凭据委托的风险
凭据委托指把登录凭据交给中间系统，由它代替用户去访问后端资源。默认允许委派保存的凭据时，用户在远程桌面或远程管理环节输入的凭据可能被中间机留存并复用，这也是横向移动的常见一步。加固方向是关掉不必要的委托，并在远程桌面场景改用受限管理员模式或凭据保护，让凭据不落到目标机上。
基本信息
| 加固项 | 凭据保护 |
|---|---|
| 适用平台 | Windows（域内与域外均可配置） |
| 关键设置 | 允许委派保存的凭据、允许委派默认凭据均设为禁用 |
| RDP 增强 | mstsc /restrictedAdmin 与 /remoteGuard |
| 相关注册表 | Lsa 下的 DisableRestrictedAdmin、DisableRestrictedAdminOutboundCreds |
| 风险等级 | 中 |
典型使用场景
- 跳板机与运维终端：防止凭据在中间环节留存并被复用
- 域内远程桌面：启用凭据保护，让凭据不落到被控主机
- 合规核查：确认没有开启不必要的凭据委托
- 事件复盘：定位凭据在被控主机上被转存的具体路径
- 新终端交付：把凭据保护的连接方式写进运维手册
核查与连接方式
核查与连接方式
# 核查受限管理相关的开关
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' | Select-Object DisableRestrictedAdmin, DisableRestrictedAdminOutboundCreds
# GPO 路径：计算机配置 → 管理模板 → 系统 → 凭据分配
# '允许委派保存的凭据' = 已禁用
# '允许委派默认凭据' = 已禁用
# RDP 客户端连接方式
# mstsc /restrictedAdmin 凭据不发送到目标机
# mstsc /remoteGuard 凭据留在客户端，由客户端代理认证连接模式与凭据落点
| 模式 | 凭据落点 | 适用场景 |
|---|---|---|
| 普通远程桌面 | 凭据可能留在目标机 | 一般不推荐用于运维场景 |
| 受限管理员模式 | 凭据不发送到目标机 | 目标机无需再向其他系统认证时 |
| 凭据保护模式 | 凭据留在客户端并由其代理认证 | 域内运维场景推荐 |
| 禁用凭据委托 | 阻止中间系统留存凭据 | 所有环境的基础项，应统一配置 |
受限管理员模式下目标机无法再用当前凭据访问其他网络资源，需要跳连多台机器时改用凭据保护模式。
较老版本的系统所带 mstsc 不支持凭据保护参数，域内终端需要先升级系统版本才能用上。
禁用凭据委托会影响依赖单点登录的自动化与老系统，先梳理依赖关系再推策略。