分层管理模型要解决什么
分层管理把环境按控制强度分成若干层：身份层包含域控与身份系统，服务器层是业务与基础设施服务器，终端层是办公电脑。核心约束是高权账号只在对应层内登录，不得在低层终端上使用。这样做的目的是切断凭据窃取链条：终端一旦被控，也拿不到通往身份层的高权限凭据。
基本信息
| 分层划分 | 身份层、服务器层、终端层，各层独立管理账号 |
|---|---|
| 核心约束 | 高权账号不得登录低层设备 |
| 核查依据 | 登录审计记录，而非制度文档 |
| 配套措施 | 域控登录来源限制、跳板机、特权访问工作站 |
| 例外处理 | 例外要有清单、有效期与审批记录 |
典型使用场景
- 现状核查：确认设计是否落地，而不是停留在制度层面
- 凭据暴露面评估：找出高权账号在低层设备上留下凭据的位置
- 整改规划：把违规登录路径拆成可分批处理的迁移任务
- 例外复核：核对例外清单是否仍然必要与在有效期内
- 长期监控：为登录来源限制与告警规则提供基线
核查清单
核查清单
高权账号是否在终端与普通服务器上留下登录记录
各层是否使用彼此独立的管理账号，有无共用
域控的登录来源是否限制在受控网段或跳板机
服务账号与运维工具链中是否残留跨层凭据
例外清单是否带有审批人、有效期与到期复核安排分层与账号对照
| 层级 | 包含资产 | 管理账号要求 |
|---|---|---|
| 身份层 | 域控、身份与证书系统 | 专用高权账号，仅限受控入口登录 |
| 服务器层 | 业务与基础设施服务器 | 服务器管理账号，与终端账号分离 |
| 终端层 | 办公电脑与移动设备 | 日常账号，不得持有高权凭据 |
| 运维工具链 | 跳板机、备份与监控 | 按层隔离，避免跨层凭据复用 |
分层落地是长期工程：先核查现状与例外，把违规路径排出优先级，再按批次迁移，一次性重构往往推不动。
制度存在不等于落地：判定要看登录审计证据，仅凭文档口径会把尚未执行的规划当成已完成。