Active Directory 管理：最常见的 7 个错误

Active Directory 的管理失误可能会带来安全风险、停机时间以及合规问题。常见的错误包括：在日常任务中使用管理员账号、在不进行权限定派的情况下过度使用 Domain Admins，以及缺乏恢复计划。其他错误还包括：直接在域控制器上管理 AD、让过期（陈旧）的账号处于启用状态、应用较弱的 password policies ，以及未能审计更改。遵循最小特权、执行强有力的策略并持续监控，可增强安全性并简化 Active Directory 管理。

管理 Active Directory 并不是一件容易的事，但总有人必须去做。如果这个“某个人”是你，那么你应该始终记住：即使是 AD 大师，人也会犯错。

为了尽量降低在你负责期间发生这类错误的风险，我将带你了解最常见的错误，并帮助你确保自己再也不会犯同样的错误。

错误 #1：将具有管理员权限的账号用于日常操作

如果你不需要这类权限，就不要使用域管理员，甚至本地域账户来登录。使用普通账户登录到计算机；当需要进行提升权限的访问时，再使用特权/管理员账户。这样分离的原因，是为了避免在使用提升后的凭据登录期间发生诸如定向钓鱼攻击或恶意软件注入之类的安全漏洞。

错误 #2：没有进行权限委派，而是把用户加入 Domain Admins 组

忽视最小特权（least privilege）这一理念是一个重大的安全问题。请考虑委派的 Active Directory security 模型，尤其适用于诸如解锁账户和重置密码之类的常见管理任务。您需要仔细评估所有需要在 AD 中工作的人员的工作职责。想一想哪些特定流程可以实现自动化。例如，帮助台角色可能包括重置用户密码、将计算机连接到域以及修改某些安全组的权限。使用 AD Delegation Best Practices 来实现对 AD 委派更高效的管理。

错误 #3：备份/恢复计划不完善

如果有人删除了 Active Directory 对象，您需要多快才能从这次未经授权的更改中恢复？为所有组织制定并测试恢复选项是必需的，这样才能在出现错误时迅速恢复。配置并使用 AD tombstone 或回收站（recycle bin）以 recover AD objects 。请考虑委派的 Active Directory security 模型，尤其是针对诸如解锁账户和重置密码这类常见的管理任务

错误 #4：从域控制器（domain controller）管理 Active Directory

这意味着管理员需要先在本地（物理方式）登录到域控制器，然后从服务器上启动管理工具。这种不良做法并不仅限于对常规 AD 对象的管理——它也可能发生在 Group Policy Management、DHCP 和 DNS 控制台中。正如最佳实践所建议的那样，域控制器应只运行域服务所需的角色（其中包括 DNS 角色，但绝不要将 DC 用作 DNS；应始终指向另一个 DC），并且所有日常管理都应在受保护的管理计算机上进行。

错误 #5：未终止过期（陈旧）账户

应先禁用再删除过期（陈旧）的账户，因为如果不加处理，前员工或恶意用户可能会利用它们进行数据外传（data exfiltration）。健康的 AD 环境就是干净的 AD 环境。当管理员在环境中仍保留过期用户、计算机、组，甚至 GPO 时，也会不必要地增加环境的复杂度。

错误 #6：实施了薄弱的密码策略

在把密码的脆弱性归咎于用户的坏习惯之前，您可能需要将自己的策略与合规要求以及密码最佳实践进行对照检查。下面是一些建议：

• 不要将用户密码设置为永不过期。
• 将服务账号的密码设置为不过期，然后安排定期重置。
• 多个账号使用同一密码意味着：一旦攻击者攻破其中一个服务，他就立刻拥有通用的“主密钥”。
• 为工作账号、个人邮箱、Facebook 账号等使用不同的密码。
• 请遵循 Password Best Practices ，以更好地管理密码。

错误 #7. 未进行 Active Directory 审计和监控

监控 AD 的运行状况，并快速排查故障。将域控制器上的事件日志大小扩展到最大。始终跟踪 Active Directory 中的变更，尤其是对 Domain Admins 组的变更。要跟踪变更，你需要启用 审计策略；请遵循 最佳实践以正确配置它。跟踪变更一定会让你的调查与故障排查过程更加轻松。

你是否发现，上述列出的某些错误在你的域中也很常见？把它们先保密，迅速纠正，然后假装你一直都像专业人士一样在管理 Active Directory！