ADIDNS 的权限面
集成 DNS 把区域数据存放在目录服务里，随之带来一个容易被忽略的问题：默认情况下域内认证用户可以创建记录。这意味着任何普通账号都可能新增名称解析条目，把某个主机名指向自己控制的主机，用于诱导流量或绕过名称校验。检查重点因此是记录的创建权限，而不只是记录内容。
基本信息
| 核查对象 | 区域安全设置、动态更新范围、可疑记录 |
|---|---|
| 风险 | 名称解析被重定向到非预期主机 |
| 常见问题 | 默认允许认证用户创建记录，且缺少审计 |
| 处置方向 | 收紧创建权限并启用记录变更审计 |
| 注意 | 删除记录前评估业务依赖，避免解析中断 |
典型使用场景
- 目录服务加固评估：确认区域创建权限是否符合最小化要求
- 解析异常排查：定位名称被指向非预期主机的记录
- 历史记录清理：识别指向已下线系统的陈旧记录
- 变更审计建设：为记录新增与修改建立告警规则
- 复测：确认权限收敛后普通账号无法再创建记录
检查要点
检查要点
1. 核查区域权限：哪些主体具备创建记录的权限
2. 检索可疑记录：异常子域、通配记录与指向测试环境的条目
3. 核对动态更新范围与陈旧记录清理策略
4. 检查记录变更是否纳入审计与告警
5. 输出：权限现状、可疑记录清单与收敛建议检查项与判定
| 检查项 | 正常情况 | 异常信号 |
|---|---|---|
| 创建权限 | 限定到管理与运维主体 | 认证用户普遍可创建 |
| 通配记录 | 按业务需要且受控 | 存在非预期的通配条目 |
| 动态更新范围 | 按需限定到特定区域 | 全域开放动态更新 |
| 变更审计 | 记录新增与修改事件 | 无审计，事后无法追溯 |
| 陈旧记录 | 定期清理 | 大量指向已下线系统 |
这个面与凭据和配置安全直接相关：建议把区域记录变更纳入长期监控，而不是只在评估时看一次。
删除记录前要评估业务依赖：名称解析中断会影响业务访问，清理应与变更流程一起安排。