远程桌面凭据不可用主要因NLA限制、NTLM凭据转发禁用、用户无远程登录权限或时间/证书异常；需分别关闭NLA、启用NTLM转发、授权用户权限、同步时间并信任证书。

远程桌面凭据不可用，通常表现为提示“你的凭据不工作”“请输入新凭据”或连接时反复弹出认证框，本质是客户端无法向服务器成功提交或验证登录凭据。问题多不在密码输错，而是系统级策略、协议兼容性或安全机制拦截所致。以下四类常见原因及对应操作最有效：

检查并关闭网络级别身份验证（NLA）限制

Windows Server 2008 及更高版本默认启用 NLA，要求客户端在建立完整 RDP 连接前先完成身份验证。但旧版 Windows 客户端（如 Win7）、部分域环境或禁用凭据缓存的设备可能不支持，导致凭据被拒。

• 在服务器端打开「系统属性 → 远程设置」，取消勾选「仅允许运行使用网络级别身份验证的远程桌面的计算机连接」
• 若使用组策略管理，路径为：计算机配置 → 管理模板 → 系统 → 凭据分配 → 加密 Oracle 修正，设为「已启用」并选择「强制更新」
• 修改后需重启远程桌面服务或重启服务器生效

启用 NTLM 凭据保存与转发

Windows 10/11 客户端默认禁止将凭据（尤其是域账号）传递给非 HTTPS 或非 Kerberos 服务，而旧版 Server（如 2008 R2）常依赖 NTLM 认证，造成凭据“不可用”。

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 在客户端（不是服务器）按 Win+R → gpedit.msc 打开组策略编辑器
• 定位到：计算机配置 → 管理模板 → 系统 → 凭据分配 → 允许分配保存的凭据用于 NTLM 服务器身份验证
• 启用该策略，在「显示」栏中输入：TERMSRV/*（允许所有远程桌面服务器）
• 执行 gpupdate /force 刷新策略

确认用户具备远程登录权限

即使账号存在且密码正确，若未被明确授权“通过远程桌面服务登录”，系统会直接拒绝凭据，不提示具体原因。

• 在服务器上运行 secpol.msc（本地安全策略）→ 展开「本地策略 → 用户权限分配」
• 双击「允许通过远程桌面服务登录」→ 点击「添加用户或组」→ 加入目标用户或所属组（如 Remote Desktop Users）
• 若为域环境，还需检查组策略中「用户权限分配」是否被域策略覆盖（可用 gpresult /h report.html 验证）

修复时间同步与证书信任链

凭据协商过程依赖 Kerberos 或 TLS 证书校验，若客户端与服务器时间偏差超过 5 分钟，或服务器使用自签名证书且未被客户端信任，均会导致凭据验证失败。

• 在客户端和服务器分别运行：net time /querysntp 和 w32tm /resync /force 强制同步域控制器时间
• 若服务器使用自签名远程桌面证书，需导出该证书（通过 certlm.msc → 个人 → 远程桌面 → 证书），再导入到客户端的「受信任的根证书颁发机构」存储区
• 临时验证可用：mstsc /admin /v:服务器地址（以管理员模式绕过部分安全检查）