AD 权限审计
AD 权限审计的对象是域对象的访问控制列表，回答一个问题：谁对哪些对象拥有哪些权限。重点核查两类偏差，一是普通用户或普通组被授予了高危权限，例如对域根、组织单位、特权组或关键服务账户对象的写权限；二是继承中断造成的权限盲区，手动设置的权限覆盖了上层继承，容易被日常管理忽略。这类权限多半来自历史上的临时授权，可被用于提权，例如改写组策略或把账号加入特权组。
基本信息
| 审计对象 | 域根、组织单位、特权组、关键服务账户 |
|---|---|
| 核查重点 | 显式授权、继承中断、可写权限的组合 |
| 主要风险 | 普通用户可获得改配置或提权的路径 |
| 产出物 | 高危授权清单与削减加审批的收敛建议 |
典型使用场景
- 权限基线建立：为域内关键对象定义可接受的授权集合
- 提权路径排查：梳理可被普通账号利用的写权限组合
- 历史授权清理：识别多年前为排障留下的临时权限
- 服务账户核查：确认谁有权读取或修改服务账户属性
- 合并与迁移前评估：并购或迁移场景中权限体系差异需先摸清
审计要点
审计要点
1. 导出关键对象的访问控制列表 # 由域管理员协作执行，只读导出
2. 标注谁拥有写入、修改与完全控制类权限
3. 区分授予对象是普通用户、普通组还是特权组
4. 核查继承中断点与疑似孤儿的授权条目
5. 与业务确认授权意图，输出高危授权清单与收敛顺序权限类型与风险
| 权限类型 | 含义 | 风险判定 |
|---|---|---|
| 写入类权限 | 可修改对象属性 | 普通账号具备即为高风险 |
| 完全控制 | 可改写权限与属性 | 限制到极少数管理角色 |
| 扩展权限类 | 可执行复制或重置类操作 | 需逐个确认业务必要性 |
| 继承中断点 | 手动权限覆盖上层设置 | 常形成无人知晓的权限盲区 |
审计结论要与业务确认授权意图：报告建议以削减加审批的方式给出，而不是把历史授权一律判为缺陷。