认证策略筒仓是什么
认证策略定义账号允许从哪些主机发起认证，策略筒仓把它绑定到一组账号与资源上；配合 Enforce 模式，不合规来源的认证请求会被直接拒绝。典型用法是把特权账号限制为只能从专用管理主机登录，切断「拿到管理员口令就能从任意机器登录」这条路径，是特权访问隔离的核心手段。
基本信息
| 加固项 | 特权访问隔离 |
|---|---|
| 适用平台 | AD（域功能级别 2012 R2 及以上） |
| 风险等级 | 中 |
| 基线 | 特权账号限制来源主机并处于强制模式 |
| 两种模式 | Audit 只记录，Enforce 真正拦截 |
典型使用场景
- Tier0 特权账号隔离：域管只能从指定管理主机认证
- 跳板与特权访问工作站约束：把来源限制到专用主机组
- 灰度上线：先用 Audit 模式观察一段时间再切 Enforce
- 事件后加固：对已被滥用的账号立刻收紧认证来源
- 与智能卡、凭据保护配合使用，形成多层约束
创建策略与容器
创建策略与容器
# 认证策略：用 SDDL 描述允许发起认证的来源主机
New-ADAuthenticationPolicy -Name 'Tier0-Policy' -UserAllowedToAuthenticateFrom 'O:DAG:DAD:(OA;;CR;...;<管理主机组SID>)' -Enforce
# 策略筒仓：把策略绑定成一组账号与资源共用的边界
New-ADAuthenticationPolicySilo -Name 'Tier0-Silo' -UserAuthenticationPolicy 'Tier0-Policy' -ServiceAuthenticationPolicy 'Tier0-Policy'
# 把特权账号加入筒仓，此时策略才真正约束该账号
Add-ADAuthenticationPolicySiloMember -Identity 'Tier0-Silo' -Members 'admin1'对象与模式
| 对象 | 作用 | 注意点 |
|---|---|---|
| 认证策略 | 定义允许认证的来源条件 | SDDL 写错会直接锁死账号 |
| 策略筒仓 | 把策略应用到一组账号与资源 | 成员不加入则策略不生效 |
| Audit 模式 | 只记录不拦截 | 适合上线前观察命中范围 |
| Enforce 模式 | 不合规来源认证失败 | 切换前必须完成测试 |
SDDL 条件写错会把管理员锁在门外：先在测试域演练，并确认域控本地登录与 DSRM 恢复路径可用。
没有干净管理主机（专用跳板或特权访问工作站）时，筒仓的效果会明显打折，通常要与主机加固同步推进。