AnyDesk 的連線預設就有 TLS 1.2 加密，但遠端連線工具能不能安全使用，很大一部分取決於裝好之後的設定：誰可以連進來、連進來能做什麼、員工離職後權限有沒有收乾淨。這篇整理 IT 管理員導入 AnyDesk 時，建議完成的 7 項安全設定、每項設定適用哪些授權方案，以及員工離職時的收回清單。
7 項設定一覽
| 設定 | 防範什麼 | 建議對象 | 適用方案 |
|---|---|---|---|
| 1. 存取控制清單（ACL） | 陌生裝置知道 ID 和密碼後連入 | 所有被遠端的電腦、伺服器 | Solo 以上 |
| 2. 強制雙重驗證（2FA） | 無人值守密碼外洩 | 有開無人值守存取的裝置 | 個人開啟：Solo 以上 全公司強制：Standard 以上 |
| 3. 無人值守存取分權限設定檔 | 一組密碼開放所有權限 | 伺服器、機房設備、客戶端電腦 | Standard 以上（Solo 為有限功能） |
| 4. 限制連線請求的顯示方式 | 陌生人隨意發送連線請求 | 伺服器、無人使用的電腦 | 洽詢映藍國際 |
| 5. 自訂客戶端並鎖定設定 | 員工自行把安全設定關掉 | 全公司統一部署 | Standard 以上 |
| 6. 連線錄影 | 事後無法追查連線期間做了什麼 | 外包維護、有稽核需求的單位 | Solo 以上 |
| 7. 螢幕邊框提示 | 使用者不知道正在被遠端 | 員工電腦、客服支援場景 | Solo 以上 |
各授權方案可以用哪些安全功能
這篇提到的安全功能，大部分 Solo 以上的付費方案都有，不需要買到 Ultimate。差別主要在「能不能由 IT 統一部署、強制執行」：
| 功能 | Solo 個人版 | Standard 標準版 | Advanced 專業版 | Ultimate 企業版 |
|---|---|---|---|---|
| 存取控制清單（ACL） | ✓ | ✓ | ✓ | ✓ |
| 雙重驗證（2FA） | ✓ | ✓ | ✓ | ✓ |
| 連線錄影 | ✓ | ✓ | ✓ | ✓ |
| 螢幕邊框提示 | ✓ | ✓ | ✓ | ✓ |
| 隱私模式 | ✓ | ✓ | ✓ | ✓ |
| 閒置自動中斷連線 | ✓ | ✓ | ✓ | ✓ |
| 連線結束自動鎖定螢幕 | ✓ | ✓ | ✓ | ✓ |
| 權限設定檔 | 有限 | ✓ | ✓ | ✓ |
| 自訂客戶端產生器 （強制 2FA、鎖定設定都要用到） | － | ✓ | ✓ | ✓ |
| 透過 my.anydesk 集中管理設定 | － | ✓ | ✓ | ✓ |
| 使用者管理（角色與權限） | － | 有限 | ✓ | ✓ |
| 群組政策 | － | 有限 | ✓ | ✓ |
| MSI 大量靜默部署 | － | － | ✓ | ✓ |
| 自訂命名空間 | － | 加購 | 加購 | ✓ |
| 單一登入（SSO） | － | － | － | ✓ |
| On-Premises 地端部署 | － | － | － | 加購 |
資料來源：AnyDesk 官網方案比較，映藍國際整理（2026 年 8 月版）。「有限」表示該方案提供部分功能，細節可洽映藍國際確認；正式功能以原廠公告為準。
怎麼選方案：只有 1 位 IT 人員、自己管幾台設備，Solo 就能完成大部分設定。需要讓全公司統一套用安全設定、強制開 2FA，至少要 Standard。電腦數量多、要用 MSI 大量部署或細分管理員角色，選 Advanced。需要 SSO 或地端部署，才需要 Ultimate。各方案的人數、連線數上限可參考〈AnyDesk 四種授權方案怎麼選？〉。
設定 1：存取控制清單（ACL），只讓白名單裝置連入
適用方案：Solo 以上（自訂命名空間：Standard、Advanced 加購，Ultimate 內建）
存取控制清單（Access Control List，ACL）可以限定「只有清單上的 AnyDesk ID 或別名能連進這台電腦」。設定之後，就算有人拿到這台電腦的 ID 和無人值守密碼，只要他的裝置不在清單上，一樣連不進來。
- 支援萬用字元：可以用
*一次允許一整批別名，不用逐台輸入 - 搭配自訂命名空間（進階）：公司購買自訂命名空間後，所有員工的別名都會是
名字@公司名稱的格式，ACL 只要設一條*@公司名稱就能允許全公司、擋掉所有外部裝置
7 項設定裡最優先做這一項。AnyDesk 官方的安全指南也指出，ACL 是員工離職時最有效的防護：即使前員工還記得密碼，只要他的 ID 被移出清單，就無法再連線。
設定 2：強制無人值守存取開啟雙重驗證
適用方案：使用者自行開啟 Solo 以上；IT 強制全公司開啟 Standard 以上
無人值守存取（Unattended Access）讓 IT 不需要對方按「接受」就能連入，適合維護伺服器或下班後處理問題，但也代表密碼一旦外洩，對方可以直接進來。加上雙重驗證（2FA）後，連線時除了密碼，還要輸入驗證器 App 上的 6 位數動態碼。
單台電腦可以由使用者自己開啟 2FA，每個方案都有；要讓全公司統一執行，需要在 my.anydesk II 建立自訂客戶端時強制開啟，所以要 Standard 以上方案：
- 登入 my.anydesk II，進入 Builds，建立新的自訂客戶端
- 在第 2 步 Security 的 Permission Profiles，開啟「Require 2FA for Unattended Access」
- 完成設定後，把這個客戶端部署給員工
開啟後的效果：
- 員工設定或修改無人值守密碼時，會被要求先設定 2FA
- 沒有啟用 2FA，無人值守存取就無法使用；之後移除 2FA，無人值守存取也會自動停用
- 一般使用者無法自行關閉這項要求，只有具管理員權限的人可以
- 需要 Windows 版 AnyDesk 9.7.0 以上
設定 3：無人值守存取分成不同權限設定檔
適用方案：Standard 以上（Solo 為有限功能）
AnyDesk 可以建立多個權限設定檔（Permission Profile），每個設定檔有自己的無人值守密碼和權限範圍。也就是說，不同的人用不同的密碼連入，能做的事情也不一樣。
AnyDesk 內建 4 種設定檔：預設（Default）、僅螢幕分享（Screen Sharing）、完整存取（Full Access）、無人值守存取（Unattended Access），也可以自己新增。每個設定檔可以個別開關的權限包括：鍵盤滑鼠控制、剪貼簿、檔案管理員、遠端重新開機、遠端列印、TCP 通道、隱私模式等。
常見的分法：
| 設定檔 | 給誰用 | 權限範圍 |
|---|---|---|
| 完整管理 | 內部 IT 管理員 | 開放鍵盤滑鼠控制、檔案傳輸、重新開機等完整權限 |
| 一般支援 | 客服、Help Desk 人員 | 可操作畫面，關閉檔案管理員、TCP 通道等較高風險的權限 |
| 僅檢視 | 外部顧問、協助排查的廠商 | 使用內建的「僅螢幕分享」設定檔，只能看畫面，不能操作 |
這樣某一組密碼外洩時，影響範圍只限於該設定檔的權限；要停用某一類人員的存取，也只要換掉對應設定檔的密碼。
設定 4：限制連線請求的顯示方式
AnyDesk 的「互動式存取（Interactive Access）」決定別人發送連線請求時，這台電腦要不要跳出提示，有 3 個選項：
- 永遠顯示連線請求：適合需要隨時接受遠端協助的員工電腦
- 只在 AnyDesk 視窗開啟時顯示：員工主動打開 AnyDesk 才接受請求，平常不會被打擾
- 永遠不顯示連線請求：只允許無人值守存取連入，適合伺服器和沒有人使用的設備
伺服器建議選「永遠不顯示」，再搭配設定 1 的 ACL 和設定 2 的 2FA，這台機器就只有特定裝置、拿到密碼加動態碼的人才連得進來。
設定 5：用自訂客戶端統一部署，並鎖定安全設定
適用方案：Standard 以上（MSI 大量靜默部署：Advanced 以上）
如果讓員工各自下載 AnyDesk 安裝，每台電腦的設定都不一樣，員工也可能自己把安全設定關掉。建議由 IT 在 my.anydesk II 建立自訂客戶端（Custom Client），把上面的設定預先做好，再統一部署。
建立自訂客戶端時，安全相關的設定建議使用「Override settings」（覆寫設定），這樣員工安裝後無法從介面修改。另外要注意自訂客戶端的下載連結，公開連結任何人拿到都能下載，建議設為私人。
設定 6：開啟連線錄影
適用方案：Solo 以上
AnyDesk 可以自動錄下連入或連出的連線過程，並指定錄影檔的儲存位置。適合這些情境：
- 外包廠商遠端維護系統，事後需要確認對方做了哪些操作
- 有內控或稽核需求的產業，需要保留遠端操作紀錄
- 客服遠端協助客戶時發生爭議，需要還原當時狀況
設定 7：開啟螢幕邊框提示
適用方案：Solo 以上
在隱私設定開啟 Screen Frame（螢幕邊框），連線期間螢幕周圍會出現一圈置頂的邊框，提醒使用者「現在有人正在遠端這台電腦」。這個設定很簡單，但能讓員工在發現陌生連線時第一時間察覺並中斷。
員工離職時的 AnyDesk 收回清單
根據 AnyDesk 官方的離職建議，員工離職時依序完成這 5 項：
到 my.anydesk II 的 Clients 頁面，移除該員工使用的客戶端，他就無法再存取公司的通訊錄。
到 my.anydesk II 的 License → About → Reset 重設授權金鑰，讓他電腦上的 AnyDesk 降回免費版，無法再使用公司授權。
如果公司的自訂客戶端連結是公開的，改為私人或重新產生新連結；已經安裝的副本，從授權中手動移除。（Standard 以上有使用自訂客戶端的公司才需要處理）
他知道的所有無人值守密碼都要換掉，尤其是伺服器和共用設備。
把他的 ID 或別名從各裝置的存取控制清單移除。有使用自訂命名空間的公司（Standard、Advanced 加購，Ultimate 內建），授權撤銷後命名空間下的別名會自動移除，處理起來更快。
無人值守密碼建議集中保管。伺服器多的公司，無人值守密碼常常散落在 Excel 或個人筆記裡，離職時很難確認對方到底知道哪些密碼。用企業密碼管理工具集中存放、依權限分享，換密碼時也能一次更新。其他系統帳號的收回流程，可參考〈員工離職，帳號密碼怎麼收回？檢查清單與 SOP〉。
有更高隔離需求：考慮 On-Premises 版本
政府單位、金融機構或工控環境如果要求連線資料完全不經過外部伺服器，AnyDesk 也提供 On-Premises（地端）部署，整套系統架在企業自己的機房，可以在不連外網的封閉環境運作。On-Premises 是 Ultimate 方案的加購項目，Ultimate 也是唯一支援 SSO 的方案。
常見問題
AnyDesk 的連線有加密嗎？
有。AnyDesk 所有連線都使用 TLS 1.2 搭配 AEAD 加密，無人值守存取的密碼則以加鹽雜湊（salted hash）方式儲存。連線中可以點工具列的連線資訊圖示，查看目前的加密狀態。
可以強制所有員工都開啟 AnyDesk 雙重驗證嗎？
可以。管理員在 my.anydesk II 建立自訂客戶端時，開啟「Require 2FA for Unattended Access」，員工要先設定雙重驗證，無人值守存取才能使用；之後如果移除 2FA，無人值守存取會自動停用。一般使用者無法自行關閉這項要求。此功能需要 Windows 版 9.7.0 以上，且要用到自訂客戶端，所以需要 Standard 以上方案；Solo 方案只能由使用者在各自的電腦上自行開啟 2FA。
知道 AnyDesk ID 和密碼，就一定連得進來嗎？
設定存取控制清單（ACL）後就不會。ACL 只允許清單上的 AnyDesk ID 或別名連線，不在清單上的裝置即使知道 ID 和密碼也無法連入。
這 7 項安全設定，需要買 Ultimate 才能用嗎？
不需要。存取控制清單、雙重驗證、連線錄影、螢幕邊框提示，Solo 以上每個方案都有；強制全公司開 2FA、自訂客戶端並鎖定設定，需要 Standard 以上；自訂命名空間在 Standard、Advanced 是加購項目，Ultimate 內建。Ultimate 才有的是 SSO，On-Premises 地端部署則是 Ultimate 的加購項目。完整對照請看上方〈各授權方案可以用哪些安全功能〉。
員工離職後，AnyDesk 要怎麼收回？
AnyDesk 官方建議：在 my.anydesk II 移除該員工的客戶端、重設授權金鑰、把公開的自訂客戶端下載連結改為私人或重新產生、更換所有無人值守密碼，並在各裝置的 ACL 封鎖該員工的 ID 或別名。其中自訂客戶端連結只有 Standard 以上方案才會用到。詳細步驟見上方〈員工離職時的 AnyDesk 收回清單〉。
參考資料：AnyDesk：Security tips and offboarding、Require 2FA for Unattended Access、AnyDesk client settings