| 分层 | Tier0 身份 / Tier1 服务器 / Tier2 终端 |
|---|---|
| 核查 | 管理账号是否跨层使用、登录路径限制 |
| 价值 | 限制高权限凭据暴露面 |
核查清单
核查清单
高权账号是否登录过终端与普通服务器（登录审计）
各层管理账号是否独立
域控登录来源限制与跳板安排
跨层工具与代理的例外清单分层落地是长期工程：先核查现状与例外，再规划迁移步骤。
分层管理模型核查
AD 分层管理（Tier 模型）：域控/身份层、服务器层、工作站层分别用独立管理账号与登录路径，核查实际执行情况。
易错点
- 把“有制度”当落地，未看登录审计证据
- 忽略运维工具链中留存的跨层凭据
数据来源与参考
- Microsoft Learn（特权访问分层模型）
- Microsoft 安全基线