身份与访问控制
权限跟着岗位走而不是跟着人走。这一节处理账号的授予、回收、本地密码托管与在域内的强制落地方式。
- 更新Updated
- 2026.10.17
3 篇文章3 articles
网络和终端的基线都做好了，最容易被绕过的一环还是身份。攻击者不一定要攻破系统，一份不该有的权限就够了。
这一节有三个主题，它们是同一件事的三个切面：
- Active Directory —— 权限的来源。账号怎么建、组怎么分层、权限怎么授。
- LAPS 本地管理员密码 —— 权限的兜底。本地管理员密码随机托管，域控不在时还能救机器，还顺手拆掉了横向渗透最顺的那条路。
- 组策略 —— 权限的落地。前面的决定怎么可靠地推到每一台机器上。
一条原则
权限跟着岗位走，不跟着人走。
这句话的实际含义是：不要给某个具体的人加权限，给「财务专员」这个组加权限，然后让具体的人属于这个组。人会换岗位，岗位不会。直接给个人授权的设计，必然会在第一次人事变动时留下一份没人记得的权限。
为什么放在网络之后
身份是权限的源头：网络 ACL 里写的「办公网段」最终要对应到人，AD 组里的一台机器最终要落到网络 VLAN。顺序反了，就变成先有规则再找理由。