Microsoft AZ-801: Active Directory 域服务安全 — 学习指南

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

属于 Microsoft Windows Server Hybrid Administrator Associate AZ-801 — 学习指南. 使用经过验证的答案练习： Microsoft 考试中心, 或参加限时模拟考试： ExamRoll.io.

概述

Active Directory 域服务 (AD DS) 是 Windows 网络中身份和访问的基础。保护 AD DS 意味着控制凭据的创建、存储和使用方式；限制特权身份可以进行身份验证的位置；强化身份验证协议；审计高价值操作；并确保可靠的恢复。本节涵盖细粒度密码和账户策略、特权身份保护、身份验证强化和委派、审计和 SACL、回收站、LDAP 签名和通道绑定、AdminSDHolder 行为、备份和权威性还原（包括 SYSVOL 恢复）以及 AD 分层模型。

凭据策略和特权身份控制

细粒度密码策略 (PSO) 允许在单个域中实施多个密码/锁定策略，而无需创建额外的域。PSO 是存储在 CN=Password Settings Container,CN=System,<domain DN>（即 msDS-PasswordSettingsContainer）中的 msDS-PasswordSettings 对象。PSO 通过 msDS-PSOAppliesTo 属性应用于用户和全局安全组。当一个用户有多个适用的 PSO（直接应用或通过组成员身份应用）时，最终生效的 PSO 是 msDS-PasswordSettingsPrecedence 值最低的那个；如果存在平局，则 GUID 最低的 PSO 获胜。用户最终生效的 PSO 会被记录在 msDS-ResultantPSO 属性上。设计 PSO 时，应将较低的优先级数值映射到您希望最终生效的最严格策略，并通过读取 msDS-ResultantPSO 来验证生效的策略。

Protected Users 安全组通过移除遗留和有风险的身份验证行为来强化高价值账户。其成员：

• 不能使用 NTLM、Digest 或 CredSSP
• Kerberos 身份验证中禁用 RC4 和 DES
• 不能通过 Kerberos 进行委派（无约束或约束性）
• 接收具有固定较短生命周期（默认为 4 小时）的不可续期 TGT
• 不在工作站上缓存明文凭据或长期密钥（防止 WDigest 回退和凭据材料在 LSASS 中残留） 在验证应用程序兼容性后，将此组用于人工操作的特权身份和高风险服务所有者。域控制器必须运行 Windows Server 2012 R2 或更高版本才能强制执行这些保护措施。

身份验证策略和身份验证策略容器限制账户可以在何处以及如何进行身份验证。身份验证策略可以设置每个账户的 Kerberos 限制，例如 TGT 生命周期和允许的设备（通过 SPN/主机 FQDN）。身份验证策略容器将用户、计算机和服务账户分组，以便只有允许的组合才能使用受该策略约束的 Kerberos 进行身份验证。这强制执行了“工作站到管理员”的控制：例如，Tier 0 管理员只能登录到域控制器和指定的特权访问工作站 (PAW)，而不能登录到成员服务器或工作站。与 Protected Users 组结合使用以获得最大效果。这些功能需要 Windows Server 2012 R2 域控制器和 KDC armoring。

AdminSDHolder 和 SDProp 保护特权身份的 ACL。内置管理组（例如，Domain Admins、Enterprise Admins、Schema Admins、Administrators、Account Operators、Server Operators、Backup Operators、Print Operators 等）的成员是“受保护的”。SDProp 每小时在 PDC Emulator 上运行一次，将 ACL 从 CN=AdminSDHolder,CN=System 复制到受保护的对象，并禁用这些对象的 ACL 继承（AdminCount=1）。要授予服务台对受保护对象的权限，应更改 AdminSDHolder 上的 ACL——绝不要直接更改单个受保护对象上的 ACL——否则更改将被还原。当一个账户从所有受保护的组中移除后，重新启用 ACL 继承并清除 AdminCount，以便 OU 级别的 ACL 和 GPO 能够再次应用。

采用 AD 分层模型以最大限度地减少凭据暴露。Tier 0 包含域控制器、身份系统（PKI、联合身份验证、PAM）以及管理它们的管理员账户。Tier 1 包含服务器工作负载及其管理员。Tier 2 包含工作站及其管理员。防止跨层登录，使用 PAW 进行 Tier 0/1 管理，并使用 Protected Users、身份验证容器、Remote Credential Guard、Just-Enough Administration (JEA) 和用于本地管理员密码轮换的 Windows LAPS 等功能来隔离凭据。

身份验证强化与委派

LDAP 签名和通道绑定可防御中继攻击和中间人攻击。通过组策略配置域控制器以要求签名：计算机配置\Windows 设置\安全设置\本地策略\安全选项\“域控制器：LDAP 服务器签名要求” = 要求签名。在可行的情况下要求客户端签名：“网络安全：LDAP 客户端签名要求” = 要求签名。对于 LDAPS，通过在 HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters 下将 LDAPEnforceChannelBinding 设置为 1（已启用，推荐）或 2（始终）来在 DC 上启用通道绑定。清点旧版设备和应用程序；启用签名或通道绑定可能会破坏匿名/简单绑定或旧的 LDAP 堆栈。监控目录服务事件日志：2886（不需要签名）、2887（未签名简单绑定摘要）、2888（签名仍被禁用）、2889（启用诊断日志记录时，执行未签名简单绑定的客户端 IP）。在强制执行“始终”(2) 之前，先在“警告”阶段（通道绑定=1）进行更改。

Kerberos 委派控制服务如何代表用户行事：

• 非约束性委派（“信任此计算机以便委派给任何服务(仅 Kerberos)”）允许服务接收可转发的 TGT 并模拟用户访问任何服务。这属于高风险操作；应避免使用，优先选择约束性模型。
• 约束性委派 (KCD)（“仅信任此计算机以便委派给指定的服务”）限制了服务可以委派的目标（目标 SPN 列表）。配合“使用任何身份验证协议”，服务可以使用协议转换 (S4U2Self)，然后使用 S4U2Proxy 来访问指定的后端。
• 基于资源的约束性委派 (RBCD) 通过在目标服务帐户上设置 msDS-AllowedToActOnBehalfOfOtherIdentity，将控制权转移给资源。资源所有者授权哪些前端主体可以向其委派，从而简化跨域场景并最小化攻击面。现代设计中应首选 RBCD；定期审核并验证 SPN 和委派设置。

审核与弹性

AD DS 审核必须经过精心设计且具体明确。使用“高级审核策略配置”来启用子类别而不是旧版类别，并设置“审核：强制审核策略子类别设置替代审核策略类别设置”以确保一致性。推荐的子类别包括“帐户管理”、“登录/注销”（登录、注销、特殊登录）、“帐户登录”（Kerberos 身份验证服务/服务票证操作）和“目录服务更改/访问”。关键事件 ID：

• 4720（已创建用户帐户），来自“帐户管理”
• 4740（用户帐户已锁定），来自“帐户管理”
• 4625（帐户登录失败），来自“登录/注销”
• 4648（尝试使用显式凭据登录），来自“登录/注销” 通过“目录服务更改”进行增强，以捕获关键属性的谁/什么/旧值/新值（事件 5136/5137/5139）。要审核特定更改（例如，组成员身份、SPN、ACL），请在目标对象或 OU 上配置 SACL（在 ADUC 中启用“高级功能”，打开对象“安全”>“高级”>“审核”）。根据需要添加入口以审核“写入所有属性”或特定属性（member、servicePrincipalName），以及“修改权限/所有者”。验证日志是否已送达中央 SIEM，以及 DC 安全日志是否具有足够的保留期。

AD DS 回收站通过保留已删除对象的所有属性和反向链接来防止意外删除。每个林只能启用一次（不可逆），可通过 ADAC 或 PowerShell（Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target <forest>）启用。启用后，已删除的对象会在 msDS-DeletedObjectLifetime 期间（如果未设置，则默认为 tombstoneLifetime）保持“已删除对象”状态，在此期间可以完整地还原其所有属性。此后，它将成为一个“已回收对象”，其属性不再可还原，随后将被垃圾回收。现代林的 tombstoneLifetime 通常默认为 180 天；较旧的林可能为 60 天。使用 ADAC、LDP 或 PowerShell (Restore-ADObject) 进行还原，并优先选择通过回收站进行授权的组成员身份恢复，而不是手动重新添加，以避免权限漂移。

备份和授权还原是最后的防线。使用 Windows Server Backup 或 wbadmin (wbadmin start systemstatebackup) 频繁地对每个域控制器进行系统状态备份。对于超出回收站能力的对象级回滚，请执行系统状态的非授权还原，然后使用 ntdsutil 将特定对象或 OU 标记为授权（提升其版本号，以便复制操作重新应用它们）。理解两者区别：非授权还原会恢复 DC，然后应用当前的复制数据；授权还原会标记一个对象，使其还原的版本覆盖较新的副本。对于使用 DFS Replication (DFSR) 的 SYSVOL，执行非授权或授权恢复：

• 非授权：停止 DFSR 服务，将受影响成员的 SYSVOL 订阅设置为非授权 (msDFSR-Options=0)，然后启动 DFSR，使其从上游伙伴重新同步数据。
• 授权：在选定的正常 DC 上，将 SYSVOL 订阅的 msDFSR-Options 设置为 1（授权），启动 DFSR，然后强制伙伴重新同步 (DFSRDIAG PollAD)。使用 dfsrdiag backlog 和事件日志验证健康状况。对于旧版 FRS（不受支持），请迁移到 DFSR 并避免使用 BurFlags 程序。

综合应用：运维、强化优先级和分层访问

首先优先处理 Tier 0：强制执行 LDAP 签名/通道绑定，移除无约束委派，迁移到 KCD/RBCD，将特权身份放入 Protected Users 组并附加身份验证策略/Silo 以限制登录端点，以及要求 Tier 0/1 管理员使用 PAW。为特权账户建立具有严格锁定和轮换策略的 PSO。在 Tier 0 容器上通过 SACL 开启高级审核。确保每日进行 DC 系统状态备份，并制定权威性还原和 SYSVOL 恢复的文档化操作手册 (runbook)。在 Tier 1/2 中，阻止管理员登录到更低层级，使用 Windows LAPS 消除本地管理员密码重用，并监控 4625/4740 事件的激增和 4648 的滥用，以发现横向移动企图。

实际问题场景

Adobe 在收购一家其业务线应用依赖于旧版协议的子公司后，必须迅速保护其本地 AD DS 林的安全。目标是降低密码喷洒攻击的成功率，阻止凭据中继到 DC，将特权登录限制在 PAW 上，为 Web 层实现委派现代化，并确保能从意外删除中快速恢复。

1. 定义 PSO 并将其分配给特权组

• 在 msDS-PasswordSettingsContainer 中创建一个严格的 PSO（低优先级值），设置较短的密码有效期、高复杂度和激进的锁定策略。
• 通过 msDS-PSOAppliesTo 将其应用于 “Domain Admins”、“Server Admins” 和一个自定义的 “Tier0‑Privs” 组。 原因：细粒度 PSO 仅针对高风险账户，而不会影响整个域，并且优先级保证了严格的策略能够生效。

2. 强制使用 Protected Users 和身份验证 Silo

• 将 Tier 0 的人类管理员添加到 Protected Users 组。
• 创建一个身份验证策略，仅允许从 PAW 主机 SPN 和 DC 进行 Kerberos 登录；在身份验证策略 Silo 中关联账户和 PAW。 原因：Protected Users 禁用了 NTLM/RC4 并阻止委派；Silo 强制执行“仅来自 PAW”，从而减少令牌暴露和凭据窃取路径。

3. 强化 LDAP 并监控中断情况

• 将“Domain controller: LDAP server signing requirements”设置为 Require；初始将 LDAPEnforceChannelBinding 设置为 1。
• 审查目录服务事件 2886–2889 以识别旧版绑定；修复相关应用，然后将 LDAPEnforceChannelBinding 设置为 2。 原因：签名和通道绑定可以阻断到 DC 的常见中继路径，而分阶段实施可以避免服务中断。

4. 为 Web 层将委派迁移到 RBCD

• 通过将前端 Web 服务器的计算机账户添加到后端 API 服务账户的 msDS-AllowedToActOnBehalfOfOtherIdentity 属性中，将其从无约束委派转换为 RBCD。
• 移除旧的“信任此计算机进行任何服务的委派”标志；精确定义服务 SPN。 原因：RBCD 允许资源本身决定谁可以向其委派，并将模拟限制在预期的目标内，从而缩小了横向移动的范围。

5. 启用高级审核和 SACL

• 为账户管理、登录/注销、账户登录和目录服务更改配置高级审核策略。
• 在 Tier 0 OU 和关键组上，添加 SACL 以审核对 member 和 servicePrincipalName 的写入操作，以及权限/所有者的更改。
• 将日志转发到 SIEM；针对 4720、4740、4625 和 4648 的异常情况设置告警。 原因：您无法保护您看不到的东西；这些事件暴露了账户创建、锁定、登录失败和显式凭据使用模式。

6. 开启 AD DS 回收站并最终确定恢复操作手册

• 在林级别启用回收站，并记录 Restore-ADObject 的工作流程。
• 使用 Windows Server Backup 标准化每日 DC 系统状态备份，在实验室中通过 ntdsutil 测试权威性还原。
• 记录 DFSR SYSVOL 的权威性和非权威性恢复过程并进行演练。 原因：快速、准确的恢复可以阻止攻击者的破坏性行为，并减轻因管理员失误造成的后果，同时不会导致权限蔓延。

7. 在运维中实施 AD 分层模型

• 定义 Tier 0/1/2 资产；使用组策略和身份验证 Silo 按层级限制管理员登录。
• 为 Tier 0/1 部署 PAW，强制执行 Remote Credential Guard，并使用 Windows LAPS 轮换本地管理员密码。 原因：分层确保了凭据隔离，阻止攻击者跨层升级权限，使日常运维与安全边界保持一致。

← Microsoft Sentinel 和安全监控 · 所有领域 · Azure Arc 和混合服务器管理 →

练习这些题目 → · 在 ExamRoll.io 上限时练习 →

浏览 Microsoft →