Trong bài viết này, chúng tôi sẽ chỉ cách thay đổi mật khẩu người dùng trong phiên RDP trên máy tính Windows từ xa. Là máy chủ từ xa, bạn có thể có Windows Server với vai trò Remote Desktop Services được cấu hình (RDSH), hoặc máy trạm Windows 10 với một hoặc nhiều kết nối RDP được phép.
Vấn đề chính mà người dùng gặp phải là bạn không thể mở hộp thoại thay đổi mật khẩu tiêu chuẩn bằng tổ hợp phím Ctrl + Alt + Delete trong phiên Remote Desktop (RDP). Phím tắt này không được truyền đến phiên RDP, vì nó chạy trên hệ điều hành cục bộ của bạn.
Trong Windows Server 2003/2008, bạn có thể thay đổi mật khẩu người dùng trong RDP bằng cách nhấp nút Start và chọn Windows Security → Change Password.
Trong các phiên bản sau, bao gồm Windows Server 2016/2019/2022 và Windows 10/11, không có mục Windows Security trong menu Start, vì vậy phương pháp thay đổi mật khẩu người dùng này không còn áp dụng.
Thay đổi mật khẩu người dùng trong RDP với CTRL + ALT + END
Trong các phiên bản Windows hiện tại, bạn phải sử dụng tổ hợp phím Ctrl + Alt + End để mở hộp thoại Windows Security trong phiên RDP. Phím tắt này giống như Ctrl + Alt + Delete, nhưng chỉ hoạt động trong cửa sổ RDP. Chọn Change a password trong menu.
Bây giờ bạn có thể thay đổi mật khẩu của mình trong hộp thoại tiêu chuẩn (nhập mật khẩu hiện tại và đặt mật khẩu mới hai lần). 
Thay đổi mật khẩu bằng bàn phím màn hình
Nếu bạn kết nối với Remote Desktop của máy chủ Windows qua chuỗi các phiên RDP, bạn sẽ không thể sử dụng CTRL+ALT+END để thay đổi mật khẩu người dùng. Cửa sổ RDP đầu tiên sẽ chặn phím tắt bàn phím. Trong các trường hợp này, bạn có thể sử dụng bàn phím màn hình tích hợp sẵn của Windows để thay đổi mật khẩu người dùng.
- Chạy bàn phím màn hình trong phiên RDP đích (dễ dàng hơn bằng cách gõ
osk.exetrong menu Start);
- Bạn sẽ thấy bàn phím màn hình;
- Nhấn
CTRL+ALTtrên bàn phím vật lý (cục bộ) của bạn (điều này nên hiển thị trên màn hình) sau đó nhấp nútDeltrên bàn phím màn hình;
- Vậy tổ hợp phím Ctrl+Alt+Del sẽ được gửi đến phiên RDP từ xa, và hộp thoại Windows Security tiêu chuẩn sẽ xuất hiện nơi bạn có thể thay đổi mật khẩu.
Nhớ rằng khi bạn thay đổi mật khẩu người dùng, nó phải đáp ứng yêu cầu chính sách mật khẩu cục bộ hoặc domain của bạn.
Nếu mật khẩu mới của bạn không đáp ứng chúng, bạn sẽ thấy thông báo dưới đây:
Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.
Lưu ý rằng nếu Minimum password age được cấu hình trong chính sách domain (hoặc trong Fine-Grained Password Policies – PSO), điều này có thể ngăn người dùng thay đổi mật khẩu của họ thường xuyên hơn so với những gì được chỉ định trong cài đặt GPO.
Bạn có thể xem khi nào mật khẩu người dùng hết hạn bằng PowerShell:
Get-ADUser -Identity jsmith -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}
Script VBS/PowerShell để thay đổi mật khẩu trong phiên RDP
Bạn có thể gọi hộp thoại Windows Security trong phiên RDP bằng các công cụ Windows tích hợp sẵn: VBScript, PowerShell hoặc shortcut Shell.
Ví dụ, tạo file text WindowsSecurity.vbs với mã VBScript sau trên desktop của bạn:
set objShell = CreateObject("shell.application")
objshell.WindowsSecurity
Nếu bạn double-click file VBS, bạn sẽ thấy biểu mẫu tiêu chuẩn để thay đổi mật khẩu.
Bạn có thể đặt file VBS này trên desktop chia sẻ trên máy chủ RDS của bạn (%SystemDrive%\Users\Public\Desktop\) hoặc sao chép file đến desktop người dùng bằng GPO.
Cùng cách đó, bạn có thể mở cửa sổ thay đổi mật khẩu từ PowerShell. Sử dụng lệnh dưới đây:
New-Object -COM Shell.Application).WindowsSecurity()
Có tùy chọn tạo shortcut Windows File Explorer với link sau:
C:\Windows\explorer.exe shell:::{2559a1f2-21d7-11d4-bdaf-00c04f60b9f0}
Thay đổi mật khẩu qua Remote Desktop Web Access (RDWEB)
Nếu bạn truy cập máy chủ RDP của mình qua máy chủ có vai trò Remote Desktop Web Access (RDWA), bạn có thể cho phép thay đổi mật khẩu hết hạn trên trang đăng nhập RDWA (được mô tả chi tiết ở đây).
CredSSP NLA & Thay đổi mật khẩu trong RDP
Có một tính năng quan trọng của việc thay đổi mật khẩu người dùng hết hạn trong RDP liên quan đến Network Level Authentication (NLA) và giao thức Credential Security Support Provider (CredSSP). Mặc định, CredSSP với NLA cho RDP được bật trên Windows Server 2012/Windows 8 và mới hơn. NLA bảo vệ máy chủ RDP bằng cách xác thực người dùng trước khi thiết lập phiên RDP với máy chủ.
Nếu mật khẩu người dùng đã hết hạn hoặc quản trị viên AD đã bật tùy chọn userAccountControl "User must change password at next logon" (thường được bật cho tài khoản AD mới), bạn sẽ thấy lỗi sau khi đăng nhập bằng RDP:
Remote Desktop Connection You must change your password before logging on the first time. Please update your password or contact your system administrator or technical support.
Kết quả là người dùng không thể kết nối với máy chủ bằng RDP và thay đổi mật khẩu.
Trong trường hợp này, để cho phép người dùng từ xa thay đổi mật khẩu của họ, bạn có thể:
- Cấu hình vai trò RDWA với trang thay đổi mật khẩu như được mô tả ở trên;
- Vô hiệu hóa NLA trên máy chủ RDP của bạn (không khuyến khích!!! vì nó giảm đáng kể mức độ bảo mật của kết nối RDP) và sử dụng file .rdp với dòng
enablecredsspsupport:i:0cho kết nối; - Sử dụng máy chủ RDP riêng biệt để thay đổi mật khẩu người dùng. Bạn không cần cài đặt vai trò Remote Desktop Session Host trên máy chủ này hoặc thêm người dùng vào nhóm Remote Desktop Users cục bộ, nhưng bạn phải vô hiệu hóa NLA. Sau đó người dùng sẽ có thể thay đổi mật khẩu, nhưng không thể đăng nhập máy chủ qua RDP;
- Người dùng có thể thay đổi mật khẩu từ xa bằng PowerShell (nếu họ có quyền truy cập mạng đến domain controller).