AD分层模型核心是切断横向移动、隔离特权账户，分为Tier 0（控制平面）、Tier 1（管理平面）、Tier 2（用户平面）三层，通过OU级GPO强制登录隔离、分层组授权及专用账户实现最小权限与持续加固。
配置服务器权限分层管理模型，核心是把“谁能在哪、用什么身份、做哪些事”明确切分并技术固化，不是靠人工记忆或口头约定。关键在于角色隔离、资源归类、策略强制和持续验证。
明确三层权限边界与资源归属
按职责与风险等级划分层级，避免功能混杂：
- 控制层（Tier 0）：只含域控制器、CA服务器、PAM系统等基础架构组件；所有能修改林/域结构的账户（如Enterprise Admins、Domain Admins）必须专属此层，禁止登录任何其他层级设备
- 管理层（Tier 1）：承载业务核心服务，如Exchange、SQL Server、自研中间件；管理员使用独立服务账户和专用管理工作站，不得加入高权限域组，仅能访问本层资源
- 用户层（Tier 2）：所有办公终端、VDI、普通服务器；禁用RSAT、PowerShell ISE等管理工具，不允许特权账户在此交互式登录
用组策略实现登录行为硬隔离
在对应OU下链接专用GPO，通过本地安全策略阻断跨层访问路径：
- 对Tier 0服务器：启用“拒绝从网络访问这台计算机”，仅放行Tier 0管理组；同时启用“拒绝通过远程桌面服务登录”
- 对Tier 1服务器：“拒绝从网络访问”中排除Tier 0和Tier 2组；“允许本地登录”仅包含Tier 1管理员组
- 对Tier 2工作站：“拒绝本地登录”加入Tier 0和Tier 1所有安全组；禁用“作为服务登录”“作为批处理作业登录”权限
构建分层组授权与专用账户体系
放弃直接给用户加Domain Admins的做法，改用嵌套组+最小化账户设计：
- 采用“用户 → 全局组（按职能）→ 域本地组（按资源）→ ACL”的四级授权链，确保权限可追溯、可批量调整
- Tier 0账户必须启用MFA，且禁用“交互式登录”权限；不设密码重用，不允许多因素绕过
- 为高频操作创建专用账户：例如仅用于DC重启、仅用于证书续订、仅用于DNS记录更新，每个账户权限严格限定，不复用、不共享
验证隔离效果与常态化加固
部署后必须实测，不能只看策略是否启用：
- 用runas /user:tier0admin cmd尝试登录Tier 1服务器，确认被拒绝；执行klist purge后重试，排除票据残留干扰
- 定期检查Windows安全日志ID 4625，筛选来源IP与目标主机层级不匹配的失败登录，识别潜在绕过行为
- 每季度执行一次权限审计：导出所有Tier 0/Tier 1账户的登录历史、所用设备、执行命令，确认无越权痕迹
