Hướng Dẫn Tạo User Và Cấp Quyền RDP Trên VPS Windows

Khi mới thuê VPS Windows, nhiều người đăng nhập bằng tài khoản Administrator rồi tiếp tục dùng tài khoản này cho mọi tác vụ. Cách đó tiện, nhưng không phù hợp khi VPS có nhiều người sử dụng, nhiều kỹ thuật viên hoặc nhiều ứng dụng cần quyền khác nhau.

Windows Server cho phép bạn tạo local user riêng, sau đó chỉ cấp quyền Remote Desktop cho những người cần truy cập. Microsoft sử dụng nhóm Remote Desktop Users để quản lý quyền kết nối từ xa trong nhiều kịch bản Windows Server.

Mục tiêu của bài này là giúp bạn chuyển từ mô hình “ai cũng dùng Administrator” sang mô hình phân quyền rõ ràng hơn:

• mỗi người có user riêng;
• chỉ user cần thiết được RDP;
• không cấp Administrator nếu không cần;
• dễ khóa/xóa tài khoản khi nhân sự thay đổi;
• dễ truy vết hơn khi có sự cố.

Nếu bạn chưa biết cách kết nối VPS, nên xem trước bài Hướng dẫn đăng nhập VPS Windows trên máy tính.

1. Vì sao không nên dùng chung Administrator?

Tài khoản Administrator có quyền rất cao. Nếu nhiều người dùng chung:

• khó biết ai đã thay đổi cấu hình;
• phải đổi mật khẩu cho tất cả khi một người nghỉ;
• credential dễ bị chia sẻ qua chat/file text;
• malware chạy dưới account admin có thể gây ảnh hưởng lớn;
• không áp dụng được nguyên tắc least privilege.

Mô hình tốt hơn là tạo user riêng cho từng người và chỉ thêm vào Administrators nếu họ thật sự cần quyền quản trị hệ thống.

2. Remote Desktop Users là gì?

Microsoft mô tả Remote Desktop Users là built-in local group dùng để cấp quyền kết nối Remote Desktop trong các môi trường Windows/Windows Server phù hợp.

Một user muốn RDP thường cần:

• tài khoản tồn tại và không bị disable;
• password hợp lệ;
• Remote Desktop được bật;
• user thuộc nhóm phù hợp như Remote Desktop Users hoặc Administrators;
• policy Allow log on through Remote Desktop Services cho phép;
• không bị policy Deny log on through Remote Desktop Services chặn;
• firewall/network cho phép RDP;
• NLA/client tương thích.

Chỉ thêm user vào group chưa chắc đủ nếu Group Policy đang override quyền đăng nhập.

3. Chuẩn bị trước khi tạo user

Bạn cần:

• quyền Administrator trên VPS;
• một phiên RDP đang hoạt động;
• password mạnh cho user mới;
• biết rõ user có cần quyền admin hay chỉ cần Remote Desktop.

Nếu VPS dùng cho website hoặc ứng dụng production, nên tạo snapshot/backup trước thay đổi lớn về policy hoặc user nếu nhà cung cấp hỗ trợ.

Nếu cần một máy chủ Windows chạy 24/7, có thể tham khảo VPS tại HUONG CLOUD và chọn cấu hình theo workload thực tế.

4. Cách tạo local user bằng Computer Management

Đây là cách trực quan nhất trên Windows Server có GUI.

Bước 1: Mở Computer Management

Nhấn Windows + R, nhập:

compmgmt.msc

Nhấn Enter.

Bước 2: Mở Local Users and Groups

Đi tới:

System Tools
→ Local Users and Groups
→ Users

Bước 3: Tạo user mới

Chuột phải Users → New User.

Nhập:

• User name;
• Full name nếu cần;
• Description;
• Password;
• Confirm password.

Ví dụ:

User name: support01
Description: Support account

Không nên đặt username dễ đoán kiểu admin2 rồi cấp quyền Administrator nếu không cần.

5. Các tùy chọn password khi tạo user

Windows có các lựa chọn như:

• User must change password at next logon;
• User cannot change password;
• Password never expires;
• Account is disabled.

Với user thật, việc buộc đổi password ở lần đăng nhập đầu có thể phù hợp.

Không nên bật Password never expires chỉ vì tiện nếu tổ chức có policy xoay vòng credential.

6. Tạo user bằng PowerShell

PowerShell phù hợp khi cần automation.

Tạo SecureString password:

$Password = Read-Host "Enter password" -AsSecureString

Tạo user:

New-LocalUser -Name "support01" -Password $Password -FullName "Support User" -Description "RDP support account"

Kiểm tra:

Get-LocalUser -Name support01

Vì sao nên dùng Read-Host -AsSecureString?

Để tránh ghi password plain text trực tiếp trong script hoặc PowerShell history.

Không nên viết:

$password = "Password123"

trong script production.

7. Thêm user vào Remote Desktop Users bằng GUI

Mở:

Computer Management
→ Local Users and Groups
→ Groups

Double-click:

Remote Desktop Users

Chọn:

Add

Nhập username:

support01

Chọn Check Names rồi OK.

Microsoft cũng hướng dẫn có thể thêm user qua phần Remote Desktop users trong cấu hình Remote Desktop của Windows/Windows Server.

8. Thêm user vào Remote Desktop Users bằng PowerShell

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "support01"

Kiểm tra:

Get-LocalGroupMember -Group "Remote Desktop Users"

Nếu thấy support01, group membership đã được cập nhật.

9. Có cần thêm user vào Administrators không?

Không nếu user chỉ cần:

• đăng nhập RDP;
• chạy ứng dụng thông thường;
• quản lý file trong thư mục được cấp quyền;
• thao tác không đòi hỏi elevation.

Chỉ thêm vào Administrators khi user cần:

• cài role/feature;
• chỉnh firewall;
• thay đổi service hệ thống;
• cài driver;
• chỉnh Local Security Policy;
• quản trị user khác.

Thêm user vào Administrators:

Add-LocalGroupMember -Group "Administrators" -Member "support01"

Cảnh báo

Quyền Administrator rất cao. Hãy cấp theo nhu cầu, không cấp mặc định.

10. Kiểm tra Remote Desktop đang bật

Trên Windows Server có GUI:

• mở Server Manager;
• chọn Local Server;
• kiểm tra mục Remote Desktop.

Hoặc mở:

SystemPropertiesRemote.exe

Đảm bảo Remote Desktop đang được cho phép.

Nếu Remote Desktop bị tắt, user trong group vẫn không thể kết nối.

11. Network Level Authentication (NLA) là gì?

NLA yêu cầu người dùng xác thực trước khi phiên Remote Desktop được tạo đầy đủ.

Microsoft khuyến nghị giữ NLA khi có thể vì giúp giảm rủi ro từ kết nối không xác thực và tiết kiệm tài nguyên phiên.

Không nên tắt NLA chỉ để “test cho nhanh” nếu chưa xác định lỗi.

12. Kiểm tra NLA bằng GUI

Mở:

SystemPropertiesRemote.exe

Kiểm tra tùy chọn liên quan:

Allow connections only from computers running Remote Desktop with Network Level Authentication

Giữ bật khi client hỗ trợ.

13. Firewall có cần mở thêm gì khi tạo user mới?

Không cần mở port mới chỉ vì thêm user.

Remote Desktop vẫn sử dụng port RDP hiện tại của VPS, thường là TCP 3389 nếu chưa đổi.

Kiểm tra firewall rule:

Get-NetFirewallRule -DisplayGroup "Remote Desktop"

Kiểm tra port:

Get-NetTCPConnection -LocalPort 3389 -State Listen

Nếu VPS dùng port custom, dùng đúng port đó.

14. Test RDP bằng user mới

Từ máy local:

1. mở mstsc;
2. nhập IP VPS;
3. chọn Use a different account;
4. nhập user mới.

Có thể dùng dạng:

.\support01

hoặc:

TENMAY\support01

Nếu nhập chỉ support01, Windows thường xử lý local account trong nhiều trường hợp, nhưng dùng prefix giúp tránh nhầm domain/local.

15. Cách xem Computer Name

PowerShell:

hostname

Hoặc:

$env:COMPUTERNAME

Ví dụ computer name là VPS01, bạn có thể đăng nhập:

VPS01\support01

16. Lỗi “The user account is not authorized for remote login”

Kiểm tra:

• user có trong Remote Desktop Users không;
• Remote Desktop có bật không;
• Group Policy có quyền logon không;
• policy deny có chặn không;
• account có bị disable không.

Kiểm tra group:

Get-LocalGroupMember -Group "Remote Desktop Users"

17. Kiểm tra quyền “Allow log on through Remote Desktop Services”

Mở:

secpol.msc

Đi tới:

Local Policies
→ User Rights Assignment

Tìm:

Allow log on through Remote Desktop Services

Thông thường Administrators và/hoặc Remote Desktop Users được cấp theo policy phù hợp.

Nếu VPS thuộc domain, Group Policy domain có thể override local policy.

18. Kiểm tra “Deny log on through Remote Desktop Services”

Trong cùng phần User Rights Assignment, kiểm tra:

Deny log on through Remote Desktop Services

Deny policy có thể override allow trong nhiều trường hợp.

Nếu user hoặc group của user nằm ở đây, RDP có thể bị từ chối.

Không nên xóa policy tổ chức nếu bạn không hiểu nguồn GPO.

19. Local Security Policy và Domain Group Policy khác nhau thế nào?

Trên VPS standalone, local policy thường là nguồn chính.

Nếu server join domain, policy có thể đến từ:

• Local Security Policy;
• Domain GPO;
• Organizational Unit policy;
• security baseline.

Kiểm tra policy áp dụng:

gpresult /r

Xuất HTML:

gpresult /h C:\Temp\gpresult.html

20. Tạo user chỉ để chạy ứng dụng, không cho admin

Đây là use case rất phổ biến.

Ví dụ user operator01 chỉ cần:

• RDP;
• mở phần mềm nghiệp vụ;
• truy cập một thư mục dữ liệu.

Bạn có thể:

1. tạo local user;
2. thêm Remote Desktop Users;
3. cấp NTFS Modify cho thư mục app;
4. không thêm Administrators.

Cách này phù hợp nguyên tắc least privilege.

21. Cấp quyền thư mục riêng cho user

Ví dụ:

New-Item -ItemType Directory -Path C:\Data\Support

Cấp quyền Modify:

icacls C:\Data\Support /grant "support01:(OI)(CI)M"

Không cần cấp toàn quyền ổ C hoặc quyền Administrator chỉ để user sửa một thư mục.

22. Hạn chế user nhìn dữ liệu user khác

Windows tách profile user tại:

C:\Users\username

Tuy nhiên, quyền admin vẫn có thể truy cập nhiều dữ liệu khác.

Nếu dữ liệu nhạy cảm, hãy:

• dùng user thường;
• phân quyền NTFS đúng;
• không chia sẻ credential;
• hạn chế local admin.

23. Đổi password cho user bằng PowerShell

$Password = Read-Host "New password" -AsSecureString
Set-LocalUser -Name "support01" -Password $Password

Không nên gửi password qua tin nhắn công khai.

Nếu nhiều user, nên có quy trình cấp và thu hồi credential rõ ràng.

24. Disable user tạm thời

Disable-LocalUser -Name "support01"

Bật lại:

Enable-LocalUser -Name "support01"

Disable tốt hơn xóa ngay nếu bạn cần giữ profile/log phục vụ kiểm tra.

25. Xóa user khi không còn sử dụng

Remove-LocalUser -Name "support01"

Lưu ý profile

Xóa account không nhất thiết xóa toàn bộ profile/data trên disk.

Kiểm tra:

C:\Users\support01

Backup dữ liệu cần thiết trước khi xóa profile.

26. Thu hồi quyền RDP nhưng giữ account

Nếu user vẫn cần account cho service/local task nhưng không cần RDP:

Remove-LocalGroupMember -Group "Remote Desktop Users" -Member "support01"

Kiểm tra lại:

Get-LocalGroupMember -Group "Remote Desktop Users"

27. Có thể giới hạn giờ đăng nhập RDP không?

Windows/domain environments có nhiều cơ chế policy và account restrictions.

Với local user standalone, việc giới hạn lịch phức tạp hơn và cần thiết kế theo nhu cầu.

Nếu doanh nghiệp cần chính sách theo giờ, nên dùng domain/RDS policy phù hợp thay vì script tự logout đơn giản.

28. Có thể giới hạn chỉ một IP được RDP không?

Có thể dùng Windows Firewall rule với RemoteAddress.

Ví dụ tạo rule chỉ cho IP quản trị:

New-NetFirewallRule `
  -DisplayName "RDP Allow Admin IP" `
  -Direction Inbound `
  -Protocol TCP `
  -LocalPort 3389 `
  -RemoteAddress 203.0.113.50 `
  -Action Allow

Cảnh báo

Nếu IP nhà bạn thay đổi động, bạn có thể tự khóa khỏi VPS.

Không xóa rule RDP hiện tại trước khi test rule mới và có console dự phòng.

29. Có nên đổi port RDP cho từng user không?

Không. Port RDP thuộc listener/service trên server, không gắn riêng theo user trong cấu hình phổ thông.

Phân quyền user nên giải quyết bằng:

• account;
• group;
• NLA;
• policy;
• firewall nguồn;
• MFA/VPN/RD Gateway khi cần.

30. Có nên dùng chung một user cho nhiều người?

Không nên nếu cần audit và bảo mật.

Mỗi người nên có account riêng để:

• đổi password riêng;
• disable riêng;
• thu hồi riêng;
• kiểm tra Event Log dễ hơn;
• tránh chia sẻ credential.

31. Kiểm tra ai đang đăng nhập VPS

PowerShell/CMD:

query user

Hoặc:

qwinsta

Bạn sẽ thấy session, username, trạng thái và ID.

32. Logoff một session cụ thể

Tìm session ID:

query user

Sau đó:

logoff SESSION_ID

Không logoff nhầm session Administrator đang thực hiện maintenance.

33. User bị disconnect có làm ứng dụng tắt không?

Không nhất thiết.

Disconnect RDP thường giữ session và process tiếp tục chạy, khác với Log off.

Nếu bạn bấm Log off, ứng dụng trong user session có thể bị đóng.

Với workload cần chạy như service, nên triển khai thành Windows Service thay vì phụ thuộc một phiên RDP user luôn mở.

34. Sự khác biệt giữa RDP user và Windows Service account

RDP user dùng cho interactive session.

Service account dùng cho service chạy nền.

Không nên dùng account cá nhân để chạy service production nếu có thể tạo account/service identity phù hợp.

35. Bảo mật mật khẩu user RDP

Nên:

• password dài và riêng;
• không reuse với email;
• không lưu trong .txt;
• dùng password manager;
• disable account không còn dùng;
• không chia sẻ Administrator.

Nếu tổ chức có nhiều user, nên cân nhắc MFA ở lớp VPN/RD Gateway/identity phù hợp.

36. NLA có thay thế MFA không?

Không.

NLA giúp xác thực trước khi tạo phiên RDP đầy đủ, nhưng không phải một giải pháp MFA hoàn chỉnh trong mọi mô hình.

Đối với môi trường nhạy cảm, nên cân nhắc:

• VPN;
• RD Gateway;
• MFA;
• source IP allowlist;
• Zero Trust access.

37. Event Viewer nào liên quan đăng nhập RDP?

Có thể kiểm tra Windows Logs → Security và các log RemoteDesktopServices trong Applications and Services Logs.

Những log này hữu ích khi:

• login thất bại;
• account bị lock;
• session disconnect;
• policy từ chối.

Không nên chỉ nhìn thông báo từ client mà bỏ qua Event Viewer phía server.

38. Tình huống thực tế: cấp quyền cho nhân viên hỗ trợ

Giả sử bạn có một VPS Windows chạy phần mềm nội bộ và muốn kỹ thuật viên hỗ trợ chỉ mở app, không chỉnh firewall hoặc cài phần mềm.

Cách hợp lý:

1. tạo support01;
2. thêm Remote Desktop Users;
3. không thêm Administrators;
4. cấp NTFS quyền cho thư mục app;
5. test RDP;
6. ghi lại ngày cấp quyền;
7. disable user khi không còn nhu cầu.

Cách này an toàn hơn đưa mật khẩu Administrator cho kỹ thuật viên.

39. Tình huống thực tế: user đăng nhập được nhưng không mở file

Đây có thể không phải lỗi RDP mà là NTFS permission.

Kiểm tra:

icacls C:\Data\Support

Cấp đúng quyền thư mục thay vì đưa user vào Administrators.

40. Tình huống thực tế: user thuộc Remote Desktop Users nhưng vẫn bị từ chối

Kiểm tra theo thứ tự:

1. Remote Desktop enabled;
2. account enabled;
3. password;
4. group membership;
5. NLA;
6. allow logon policy;
7. deny logon policy;
8. domain GPO;
9. Event Viewer.

Đây là cách chẩn đoán có hệ thống hơn việc add user vào nhiều group ngẫu nhiên.

41. Checklist tạo user RDP an toàn

• Tạo account riêng.
• Password mạnh.
• Thêm Remote Desktop Users.
• Không thêm Administrators nếu không cần.
• Giữ NLA.
• Giữ Windows Firewall.
• Kiểm tra RDP từ máy local.
• Cấp NTFS đúng thư mục.
• Ghi lại ai đang có quyền.
• Disable/xóa account khi không còn dùng.

42. Những lỗi phổ biến cần tránh

Dùng chung Administrator

Làm mất khả năng audit và tăng rủi ro credential.

Cấp Administrator để sửa mọi lỗi permission

Đây là cách xử lý quá rộng.

Tắt NLA

Không nên tắt chỉ để xử lý lỗi client mà chưa chẩn đoán.

Mở RDP cho toàn Internet mà password yếu

VPS public thường bị bot scan tự động.

Không thu hồi account cũ

User của nhân sự cũ nên được disable hoặc xóa theo quy trình.

43. Xu hướng quản trị VPS Windows năm 2026

Least privilege quan trọng hơn

Thay vì tất cả dùng Administrator, hệ thống ngày càng tách role và account rõ ràng hơn.

NLA vẫn là lớp bảo vệ cơ bản

Microsoft tiếp tục khuyến nghị NLA cho phần lớn môi trường Remote Desktop.

Remote access nhiều lớp

Doanh nghiệp chuyển từ RDP public đơn giản sang VPN, RD Gateway, identity-aware access và MFA.

Automation account lifecycle tăng

PowerShell giúp tạo, disable và audit user nhất quán hơn thao tác tay.

Logging trở thành tiêu chí vận hành

Security Event Log và Remote Desktop Services log giúp điều tra login failure và hoạt động session.

44. FAQ về user RDP trên VPS Windows

Có cần tạo user mới để RDP không?

Không bắt buộc, nhưng nên tạo account riêng khi có nhiều người sử dụng thay vì chia sẻ Administrator.

User thuộc Remote Desktop Users có quyền Administrator không?

Không. Hai group có quyền khác nhau.

Vì sao user đã được thêm group nhưng vẫn không RDP được?

Có thể do NLA, Group Policy, deny logon policy, firewall hoặc account/password.

Có thể cấp RDP mà không cấp quyền admin không?

Có. Đây là mô hình nên ưu tiên cho user chỉ cần truy cập ứng dụng.

Có thể xóa quyền RDP mà không xóa user không?

Có. Xóa user khỏi nhóm Remote Desktop Users và kiểm tra policy liên quan.

Administrator có cần nằm trong Remote Desktop Users không?

Members của local Administrators thường có quyền Remote Desktop theo policy mặc định phù hợp, nhưng Group Policy có thể thay đổi hành vi.

Có nên tắt NLA để user cũ kết nối được không?

Chỉ cân nhắc tạm thời khi client quá cũ và có lý do rõ ràng. Với môi trường hiện đại, nên giữ NLA.

Kết luận

Tạo user riêng và cấp quyền RDP trên VPS Windows là một bước đơn giản nhưng mang lại lợi ích bảo mật lớn. Thay vì chia sẻ Administrator, hãy tạo local user, thêm vào Remote Desktop Users, cấp đúng NTFS permission và chỉ thêm Administrators khi thực sự cần.

Quy trình phân quyền tốt giúp bạn dễ thu hồi truy cập, giảm rủi ro credential và quản lý nhiều người dùng rõ ràng hơn.

Nếu bạn cần VPS Windows cho nhiều người truy cập, ứng dụng doanh nghiệp hoặc môi trường làm việc từ xa, hãy chọn cấu hình đủ RAM/CPU cho số phiên thực tế và xây chính sách user/RDP ngay từ đầu.

Nguồn tham khảo

• Microsoft Learn – Enable Remote Desktop: https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access
• Microsoft Learn – Add user to RDP permissions: https://learn.microsoft.com/en-us/troubleshoot/windows-server/remote/add-user-services-rdp-permissions
• Microsoft Learn – Remote Desktop Users security group: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-security-groups
• Microsoft Learn – Troubleshoot Terminal Services session: https://learn.microsoft.com/en-us/troubleshoot/windows-server/remote/remote-desktop-disconnected