2. AD架构与安全边界梳理
Active Directory 的安全治理，第一步不是加固某个域控，而是把“边界”画清楚。AD 的逻辑结构（林、域、OU、信任）与物理结构（站点、子网、复制拓扑、DNS）共同决定了身份、权限和认证流量能到达哪里。很多横向移动之所以成功，正是因为管理员只看到了域内的组织单位，却忽略了林信任、站点链路和 DNS 委派所构成的隐性通道。本节的目标是建立一张可落地的企业 AD 安全边界图，让每个对象的安全含义都能对应到具体的攻击面与防护动作。
逻辑边界：林、域与信任关系
林是 AD 的最高安全边界。同一林内的所有域共享 Schema、Configuration 和 Global Catalog，并默认存在可传递的双向信任。这意味着一旦某个域被攻陷，攻击者可以借助林内信任枚举其他域的用户、组和资源，甚至通过 SID History 注入实现跨域提权。因此，林内每个域都应视为同一信任域，不能假设“子域比父域安全”。
域是账户、策略和权限的实际管理单元。域边界的安全含义在于：域管理员（Domain Admins）默认对其域内所有成员服务器和工作站拥有完全控制权，而 Enterprise Admins 和 Schema Admins 则作用于整个林。治理时应遵循最小权限原则，将日常运维账户与高权限账户分离，并限制 Domain Admins 的登录范围，避免其凭据暴露在普通终端上。
信任关系是跨域访问的桥梁，也是风险传导的路径。外部信任、林信任、快捷信任和领域信任各有不同的传递性与认证方式。例如，林信任默认是单向或双向的、不可传递的，但若配置了 SID Filtering 关闭，则可能被 SID History 攻击利用。梳理信任时，必须记录信任方向、传递性、SID Filtering 状态和选择性认证设置，并定期审计是否存在不再需要的信任。
物理边界：站点、子网与复制拓扑
站点（Site）对应网络的高带宽、低延迟区域，通常与物理位置或数据中心对应。子网对象将客户端 IP 映射到站点，从而决定客户端登录时优先联系哪台域控。如果子网定义缺失或错误，客户端可能跨广域网去认证，既影响性能，也可能让认证流量经过不受控链路。安全上，站点边界应确保每个可路由子网都有明确归属，避免出现“无站点”客户端。
复制拓扑由站点链接（Site Link）、桥头服务器（Bridgehead）和复制计划组成。站点链接的开销（Cost）和复制间隔决定了目录数据在站点间的传播路径与延迟。攻击者可能利用复制权限（Replicating Directory Changes）读取目录分区中的敏感属性，如 LAPS 密码或 BitLocker 恢复密钥。因此，复制权限必须严格限制，仅授予必要的域控和受控服务账户。
DNS 与 OU：容易被忽视的边界
DNS 是 AD 的定位服务，域控通过 SRV 记录被客户端发现。DNS 区域的安全含义在于：谁能修改 _msdcs、_sites、_tcp 等区域，谁就能影响客户端对域控的定位，甚至将认证请求重定向到恶意主机。建议将 AD 集成 DNS 区域配置为安全动态更新，并限制区域传输和委派权限。
OU 是策略与委派的管理边界。组策略对象（GPO）链接到 OU 后，会作用于其下所有对象。OU 设计不当会导致 GPO 冲突、权限继承混乱，或让普通管理员获得过大的委派范围。治理时应按“职能 + 安全级别”划分 OU，避免将高权限账户与普通用户混放，并定期检查 GPO 链接和委派权限。
把边界图落到治理动作
完成边界梳理后，应形成一份可执行的检查清单。以下示例字段可直接用于企业环境盘点，参数为教学示例，实际值需按环境填写。
| 边界对象 | 关键属性 | 安全含义 | 检查动作 |
|---|---|---|---|
| 林 | Schema 版本、GC 分布、Enterprise Admins 成员 | 最高权限边界，跨域提权风险 | 审计 EA/SA 成员，限制登录范围 |
| 域 | Domain Admins、KRBTGT 密码年龄、功能级别 | 域内完全控制，凭据泄露影响大 | 分离日常账户，定期重置 KRBTGT |
| 信任 | 方向、传递性、SID Filtering、选择性认证 | 跨域访问通道，可能被 SID History 利用 | 关闭不必要信任，启用 SID Filtering |
| 站点/子网 | 子网归属、站点链接 Cost、复制间隔 | 认证路径与复制流量控制 | 补全子网，优化站点链接 |
| OU/GPO | GPO 链接、委派权限、继承阻断 | 策略与委派边界，影响面广 | 按安全级别划分 OU，审计委派 |
| DNS | 区域类型、动态更新、委派、区域传输 | 域控定位与认证重定向 | 启用安全动态更新，限制委派 |
| 复制 | 复制权限、桥头服务器、拓扑生成器 | 目录数据读取与篡改风险 | 限制 Replicating Directory Changes |
Get-ADForest、Get-ADDomain、Get-ADTrust 导出逻辑结构，再用 Get-ADReplicationSite、Get-ADReplicationSubnet、Get-ADReplicationSiteLink 导出物理结构，最后用 Get-GPOReport 和 Get-ADOrganizationalUnit 核对 OU 与 GPO 链接。所有导出结果应标注采集时间，避免把历史快照当作当前状态。
边界图不是一次性文档，而应随组织架构、网络变更和信任调整持续更新。建议每季度复核一次信任关系、站点子网和 DNS 委派，每次域控或网络调整后同步更新拓扑。只有把逻辑边界与物理边界放在同一张图上，才能真正看清 AD 的攻击面，并为后续的 tier 模型、PAW 和监控策略提供准确依据。