PingCastle 定位
PingCastle 对目录服务做配置健康检查，把分散在账号策略、组关系、委派、会话与陈旧对象中的问题汇总成一份带评分的报告。它的长处在于产出管理层能读的素材，并能按周期对比两期报告的差异；短处是评分只是趋势指标，不是合规结论，规则明细才是整改依据。
基本信息
| 定位 | 目录服务配置健康检查 |
|---|---|
| 输出 | HTML 报告与结构化数据，含评分与规则明细 |
| 使用方式 | 只读检查，建议使用专门审计账号 |
| 权限影响 | 低权限账号会让大量检查项显示为无法读取 |
| 价值 | 治理趋势对比与管理层沟通素材 |
典型使用场景
- 全面体检：一次性梳理目录服务中的配置类问题高发区
- 治理跟踪：按季度运行同一版本，对比评分与规则命中变化
- 管理层汇报：把技术问题翻译成可理解的评分与风险描述
- 整改验证：修复后重跑，确认对应规则不再命中
- 问题定位起点：用报告中的规则项去指引后续人工验证方向
运行要点
运行要点
1. 在受控的 Windows 主机上运行，指定目标域环境
2. 使用具备足够读取权限的审计账号，避免大量项无法读取
3. 报告生成到受控目录，按项目与日期归档
4. 解读顺序：先看评分趋势，再逐条核对规则明细
5. 规则明细要与人工验证结论交叉，不直接引用为漏洞条目报告内容与用法
| 报告内容 | 含义 | 使用方式 |
|---|---|---|
| 综合评分 | 配置健康度的趋势指标 | 用于横向与纵向对比 |
| 规则明细 | 逐项问题与严重度 | 作为人工验证的线索清单 |
| 风险分类 | 按主题归类的命中项 | 用于安排整改批次 |
| 无法读取项 | 权限不足导致的空白 | 先解决权限再解读结果 |
评分是趋势指标不是合规结论：两期报告对比更能说明治理进展，单次分数高不代表没有问题。
低权限账号运行会让大量项目显示为无法读取：这类空白容易被误读为无问题，解读前先核对权限。