要让另一台电脑远程控制Win10并执行管理员级操作，必须同时满足：使用专业版/企业版/教育版；将账户加入Remote Desktop Users和Administrators组；启用网络级别身份验证；禁用UAC的管理员令牌过滤；确保Remote Desktop Services等三项服务自动运行；放行3389及49152–65535端口。
要让另一台电脑远程控制你的 Win10 电脑并执行管理员级操作（如安装软件、修改系统策略、管理服务），必须开启远程桌面连接控制服务的高级访问及管理权限——这不只是打开“启用远程桌面”开关，而是要确保远程会话拥有与本地登录等同的权限层级，否则会卡在UAC弹窗、无法启动服务、提示“拒绝访问”或“权限不足”。
确认账户具备远程管理权限
远程桌面默认只允许远程用户以普通会话登录，即使账户是管理员，也会被降权运行；必须将其加入内置的【Remote Desktop Users】组并确保其同时属于【Administrators】组。
按 Win + R → 输入 lusrmgr.msc → 回车 → 左侧点“组” → 双击“Remote Desktop Users” → 点“添加” → 输入你的用户名（如 Administrator 或日常使用的账户名）→ 点“检查名称”，绿色下划线出现后点“确定”。
再双击“Administrators”组 → 同样添加该用户。若用户已在此组中，跳过此步；但【两个组都必须包含该用户】，缺一不可——仅在 Remote Desktop Users 组中只能远程查看，无法执行管理动作。
启用网络级别身份验证并强制提升会话权限
网络级别身份验证（NLA）不仅是安全加固手段，更是触发 Windows 提升远程会话权限的关键开关。未启用 NLA 时，远程会话默认以低完整性级别运行，UAC 和系统服务管理均受限。
右键“此电脑”→“属性”→左侧“远程设置”→勾选“允许远程连接到此计算机”→务必勾选“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”→点击“确定”。
这一步会强制远程连接在登录前完成身份校验，并为后续会话分配完整令牌（Full Token），而非受限令牌（Filtered Token）。不勾选此项，远程桌面即使能连上，也无法通过 UAC 提权、无法启动服务、无法修改注册表关键路径。
解除远程会话的管理员令牌过滤限制
Windows 默认对远程会话启用管理员令牌过滤（Admin Approval Mode for Remote Sessions），导致即使以管理员身份登录，也拿不到完整权限。需通过组策略关闭该限制。
按 Win + R → 输入 gpedit.msc → 回车 → 依次展开：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全 → 找到“用户账户控制：用于内置管理员账户的管理员批准模式” → 双击 → 选择“已禁用” → 点“确定”。
再找到同一路径下的“用户账户控制：将管理员批准模式用于标准用户” → 双击 → 也设为“已禁用”。这两项必须同时关闭，否则远程管理员仍会被拦截在 UAC 层。
关闭后无需重启，但需注销当前远程会话并重新连接才能生效。
手动启动并锁定关键服务状态
远程桌面高级管理依赖三个核心服务协同工作：Remote Desktop Services、Remote Desktop Configuration、Remote Desktop Services UserMode Port Redirector。任一停止都会导致远程会话无响应或权限回退。
按 Win + R → 输入 services.msc → 回车 → 找到以下三项：
① Remote Desktop Services → 右键 → “属性” → “启动类型”设为“自动” → 若状态非“正在运行”，点“启动”；
② Remote Desktop Configuration → 同样设为“自动”并启动；
③ Remote Desktop Services UserMode Port Redirector → 同样设为“自动”并启动。
特别注意：【Remote Desktop Services 必须排在第一顺位启动】，否则后两者可能因依赖失败而无法启动，导致远程会话无法加载本地驱动器、打印机或剪贴板重定向功能。
放行防火墙并开放高级管理端口规则
仅放行 3389 TCP 不足以支持高级管理功能——远程 PowerShell、WMI 查询、服务启停等后台管理操作依赖动态端口范围（49152–65535）和额外协议端口。
按 Win + R → 输入 firewall.cpl → 回车 → 左侧“高级设置” → 进入“Windows Defender 防火墙高级安全” → 左侧点“入站规则” → 右侧点“新建规则” → 选“端口” → 下一步 → 选“TCP” → 在“特定本地端口”填入 3389,49152-65535 → 下一步 → 选“允许连接” → 下一步 → 勾选“域”“专用”“公用”全部网络类型 → 下一步 → 名称填“RDP Advanced Management Ports” → 完成。
再新建一条规则：类型选“程序” → 路径填 C:\Windows\System32\svchost.exe → 允许连接 → 全选网络类型 → 名称填“RDP Host Process”。
