📚 课程目录第3章 AD对象与权限模型精讲

3. AD对象与权限模型精讲

Active Directory 的安全问题，很少是“某个功能没开”这么简单。它更像一套由对象、标识、权限和策略共同构成的授权系统：用户和计算机是安全主体，组是权限的批量容器，GPO 是配置的批量下发通道，ACL 决定谁能对谁做什么，SID 是对象的真实身份，令牌是登录后权限的运行时快照。理解这条链路，才能看清攻击面在哪里，治理抓手又该落在哪一层。

对象与安全主体：目录里的“人、机、组”

AD 中的每个对象都有唯一标识——objectGUID 用于内部引用，distinguishedName（DN）用于层次定位，而 objectSid 才是权限判断时真正使用的安全标识符。用户对象（user）和计算机对象（computer）是两类核心安全主体，它们可以登录、持有凭据、被授予权限。组对象（group）本身不登录，但它是权限分配的主要载体。

组分为安全组和通讯组，只有安全组能进入 ACL 的 trustee 字段。安全组又按作用域分为全局组、通用组和本地域组：全局组适合“按职能聚合人”，本地域组适合“按资源授权”，通用组在多域环境中使用但成员信息会复制到全局编录。一个常见的治理抓手是：不要直接把权限授予用户，而是授予组，这样人员变动时只需改组成员关系，不必逐条修改 ACL。

SID 与令牌：权限判断的运行时依据

当用户登录时，域控会返回该用户的 SID 及其所属所有组的 SID，本地安全机构（LSA）据此构造访问令牌（access token）。令牌中包含用户 SID、组 SID 列表、特权列表和完整性级别。此后用户访问任何资源，系统都拿这个令牌去和资源 ACL 比对，而不是重新查询目录。

这意味着两件事：第一，组成员变更后，用户需要重新登录或重新获取令牌才能生效；第二，如果攻击者能篡改令牌内容（例如注入高权限组 SID），就能绕过目录层面的检查。因此令牌是“运行时权限快照”，也是攻击面从静态目录延伸到主机内存的关键节点。

ACL 与 ACE：权限的最终裁决

每个安全对象都带有一个安全描述符，其中 DACL（自主访问控制列表）决定谁可以访问。DACL 由若干 ACE（访问控制条目）组成，每条 ACE 包含 trustee SID、访问掩码和 Allow/Deny 类型。访问检查的顺序是：先看 Deny ACE，再看 Allow ACE，如果没有任何 Allow 匹配，则拒绝。

这里有一个容易被忽视的细节：继承。子对象的 ACE 可以从父容器继承，也可以显式设置。如果继承被阻断（例如勾选了“阻止继承”），父级权限变更就不会自动生效，容易形成权限孤岛。审计时可以用 dsacls 或 PowerShell 的 Get-Acl 导出 ACL，重点检查非继承的显式 ACE 和 Deny 条目。

# 示例：查看某 OU 的 ACL 中显式 ACE
$acl = Get-Acl "AD:OU=Finance,DC=corp,DC=local"
$acl.Access | Where-Object { $_.IsInherited -eq $false } |
  Select-Object IdentityReference, AccessControlType, ActiveDirectoryRights

输出中若出现普通用户对 OU 拥有 GenericAll 或 WriteDacl，就是高风险信号——前者可重置密码或改组成员，后者可修改权限本身，等于把授权体系交给了不该持有的人。

GPO：策略下发与攻击面交汇点

组策略对象（GPO）通过链接挂载到站点、域或 OU 上，影响范围内的用户和计算机。GPO 本身也是 AD 对象，有自己的 ACL 和 SID。谁能编辑 GPO、谁能链接 GPO、谁能修改 GPO 的 ACL，谁就能影响大批主机的配置。常见攻击路径是：攻击者获得某个 GPO 的编辑权，在其中下发计划任务或启动脚本，从而在大量主机上执行代码。

治理上应做到：GPO 编辑权限只授予必要的管理员组；对 GPO 的修改启用审核；定期用 Get-GPOReport 导出基线并比对差异。GPO 的“可写”状态，本质上和“域管权限”一样危险。

把链路串起来：从对象到访问结果

回到整体：用户/计算机对象持有 SID，登录后生成令牌；资源上的 DACL 由 ACE 组成；访问检查拿令牌 SID 与 ACE 比对，输出允许或拒绝。组是 SID 的集合，GPO 是配置的集合，ACL 是权限的集合。攻击面分布在每一层：对象属性可被篡改、组成员可被加入、ACL 可被改写、GPO 可被劫持、令牌可被窃取。治理抓手也对应每一层：控制谁能改对象、谁能进组、谁能写 ACL、谁能编 GPO、谁能碰令牌。

审计优先级建议：先查特权组（Domain Admins、Enterprise Admins、Account Operators 等）成员，再查 OU 和 GPO 上的非继承显式 ACE，最后核对服务账户和计算机账户的委派权限。这三步能覆盖大部分高风险配置。

理解这套模型后，后续的权限提升、横向移动和持久化分析，都可以还原为“谁通过什么路径获得了哪个 SID 的什么权限”。这也是 AD 安全治理的基本功。