| 对象 | 各类服务账户与托管服务账户 |
|---|---|
| 检查 | 权限范围、登录位置限制、口令轮换 |
| 整改 | 降权 + 日志化 + 轮换机制 |
检查清单
检查清单
账户用途与归属系统（有台账支撑）
所属特权组清单与必要性
是否限制登录到指定主机
口令轮换周期与监督人服务账户是域环境的高价值目标：权限过高的账户优先列入整改。
服务账户最小权限检查
服务账户（含托管服务账户）常有过高权限与口令长期不换的问题：逐账户核对用途、权限与口令轮换。
易错点
- 把账户权限当“业务需要”直接放过
- 轮换前未排查依赖任务导致服务中断
数据来源与参考
- Microsoft Learn（服务账户安全）
- CIS Benchmarks（AD 类）