#Симптом и условия применимости
На Windows Server локальная учётная запись подключается по RDP, а доменная — нет. При работающем канале TCP причину нужно искать в доступности домена, входе NLA, правах удалённого входа и настройках доменных групп, а не в переустановке RDP. Инструкция подходит для Windows Server 2022 и Windows Server 2025 при наличии соответствующей роли или компонента; варианты Desktop Experience и Server Core могут отличаться. Для критических серверов требуется согласование с владельцем системы.
#Возможные причины и признаки
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Нет связи с контроллером доменаПроверка доменной учётной записи не проходит при недоступном AD/DNS. | Локальная учётная запись работает, в журнале ошибка доменного входа. | Проверить DNS/DC и время. |
| Запрещено удалённое подключениеПолитика может ограничивать право Allow/Deny log on through Remote Desktop Services. | Ошибка доступа для определённой доменной группы. | Проверить назначение прав и RDP-группы. |
| Несовместимый контекст имениПользователь вводит локальный вместо доменного префикса. | Учётная запись отображается как SERVER\user, хотя нужен DOMAIN\user. | Ввести корректный доменный формат. |
#Пошаговая диагностика и устранение
- Зафиксируйте исходный сбой и исходные условияЗапишите дату и время, полную версию Windows Server, роль устройства (член домена, контроллер домена, узел виртуализации и т. п.), точный текст ошибки и последнее известное изменение конфигурации. Для графической установки версию можно проверить Win+R →
winver; для Server Core — через штатную административную консоль. Не считайте совпадение по дате доказательством, что причиной было обновление.
- Проверьте безопасный путь входаСохраните текущий работающий локальный административный вход и консоль гипервизора. До исправления не удаляйте локального администратора: при недоступном домене удалённый доступ может полностью пропасть.
- Уточните форму имени пользователяВ mstsc → «Показать параметры» укажите
DOMAIN\userилиuser@example.localсогласно действующей доменной учётной записи. Не выдавайте локальныйSERVER\userза доменный; сохранённые данные подключения проверяйте в собственном профиле.
- Сравните сетевой доступ и источник DNSС серверной консоли проверьте ipconfig /all и затем
nltest /dsgetdc:example.localв cmd. Подставьте домен. Если контроллер не найден, диагностируйте DNS и маршрут, не расширяйте права пользователя.Windows · Командная строка (CMD)КомандаCMD на сервере, чтение поиска DC и источника времени. Подставьте фактический домен, для диагностических задач могут потребоваться локальные административные права.nltest /dsgetdc:example.localw32tm /query /source
- Проверьте состояние времениВ PowerShell/cmd запросите
w32tm /query /source; при большом расхождении часов Kerberos может отказать. Не задавайте вручную чужой NTP на доменном сервере без согласования иерархии времени.
- Проверьте членство в разрешённой группеНа сервере откройте «Управление компьютером» → «Локальные пользователи и группы», если роль и режим установки позволяют, затем группу «Пользователи удалённого рабочего стола». На контроллере домена локальных групп как на обычном сервере нет: проверяйте назначение прав через GPO.
- Проверьте политики предоставления и запрета входаВ согласованной консоли GPMC ищите Computer Configuration → Windows Settings → Security Settings → Local Policies → User Rights Assignment. Сравните Allow log on through Remote Desktop Services и Deny; запрет имеет приоритет. Не добавляйте группу Domain Users целиком только ради диагностики.
- Посмотрите события отказа входаНа сервере Win+R → eventvwr.msc → «Журналы Windows» → «Безопасность» (при наличии доступа) и события отказа входа в нужный момент, без экспорта паролей. В журнале RDP/TerminalServices уточните тип отказа; отсутствие доступа к Security требует администратора.
- Проверьте с тестовым доменным пользователемПосле точечного исправления политики повторите RDP под разрешённой тестовой доменной учётной записью, затем проверьте исходного пользователя при соблюдении правил. Убедитесь, что локальная учётная запись по-прежнему доступна для аварийного входа.
#Как понять, что проблема решена
Сопоставьте исходную неисправность («пользователь подключается по rdp только под локальной учётной записью») с новым результатом после одного согласованного изменения. Зафиксируйте время теста, журналы и результаты для затронутых пользователей или служб. Если результат нестабилен, не предпринимайте второй рискованный шаг наугад: восстановите согласованное предыдущее состояние и передайте журнал владельцу роли.
#Если не помогло
Сохраните исходный и новый код ошибки, выбранную роль, версию сборки, номера событий и анонимизированные результаты диагностических команд. Для доменных контроллеров, узлов Hyper-V и серверов безопасности рассмотрите профильную поддержку и процедуру изменения конфигурации. Не выключайте защиту, не удаляйте роли и не сбрасывайте всю ОС вместо адресной диагностики.