AD管理分层模型（Tiering Architecture）核心是切断横向移动、隔离特权账户，分为第0层（控制平面）、第1层（管理平面）、第2层（用户平面）；通过OU级GPO强制登录隔离、分层组授权模型及专用账户设计实现最小权限与持续加固。
配置ad环境下的管理性分层模型（tiering architecture），核心是切断横向移动路径、隔离特权账户使用场景，并通过技术手段强制执行登录边界。这不是单纯建几个组或改几条策略，而是重构管理员行为与系统访问逻辑的关系。
明确三层角色与资源归属
第0层（控制平面）：仅包含域控制器、AD证书服务、专用PAM服务器等；所有能直接修改林/域结构或提升域权限的账户必须属于此层，且不得登录任何第1层或第2层设备。例如：域管理员账户不能远程桌面到文件服务器，也不能在普通办公机上登录。
第1层（管理平面）：运行业务关键应用的服务器，如Exchange、SQL Server、SharePoint、自研中间件等；该层管理员只能管理本层资源，不能加入Domain Admins或Enterprise Admins组，应使用独立的服务管理账户和工作站。
第2层（用户平面）：所有标准用户工作站、笔记本、VDI终端；该层禁止安装管理工具（如RSAT、ADUC、PowerShell ISE），也不允许高权限账户在此执行任务。
用组策略强制登录隔离
在每个层级的OU下链接独立GPO，通过“用户权限分配”和“本地策略”实现硬性阻断：
- 对第0层服务器：配置“拒绝从网络访问这台计算机”，仅允许第0层管理账户；同时启用“拒绝通过远程桌面服务登录”，防止误用RDP
- 对第1层服务器：在“拒绝从网络访问这台计算机”中添加第0层和第2层账户组；在“允许本地登录”中只放第1层管理员组
- 对第2层工作站：在“拒绝本地登录”中加入所有第0层和第1层安全组；禁用“作为服务登录”和“作为批处理作业登录”权限
账户与组设计遵循最小权限原则
避免直接给用户加进高权限组，采用分层组授权模型：
- 用户 → 全局组（按部门/职能，如FIN_GlobalAdmins）→ 域本地组（按资源，如DC_Server_Admins）→ 资源ACL
- 第0层账户必须启用强密码+多因素认证（MFA），且禁用交互式登录能力（如禁用“交互式登录”用户权限）
- 为每类管理任务创建专用账户：例如，一个仅用于DC重启的账户、一个仅用于证书续订的账户，不复用、不共享
验证与持续加固
部署后必须验证隔离是否生效：
- 用klist purge && runas /user:tier0admin cmd模拟跨层登录，确认被拒绝
- 检查事件日志ID 4625（登录失败）中是否有来自错误层级的尝试
- 定期运行PowerShell脚本扫描：哪些账户同时存在于Domain Admins和本地Administrators组？哪些服务器的“允许登录”列表包含第2层组？
不复杂但容易忽略
