| 加固项 | 特权访问隔离 |
|---|---|
| 适用平台 | AD（2012 R2 域功能级别+） |
| 风险等级 | 中 |
| 基线 | 特权账号限制来源主机 |
创建策略与容器
创建策略与容器
New-ADAuthenticationPolicy -Name 'Tier0-Policy' -UserAllowedToAuthenticateFrom 'O:DAG:DAD:(OA;;CR;...;<SID of PAWs group>)' -Enforce
New-ADAuthenticationPolicySilo -Name 'Tier0-Silo' -UserAuthenticationPolicy 'Tier0-Policy' -ServiceAuthenticationPolicy 'Tier0-Policy'
Add-ADAuthenticationPolicySiloMember -Identity 'Tier0-Silo' -Members 'admin1'SDDL 条件写错会把管理员锁在门外：先在测试域演练，并保留 DC 本地/DSRM 恢复路径。