受限管理模式（Restricted Admin）是AD中防止RDP凭据泄露的安全机制，禁用凭据缓存与NTLM中继，仅用Kerberos票据认证；需Win8/2012+系统、域功能级≥2012、正常DNS及时间同步；通过GPO启用“允许使用受限制的管理员模式”，客户端须显式触发（如mstsc /restrictedadmin），生效后whoami /groups可见特定SID标识。

ad环境下的受限管理模式（restricted admin）是一种专为远程管理设计的安全机制，用于防止凭据在远程会话中以明文形式传递或被恶意提取。它通过禁用远程桌面协议（rdp）会话中的凭据缓存和ntlm中继风险，显著降低“传递哈希”（pass-the-hash）攻击面。启用后，管理员登录目标服务器时不再将本地凭据注入远程会话，而是仅使用已建立的kerberos票据进行身份验证。

启用Restricted Admin的前提条件

该功能依赖于域环境的完整性和安全基线，需确保以下几点已就绪：

• 所有参与管理的客户端与目标服务器均运行Windows 8 / Windows Server 2012或更高版本
• 域功能级别至少为Windows Server 2012（推荐2016及以上）
• 目标服务器已加入域，且DNS解析正常，能成功联系域控和KDC
• 客户端与服务器之间时间偏差不超过5分钟（Kerberos严格要求）
• 目标服务器未禁用Kerberos认证（如未强制仅用NTLM）

配置方法：组策略集中启用

最规范、可审计的方式是通过域组策略统一部署，避免逐台手动设置：

• 打开“组策略管理控制台”（GPMC），编辑面向目标服务器OU的GPO
• 导航至：计算机配置 → 管理模板 → 系统 → 凭据分配
• 启用策略项：“允许使用受限制的管理员模式”
• （可选但推荐）同步配置：“凭据保护：阻止NTLM网络身份验证”，进一步收紧协议栈
• 执行gpupdate /force并重启目标服务器使策略生效

客户端连接时的正确使用方式

启用策略只是基础，实际使用中必须显式触发Restricted Admin模式，否则仍按默认行为运行：

• 命令行方式（推荐）：mstsc /v:server01 /restrictedadmin
• PowerShell方式：Enter-PSSession -ComputerName server01 -Authentication Negotiate -UseSSL（配合Kerberos约束委派更安全）
• 图形界面：在远程桌面连接客户端中勾选“使用受限管理模式”复选框（位于“显示选项→高级”页签）
• 注意：一旦启用Restricted Admin，无法在会话中使用“运行as different user”、映射网络驱动器或启动需要本地凭据的服务（如某些备份代理）

验证与排错要点

启用后需确认是否真正生效，常见问题有误配、缓存残留或策略未刷新：

• 在目标服务器上运行whoami /groups，若输出中含S-1-15-3-1024-1065365936-1281604715-3971552884-1801876298-1957994171-1311977993-1520154258-1804764598（即“Mandatory Label\High Mandatory Level”+“Restricted Admin Mode”标识），表示已激活
• 检查事件查看器 → Windows日志 → 安全，筛选ID为4624的登录事件，查看“登录进程”字段是否为Advapi而非NtLmSsp
• 若连接失败，先确认客户端是否为域成员；非域机器即使加参数也无法使用Restricted Admin（Kerberos票据不可用）
• 禁用本地管理员账户的密码缓存（注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa下DisableRestrictedAdmin=0）不是必须操作，组策略已覆盖