微软确认：启用“管理员保护”后远程桌面可能报 0xC000000D 错误，临时方案为禁用该功能

微软已确认一个影响企业环境的远程桌面故障：在运行 Windows 11 24H2/25H2/26H1/26H2 的设备上，若启用了“管理员保护”（Admin Protection）安全功能且安装了 KB5124010（2026 年 9 月非安全预览更新）或更高版本，非管理员用户通过远程桌面连接时可能失败，报错 0xC000000D（“传递给函数的令牌无效”）。该问题主要影响使用 Microsoft 安全基线的企业管理设备，因为自 2026 年 10 月安全更新起，“管理员保护”已在这些基线中默认启用。微软正在开发正式修复，当前临时解决方案是通过 Intune 或组策略重置“用户账户控制：管理员批准模式类型”策略以禁用管理员保护。

什么是“管理员保护”？为什么它会触发 RDP 故障？

“管理员保护”是一项从 2025 年 10 月 KB5067036 开始逐步推出的安全功能。它的核心逻辑是：即使你以管理员身份登录，日常操作仍以标准用户权限运行。只有当你尝试安装应用、修改注册表等敏感操作时，系统才会弹出 Windows Hello（PIN 或生物识别）验证窗口，通过后临时提权。

这个设计本身是为了减少管理员令牌被恶意软件滥用的风险。但它与远程桌面的交互出现了兼容性问题：RDP 会话在建立过程中需要验证用户令牌的有效性，而管理员保护对令牌的重新封装导致某些场景下令牌被判定为“无效”，连接直接中断。

关键点在于：无论管理员保护是通过安全基线自动启用，还是通过策略手动开启，都可能触发此问题。这意味着即使你的组织没有主动部署该功能，只要使用了 Microsoft 安全合规工具包发布的 Windows 安全基线，就可能已经中招。

受影响范围速查

临时解决方案

在微软发布正式修复前，IT 管理员需通过策略管理工具禁用管理员保护：

Intune / 组策略路径：
计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → 用户账户控制：管理员批准模式类型

将其重置为未配置或显式设为禁用。修改后需重启设备或强制刷新策略（gpupdate /force）生效。

⚠️ 注意：禁用管理员保护会降低设备的安全防护等级。建议仅在受影响的 RDP 主机上针对性禁用，而非全局关闭。同时密切关注微软后续更新，正式修复发布后应及时恢复该安全功能。

历史背景：RDP 与 Windows 更新的“老冤家”

这不是第一次 Windows 更新搞坏远程桌面：

• 2025 年 3 月：修复了自 2025 年 1 月起导致 RDP/RDS 连接失败的类似问题
• 2026 年 9 月：发布紧急带外更新修复 Windows Server 上的 RDS 故障
• 本次：管理员保护与 RDP 令牌验证的兼容性冲突

模式很清晰：Windows 的安全机制越来越复杂，RDP 作为深层系统集成组件，每次安全架构调整都可能成为连带损伤的对象。对企业 IT 团队来说，这意味着每次部署涉及身份验证、UAC 或安全基线的更新前，必须在测试环境验证 RDP 连通性。

现在该做什么

1. 排查：检查 RDP 主机是否运行受影响版本 + 已安装 KB5124010+ + 启用了管理员保护
2. 应急：对确认受影响的设备，通过 Intune/GPO 禁用管理员保护并验证 RDP 恢复
3. 评估：权衡安全风险与业务需求，避免一刀切全局禁用
4. 监控：关注微软官方更新公告，正式修复发布后第一时间测试并恢复安全基线
5. 预防：将 RDP 连通性纳入未来安全更新的标准测试清单

这个问题再次提醒我们：安全功能的“默认启用”趋势正在改变企业运维的风险面。以前是你主动开了什么才可能出问题，现在是默认就开着，你不主动关掉反而可能出问题。适应这种范式转换，比修一个 RDP bug 更重要。