如果你这两天刚给公司的电脑或者家里的远程主机打完 10 月的 Windows 11 更新，然后满怀信心地打开远程桌面准备干活，结果屏幕上甩给你一个冷冰冰的错误代码 0xC000000D，外加一句“传递给函数的令牌无效”……先别急着砸键盘。
这不是你网络断了，也不是对方电脑炸了，单纯是微软的补丁又“精准”地砍中了远程桌面的大动脉。
到底是谁干的好事？
微软这次倒是没藏着掖着，很快就承认了问题。简单翻译一下官方的说法：这次的锅，主要得扣在“管理员保护”（Admin Protection）这个功能头上。
如果你安装的是 2026 年 9 月的 KB5124010，或者是 10 月的 KB5127648（甚至更高的版本），并且你的系统恰好是 Windows 11 24H2、25H2 或 26H2，那么当非管理员账户试图远程连接一台开启了“管理员保护”的电脑时，登录令牌就会莫名其妙地失效。
说白了，微软为了加强安全，把远程登录的门槛悄悄加高了一截，结果用力过猛，把正常干活的门也给焊死了。
怎么修？（说点实在的）
微软给的官方“变通方案”其实就一句话：暂时把“管理员保护”关掉。
注意，这只是个临时方案，不是让你永久裸奔。等微软以后推送了正式修复补丁，你再把它打开。
如果你是普通用户或者单兵作战的运维，最稳妥的办法是用组策略，别去碰注册表：
- 按
Win + S，搜gpedit.msc打开组策略编辑器。 - 顺着这个路径一路点进去：
计算机配置→Windows 设置→安全设置→本地策略→安全选项。 - 在右边找到“用户账户控制：配置管理员批准模式的类型”，双击它。
- 把选项改成“传统管理员批准模式（默认）”。
- 点确定，然后重启电脑。
搞定。重启之后，远程桌面应该就能正常放你进去了。
如果你是在公司环境里，电脑归 IT 部门用 Intune 统一管理，那就别自己动手了，直接把这篇文甩给你们的 IT 管理员。微软给企业的建议也是一样的：通过 Intune 或组策略下发临时策略，把这批出问题的机器上的“管理员保护”先关了，等官方补丁出来再恢复。
千万管住手，别抄 Reddit 上的“偏方”
问题一出，Reddit 上果然又有热心老哥给出了“注册表修复大法”。大概意思是让你用 PowerShell 改两个键值：一个是把 EnableAdminProtection 设为 0，另一个是把 LocalAccountTokenFilterPolicy 设为 1。
听我一句劝：如果你不是百分之百清楚自己在干什么，千万别碰第二个参数。
改第一个确实能关掉管理员保护，但把 LocalAccountTokenFilterPolicy 设为 1，意味着允许远程管理连接使用提升权限的令牌。这玩意儿一旦放开，相当于把远程 UAC 的防护罩给卸了。
如果你的电脑还在一个共享本地管理员密码的局域网里，这简直就是给潜在的攻击者递梯子——人家只要攻破一台机器，拿着同样的密码就能在你的网络里横着走。
为了修一个远程桌面，把整个网络的安全底线给拆了，这买卖怎么算都亏。老老实实走组策略，比什么都强。
接下来怎么办？
如果你还没更新，且远程桌面是你的生产力工具，强烈建议先暂停更新，等微软把 0xC000000D 这个坑填上再说。
如果你已经更新了，并且成功用组策略把管理员保护关了，记得在自己备忘录里记一笔。毕竟这玩意儿是微软的临时方案，等下个月的补丁星期二推送了真正的修复，你还得回来把它重新打开。
最后只能感慨一句：现在的 Windows 补丁，真是越来越像开盲盒了。你永远不知道下一次更新，是修好了旧问题，还是给你埋了个新雷。希望微软的工程师们下次在推“管理员保护”这种底层安全功能时，能多跑两遍远程桌面的测试用例。毕竟，大家的饭碗，真的都连在远程桌面上。
