1. AD安全治理工程导论

Active Directory（AD）并不是一台“登录服务器”，而是企业身份基础设施的中枢。它同时承担目录数据存储、身份认证、授权决策、策略下发、资源命名与信任关系维护等职责。用户登录、终端加域、文件共享访问、邮件系统认证、VPN 接入、数据库与业务系统的域集成，几乎都要经过 AD 或与其建立信任的身份提供方。因此，AD 一旦被攻陷，攻击者获得的往往不是单台主机的权限，而是“身份签发能力”：可以创建账号、修改组成员、下发组策略、导出凭据、伪造票据，进而横向移动到大量系统。理解 AD 在身份基础设施中的核心地位，是开展安全治理工程的前提。

从工程视角看，AD 安全治理不是“打补丁 + 改密码”的集合，而是一套围绕身份资产、权限关系、认证链路和变更过程持续运行的控制体系。它至少包含四个层面：第一，资产与拓扑层，明确域、林、站点、域控、证书服务、联邦/同步组件的边界与依赖；第二，身份与权限层，管理用户、计算机、服务账号、组、组织单位和访问控制列表；第三，认证与协议层，关注 Kerberos、NTLM、LDAP、LDAPS、SMB、证书与信任关系；第四，运营与合规层，覆盖变更审批、日志审计、备份恢复、漏洞修复和合规证据留存。缺少任何一层，治理都会退化为局部加固。

合规要求是治理工程的外部约束。等保、ISO 27001、SOX、GDPR 以及行业监管规范，通常不会直接写“请加固 Kerberos”，而是提出访问控制、最小权限、身份鉴别、审计留痕、变更管理和业务连续性等要求。落到 AD 上，这些要求会转化为具体控制点：特权组成员是否受控、域管账号是否分离、服务账号是否使用托管账号或组托管服务账号、旧协议是否禁用、目录复制与备份是否可验证、审计日志是否集中留存并具备告警能力。合规不是终点，而是把安全目标翻译成可检查项的过程。

工程化治理框架的价值在于把零散控制点组织成可执行、可度量、可迭代的体系。一个可落地的框架通常按“识别—收敛—加固—审计—验证”推进，但这不是线性一次性任务，而是持续循环。识别阶段要建立域控清单、特权账号清单、服务账号清单和信任关系清单；收敛阶段要清理长期未登录账号、嵌套特权组、过度委派和匿名访问；加固阶段要禁用 NTLM 或限制其使用、启用 LDAPS、限制 Kerberos 委派、保护特权组并部署受保护用户；审计阶段要集中采集安全日志、目录服务日志和策略变更日志，并建立告警规则；验证阶段要定期做恢复演练、权限复核和攻击面复测。每一步都应有明确的责任人、输入、输出和判定标准。

为了让治理工作可管理，建议把控制点映射为可检查项。例如“特权组受控”可以拆解为：Domain Admins 成员是否少于约定人数、是否与日常办公账号分离、是否启用多因素认证、是否有变更审批记录、是否每月复核。再如“认证链路可信”可以拆解为：域控是否仅开放必要端口、是否禁用 SMBv1、是否限制 NTLM 出站、是否启用 LDAP 签名与通道绑定、是否监控异常票据请求。这样，合规要求就不再是抽象条款，而是可以逐项验证的工程任务。

课程路线图将围绕上述框架展开。前半部分建立认知与基线：理解 AD 核心地位、治理与合规要求、工程化框架，并完成资产与权限盘点。中段进入关键控制面：特权账号与组治理、服务账号与托管账号、Kerberos 与 NTLM 加固、LDAP 与证书服务安全、组策略与委派管理。后段聚焦运营与对抗：日志审计与告警、备份恢复与灾难演练、常见攻击链分析与检测、权限复核与持续改进。每一章都会给出可操作的对象、参数、判断依据和示例结果，帮助读者把治理从“知道要做什么”推进到“能够实际做出来并验证”。

需要强调的是，AD 安全治理工程不是安全团队的独角戏。域控变更、组策略调整、服务账号申请、证书模板修改，都会影响业务系统。因此，治理必须与 IT 运维、应用团队、审计与合规部门协同，建立变更审批、回滚方案和证据留存机制。只有把身份基础设施当作需要长期运营的关键生产系统，AD 安全治理才能真正落地并持续有效。