AD中配置DAC需先启用Kerberos Armoring，再定义用户/资源声明类型、配置资源属性与自动分类规则，最后创建中央访问规则与策略并应用到文件夹，实现基于属性的动态权限控制。
要在ad环境中配置动态访问控制（dac），核心是构建基于用户属性、资源分类和中心策略的权限模型，而不是仅依赖传统ntfs或共享权限。它不替代原有权限体系，而是叠加一层可集中管理、条件驱动的访问逻辑。
前提准备：启用Kerberos Armoring与基础架构
DAC依赖增强型Kerberos认证，必须先启用Kerberos Armoring（也称Flexible Authentication Secure Tunneling, FAST）：
- 打开“组策略管理”，编辑Default Domain Controllers Policy
- 导航至：Computer Configuration → Policies → Administrative Templates → System → Kerberos
- 启用“Configure Kerberos Armoring”，设为“Enabled”，模式选“Require”
- 强制刷新域控制器策略：
gpupdate /force
定义声明类型（Claim Types）
声明是DAC的“数据源”，代表AD中可被引用的用户或设备属性（如Department、Title、Country）：
- 在域控制器上打开Active Directory Administrative Center
- 左侧导航到Dynamic Access Control → Claim Types
- 右键→New → Claim Type，选择属性（例如Department）并勾选“User”
- 点击Suggested Values，添加业务部门值（如“Marketing”“Finance”“HR”），每个值需同时填Value和DisplayName
- 重复操作，为其他常用属性（如Title、CostCenter、EmployeeType）创建对应声明
配置资源属性与分类规则
让文件具备“可识别的标签”，才能被DAC策略匹配：
- 在ADAC中进入Resource Properties，新建属性（如“ConfidentialLevel”）
- 为该属性定义值集（如“Public”“Internal”“Confidential”“TopSecret”）
- 在文件服务器上安装File Server Resource Manager（FSRM）
- 使用FSRM的File Classification Infrastructure（FCI）设置自动分类规则，例如： – 文件路径含“\Finance\Reports\” → 设置ConfidentialLevel = “Confidential” – 扩展名为“.xlsx”且含“Salary” → 设置ConfidentialLevel = “TopSecret”
创建中央访问规则与策略
这是DAC权限逻辑的核心，由“条件+权限”组成，最终打包成可部署的策略：
- 在ADAC的Central Access Rules中新建规则，例如：
Rule Name: “Read Internal if Same Dept”
Target Resources: ConfidentialLevel == “Internal”
Conditions: User.Department == Resource.Department
Permissions: Read, Execute - 再建一条更严格规则：
Rule Name: “Modify All if Dept=Marketing & Title=Executive”
Target Resources: Department == “Marketing”
Conditions: User.Department == “Marketing” AND User.Title == “Executive”
Permissions: Modify, Delete, Change Permissions - 将规则加入Central Access Policy（如“Marketing-Data-Policy”），然后通过GPO将其部署到目标文件服务器
应用与验证
DAC策略需显式应用到文件夹，且用户访问时需满足三层权限（共享 + NTFS + 中央访问策略）：
- 在文件服务器上，右键目标文件夹→Properties → Security → Advanced → Central Access Policy
- 勾选已发布的策略（如“Marketing-Data-Policy”），点击OK
- 测试时建议使用不同属性的测试账户（如Department=Marketing & Title=Executive），观察是否能按预期读/写/拒绝
- 启用DFS Replication或File Server Auditing可追踪DAC决策日志（事件ID 4818等）
整个过程不复杂但容易忽略Kerberos Armoring和资源分类这两步，一旦基础设施就位，后续策略调整可完全在ADAC中完成，无需登录每台文件服务器。
