务器端的有效策略。应以组策略结果和重新连接后的实际行为验证，必要时检查 GPO 链接范围及策略冲突。
这套设置适用于所有远程访问方式吗？
不适用于所有方式。本文讨论的是 Windows 远程桌面会话主机上的 RDP 重定向策略；其他远程控制软件、网页上传或云盘同步需要分别配置访问控制。