Windows Server 无法原生实现“仅运行单程序”的远程桌面登录，但可通过RDSH角色+组策略替换Explorer.exe外壳+禁用任务管理器/运行命令/命令提示符等入口来锁定环境；更规范方案是使用RemoteApp直接发布单一应用，不加载桌面。
windows server 默认不提供“仅允许运行某一个程序”的远程桌面登录模式，但可以通过远程桌面会话主机（rdsh）+ 程序限制策略 + 组策略配置组合实现类似效果——即用户登录后，桌面环境被锁定，只能启动指定程序（如某个业务系统、终端应用或浏览器），无法打开资源管理器、命令行、其他软件等。
一、启用远程桌面会话主机角色（前提）
该功能仅在 Windows Server（非 Desktop 版）上原生支持多会话和应用级控制：
- 打开“服务器管理器” → “添加角色和功能” → 勾选“远程桌面服务” → 选择“远程桌面会话主机”角色（无需部署网关或授权服务器，基础部署即可）
- 安装完成后必须重启系统
- 确认“Remote Desktop Services”和“TermService”服务已运行
二、配置用户登录后自动启动指定程序（替代桌面）
核心是用自定义程序替换默认的 Explorer.exe 桌面外壳：
- 按 Win + R 输入
gpedit.msc打开本地组策略编辑器 - 路径：用户配置 → 管理模板 → 系统 → 登录 → 为用户运行以下程序而不是 Windows 资源管理器
- 启用该策略，输入目标程序完整路径，例如：
C:\Program Files\MyApp\launcher.exe
或调用浏览器全屏模式："C:\Program Files\Google\Chrome\Application\chrome.exe" --kiosk --no-first-run https://app.internal - ⚠️ 注意：该设置对每个用户单独生效，建议配合用户组策略（GPO）或脚本批量部署
三、禁止用户绕过限制（关键加固）
仅替换外壳不够，需阻止任务管理器、运行对话框、CMD/PowerShell 等入口：
-
禁用任务管理器：
路径：用户配置 → 管理模板 → 系统 → Ctrl+Alt+Del 选项 → “删除任务管理器” → 启用 -
禁用运行命令：
路径：用户配置 → 管理模板 → 系统 → “防止访问‘运行’命令” → 启用 -
禁用命令行工具：
路径：用户配置 → 管理模板 → 系统 → “阻止访问命令提示符” → 启用
（同时勾选“也禁用批处理脚本”） -
隐藏桌面图标与开始菜单：
路径：用户配置 → 管理模板 → 桌面 → “隐藏和禁用桌面项目” → 启用；
开始菜单路径同理设为“删除并阻止访问所有‘开始’菜单项目”
四、可选：结合 RemoteApp 发布单一应用（更规范方案）
如果目标是让远程用户“像本地程序一样使用某个应用”，推荐使用 RemoteApp：
- 在“远程桌面服务”中发布指定程序为 RemoteApp（而非完整桌面）
- 用户通过 .rdp 文件或 Web 访问直接启动该程序，后台无桌面环境，天然隔离其他操作
- 支持权限控制、会话限制、SSL 加密，比纯组策略更稳定安全
这种方式不是“在桌面里限制程序”，而是根本不上桌面——用户看到的只是一个窗口化的应用，体验干净，管理可控。若只是临时管控，组策略外壳替换足够；若面向生产环境长期使用，RemoteApp 是微软官方推荐路径。
