限制云桌面的文件传输与重定向
先明确“上传/下载”发生在哪里：文件共享与云桌面之间的读写由共享角色及目录 ACL控制；云桌面与本地设备之间的文件传输，还受到 AVD 重定向设置及应用、网络策略影响。
1. 把要求对应到具体控制项
Section titled “1. 把要求对应到具体控制项”| 要求 | 主要控制位置 | 预期效果 |
|---|---|---|
| 用户只能读共享文件 | 共享 Reader 角色和目录 ACL | 阻止修改共享内容，仍允许读取和复制 |
| 不把本机磁盘带进云桌面 | 主机池驱动器重定向；必要时配合会话主机策略 | 减少通过重定向磁盘传文件的路径 |
| 不允许本机与云桌面复制粘贴 | 主机池剪贴板重定向及会话主机策略 | 限制 RDP 剪贴板通道 |
| 不允许使用本机打印机 | 打印机重定向及会话主机策略 | 阻止对应的打印机重定向路径 |
| 不允许向外部网站上传文件 | 应用、浏览器、出站网络或数据保护策略 | 需另行规划，不由文件共享只读角色完成 |
主机池 RDP 设置按主机池生效。不同用户群有不同传输要求时，应规划独立主机池或适用的主机侧策略，不能在一个共享角色里完成所有桌面策略区分。
2. 在 Portal 关闭剪贴板重定向
Section titled “2. 在 Portal 关闭剪贴板重定向”操作路径：Portal → 搜索“Azure 虚拟桌面” → 主机池 → 目标主机池 → 设置 → RDP 属性 → 设备重定向。
- 找到“剪贴板重定向”。
- 选择本地剪贴板在远程会话中不可用的选项，再保存。
- 断开并重新连接会话，分别测试本机到云桌面、云桌面到本机的文本和文件复制。
对应的禁用属性为 redirectclipboard:i:0。Portal、Intune 或组策略同时配置时，限制更严格的设置决定最终效果。剪贴板配置与优先级
3. 关闭驱动器重定向
Section titled “3. 关闭驱动器重定向”在同一“设备重定向”页找到“驱动器/存储重定向”，选择“不要重定向任何驱动器”，保存并重新连接。
检查云桌面的“此电脑”中不再出现本地设备重定向的盘符。此设置不会删除用户在 AVD 内通过网络挂载的 Azure Files 共享；二者的连接路径不同。
若通过 Intune 或组策略禁止驱动器重定向，也会阻止使用剪贴板传输文件；文本和图片需按剪贴板要求另行控制。驱动器重定向官方步骤
4. 根据需要限制其他通道
Section titled “4. 根据需要限制其他通道”如不需要本机打印机，在主机池 RDP 属性中禁用打印机重定向，并核对会话主机策略。打印机重定向配置
关闭以上重定向不等于所有数据出口都已关闭。仍需按业务要求核对远程桌面内的浏览器上传、邮箱、同步应用及其他网络目的地。只允许查看、不允许另存等需求，应进一步选择相应的应用权限或数据保护方案。
5. 保存后如何验收
Section titled “5. 保存后如何验收”使用普通测试用户重新登录，依次检查：本机盘符不可见、双向剪贴板符合设计、打印机符合设计、Azure Files 仍能按只读或编辑权限访问、获准的业务流程可以完成。
分别记录客户端平台与 Windows App 版本；不同客户端支持的重定向能力可能不同。需要单向传输或保留文本但禁止文件时，按官方的客户端与策略支持矩阵验证，不能仅根据一个开关推断全部行为。