Windows 11 远程桌面连接失败，微软归因于管理员保护功能

微软确认，部分企业管理的 Windows 11 设备在启用“管理员保护”功能后，非管理员账户连接远程桌面会失败，并返回错误代码 0xC000000D。该问题与 9 月 22 日发布的可选更新 KB5124010 及后续更新有关。

微软目前只给出临时绕过方案：在受影响的远程桌面主机上关闭管理员保护。这意味着企业要在恢复远程访问和保留一项安全防护之间做取舍，永久修复尚无时间表。

故障表现与影响范围

微软在10月14日的更新文档中记录了这一问题，将其与9月22日发布的可选预览更新 KB5124010 及后续更新联系起来。受影响的主要是企业管理的远程桌面主机，且这些主机已启用管理员保护功能。非管理员账户尝试连接时可能收到错误代码 0xC000000D，并伴随提示“传递给函数的令牌无效”。

按微软文档，问题涉及 Windows 11 的 24H2、25H2、26H1 和 26H2 版本。管理员在排查前应先核对每台设备的 Windows 版本和已安装更新。微软已定位受影响的配置组合，但尚未解释令牌验证失败的具体原因。

管理员保护用于限制日常 Windows 活动中的提权行为，通过 Windows Hello 认证来授权安装软件、更改系统等管理操作。该功能通常默认关闭，但在微软为 Windows 11 24H2、25H2 和 26H2 提供的安全基线中处于启用状态，除非组织主动覆盖该策略。

因此，一些企业可能在未单独开启的情况下，经由安全基线继承了这一配置，进而在更新后遇到远程桌面连接失败。这一故障与 2026 年 9 月的另一起远程桌面服务回归问题不同：后者在安全补丁影响远程会话和登录后，已由微软于 9 月 14 日通过紧急更新解决，而此次记录的问题仍未修复。

微软给出的临时方案是在受影响的远程桌面主机上关闭管理员保护，可通过 Intune 或组策略实施。具体做法是将“用户账户控制：配置管理员批准模式类型”策略重置为传统管理员批准模式。按微软策略文档，传统模式对应数值 1，管理员保护对应数值 2，更改后需要重启。

在组策略中，该设置位于计算机配置下的 Windows 设置、安全设置、本地策略、安全选项。微软指出，更改批准模式并不需要完全关闭用户账户控制。不过这一操作会降低端点的安全防护，企业需在恢复远程访问与保留安全功能之间做出取舍。

微软建议 IT 团队将更改范围限制在受影响的主机，修改后测试远程桌面访问是否恢复，并记录被调整的设备；未受影响的系统应保留原有防护。微软尚未公布永久修复的时间表，管理员需持续关注其更新指引，在确认修复可用后恢复管理员保护。

来源还提到，更新引发的干扰并非首次：7 月的一次预览更新曾处理 Intune 注册失败问题，该问题会把新配置的设备错误标记为不合规。此类情况也提醒企业在保持及时打补丁的同时，留意更新可能带来的兼容性问题。