AD 域盘点盘什么
域环境盘点的对象是域与林结构、域控清单与角色、计算机账户、用户与托管服务账户、信任关系以及站点与子网定义。盘点是权限评估的前置条件：只有资产面准确，后续的权限路径与横向风险判断才有意义。域内信息可用管理员权限通过管理工具批量导出，比手工收集完整得多。
基本信息
| 适用平台 | Windows Server AD DS，管理工具为 RSAT / PowerShell 模块 |
|---|---|
| 盘点对象 | 域、OU、计算机账户、用户、组、信任、站点 |
| 数据来源 | 管理工具导出 + CMDB 台账比对 |
| 关注重点 | 长期未登录计算机账户与特权组成员 |
典型使用场景
- 域环境评估的第一步：建立准确的资产面
- 核查特权组成员与委派权限，识别权限集中点
- 清理陈旧计算机账户，降低噪音与影子资产风险
- 核对多域与信任关系，判断跨域访问路径
- 为口令策略与签名策略的覆盖范围提供依据
盘点命令示例（域内 PowerShell）
盘点命令示例（域内 PowerShell）
Get-ADDomain | Select-Object Name, DomainMode, Forest # 域名、功能级别与所属林
Get-ADDomainController -Filter * | Select-Object Name, Site, OperationMasterRoles # 域控清单与角色
Get-ADComputer -Filter * -Properties LastLogonTimeStamp, OperatingSystem | Select-Object Name, LastLogonTimeStamp, OperatingSystem # 计算机账户与系统
Get-ADGroupMember 'Domain Admins' | Select-Object Name, objectClass # 特权组成员（含嵌套组）盘点维度与判据
| 维度 | 关注点 | 异常信号 |
|---|---|---|
| 计算机账户 | 操作系统、最后登录时间、启用状态 | 长期未登录仍启用且可访问 |
| 用户账户 | 特权成员、服务账户、离职状态 | 离职账号未禁用或仍在特权组 |
| 信任关系 | 跨域与跨林信任方向 | 存在未登记的信任关系 |
| 站点与子网 | 站点覆盖与子网定义 | 子网未定义导致认证绕行 |
| 组策略 | 口令与安全基线覆盖率 | 关键基线仅部分 OU 生效 |
陈旧计算机账户既是噪音也是线索：它可能对应仍在运行的遗留系统。做法是标注处置建议并交由资产负责人确认，而不是直接删除。
导出域数据涉及全量账号信息，属于高敏感操作：导出文件要加密存放、限定访问范围，评估结束后按期销毁并记录。