保护Active Directory中的域管理员组

ゝ一世哀愁。 2023-10-07 08:14 21阅读 0赞

**附录****F****：保护****Active Directory****中的域管理员组**

*  2016年8月31日
 *  8分钟阅读

适用于：Windows Server 2008，Windows Server 2008 R2，Windows Server 2012 R2，Windows Server 2012

**附录****F****：保护****Active Directory****中的域管理员组**

与企业管理员（EA）组一样，仅在构建或灾难恢复方案中才需要域管理员（DA）组的成员身份。如果域的内置管理员帐户已按照[附录D：在Active Directory中保护内置管理员帐户中的][D_Active Directory]说明进行了保护，则DA组中不应有日常用户帐户，但该域的内置管理员帐户除外。

默认情况下，域管理员是各自域中所有成员服务器和工作站上本地Administrators组的成员。出于支持性和灾难恢复的目的，不应修改此默认嵌套。如果已从成员服务器上的本地Administrators组中删除Domain Admins，则应将该组添加到域中每个成员服务器和工作站上的Administrators组中。每个域的Domain Admins组均应按照以下分步说明中的说明进行保护。

对于目录林中每个域中的Domain Admins组：

1.  从域中删除所有成员，但该域的内置Administrator帐户可能会例外，前提是已按照[附录D：在Active Directory中保护内置Administrator帐户中的说明对其进行了保护][D_Active Directory]。
2.  在链接到每个域中包含成员服务器和工作站的OU的GPO中，应将DA组添加到“ **计算机配置****\\****策略****\\ Windows****设置****\\****安全设置****\\****本地设置****\\****用户权限分配****”****中**的以下用户权限中：
    
     *  拒绝从网络访问此计算机
     *  拒绝作为批处理作业登录
     *  拒绝作为服务登录
     *  拒绝本地登录
     *  拒绝通过远程桌面服务用户权限登录
3.  如果对Domain Admins组的属性或成员身份进行了任何修改，则应将审核配置为发送警报。

**从****Domain Admins****组中删除所有成员的分步说明**

1.  在**服务器管理器中**，单击“ **工具****”**，然后单击“ **Active Directory****用户和计算机****”**。
2.  要从DA组中删除所有成员，请执行以下步骤：
    
    1.  双击“ **域管理员****”**组，然后单击“ **成员****”**选项卡。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70][]

1.  1.  选择该组的成员，单击“ **删除****”**，单击“ **是****”**，然后单击“ **确定****”**。
2.  重复步骤2，直到已删除DA组的所有成员。

**在****Active Directory****中保护域管理员的分步说明**

1.  在**服务器管理器中**，单击“ **工具****”**，然后单击“ **组策略管理****”**。
2.  在控制台树中，依次展开“ <Forest> \\ Domains \\ <Domain>”和“ **组策略对象****”**（其中<Forest>是目录林的名称，而<Domain>是要在其中设置组策略的域的名称） ）。
3.  在控制台树中，右键单击“ **组策略对象****”**，然后单击“ **新建****”**。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 1][]

1.  在“ **新建****GPO”**对话框中，键入<GPO名称>，然后单击“ **确定****”**（其中GPO名称是该GPO的名称）。

![20200115202514872.png][]

1.  在详细信息窗格中，右键单击“ <GPO名称>”，然后单击“ **编辑****”**。
2.  导航到“ **计算机配置****\\****策略****\\ Windows****设置****\\****安全设置****\\****本地策略****”**，然后单击“ **用户权限分配****”**。

![2020011520250717.png][]

1.  通过执行以下操作，配置用户权限以防止Domain Admins组的成员通过网络访问成员服务器和工作站：
    
    1.  双击**“****拒绝从网络访问此计算机****”****，**然后选择“ **定义这些策略设置****”**。
    2.  单击**添加用户或组**，然后单击**浏览**。
    3.  键入**域管理员**，单击**检查名称**，然后单击**确定**。

![20200115202508911.png][]

1.  1.  单击**确定**，并**确定**一次。
2.  通过执行以下操作，配置用户权限以防止DA组的成员作为批处理作业登录：
    
    1.  双击**“****拒绝作为批处理作业登录****”****，**然后选择“ **定义这些策略设置****”**。
    2.  单击**添加用户或组**，然后单击**浏览**。
    3.  键入**域管理员**，单击**检查名称**，然后单击**确定**。

![20200115202514890.png][]

1.  1.  单击**确定**，并**确定**一次。
2.  通过执行以下操作，配置用户权限以防止DA组的成员作为服务登录：
    
    1.  双击**“****拒绝作为服务登录****”****，**然后选择“ **定义这些策略设置****”**。
    2.  单击**添加用户或组**，然后单击**浏览**。
    3.  键入**域管理员**，单击**检查名称**，然后单击**确定**。

![20200115202514990.png][]

1.  1.  单击**确定**，并**确定**一次。
2.  通过执行以下操作，配置用户权限以防止Domain Admins组的成员本地登录到成员服务器和工作站：
    
    1.  双击**“****拒绝本地登录****”****，**然后选择“ **定义这些策略设置****”**。
    2.  单击**添加用户或组**，然后单击**浏览**。
    3.  键入**域管理员**，单击**检查名称**，然后单击**确定**。

![20200115202514987.png][]

1.  1.  单击**确定**，并**确定**一次。
2.  通过执行以下操作，配置用户权限以防止Domain Admins组的成员通过远程桌面服务访问成员服务器和工作站：
    
    1.  双击**“****拒绝通过远程桌面服务登录****”****，**然后选择“ **定义这些策略设置****”**。
    2.  单击**添加用户或组**，然后单击**浏览**。
    3.  键入**域管理员**，单击**检查名称**，然后单击**确定**。

![20200115202514989.png][]

1.  1.  单击**确定**，并**确定**一次。
2.  要退出**组策略管理编辑器**，请单击“ **文件****”**，然后单击“ **退出****”**。
3.  在组策略管理中，通过执行以下操作将GPO链接到成员服务器和工作站OU：
    
    1.  导航到<Forest> \\ Domains \\ <Domain>（其中<Forest>是目录林的名称，而<Domain>是要在其中设置组策略的域的名称）。
    2.  右键单击将应用GPO的OU，然后单击**链接现有****GPO**。

![20200115202514992.png][]

1.  1.  选择刚刚创建的GPO，然后单击“ **确定****”**。

![20200115202507288.png][]

1.  1.  创建指向包含工作站的所有其他OU的链接。
    2.  创建指向包含成员服务器的所有其他OU的链接。

**重要**

如果使用跳转服务器来管理域控制器和Active Directory，请确保跳转服务器位于此GPO未链接到的OU中。

**验证步骤**

**验证****“****拒绝从网络访问此计算机****” GPO****设置**

从不受GPO更改影响的任何成员服务器或工作站（例如“跳转服务器”），尝试通过受GPO更改影响的网络访问成员服务器或工作站。要验证GPO设置，请尝试使用**NET USE**命令映射系统驱动器。

1.  使用属于Domain Admins组成员的帐户在本地登录。
2.  用鼠标将指针移到屏幕的右上角或右下角。当出现**超级**按钮栏时，单击**搜索**。
3.  在“ **搜索****”**框中，键入**命令提示符**，右键单击“ **命令提示符****”**，然后单击**“****以管理员**身份**运行****”**以打开提升**权限**的命令提示符。
4.  当提示您批准立面时，点击**是**。

![2020011520251516.png][]

1.  在“ **命令提示符****”**窗口中，键入**net use \\\\ <****服务器名称****> \\ c $**，其中<服务器名称>是您尝试通过网络访问的成员服务器或工作站的名称。
2.  以下屏幕快照显示了应该出现的错误消息。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 2][]

**验证****“****拒绝以批处理身份登录****” GPO****设置**

从受GPO更改影响的任何成员服务器或工作站，本地登录。

**创建一个批处理文件**

1.  用鼠标将指针移到屏幕的右上角或右下角。当出现**超级**按钮栏时，单击**搜索**。
2.  在**搜索**框中，键入**记事本**，然后单击**记事本**。
3.  在**记事本**中，键入**DIR C****：**。
4.  单击**文件**，然后单击**另存为**。
5.  在“ **文件**名”字段中，键入**<Filename> .bat**（其中<Filename>是新批处理文件的名称）。

**安排任务**

1.  用鼠标将指针移到屏幕的右上角或右下角。当出现**超级**按钮栏时，单击**搜索**。
2.  在“ **搜索****”**框中，键入“ **任务计划程序****”**，然后单击“ **任务计划程序****”**。

**注意**

在运行Windows 8的计算机上的“ **搜索****”**框中，键入“ **计划任务****”**，然后单击“ **计划任务****”**。

1.  在“ **任务计划程序****”**菜单栏中，单击**“****操作****”**，然后单击“ **创建任务****”**。
2.  在“ **创建任务****”**对话框中，键入**<****任务名称****>**（其中<任务名称>是新任务的名称）。
3.  点击**操作**标签，然后点击**新建**。
4.  在“ **操作****”**字段中，选择“ **启动程序****”**。
5.  在“ **程序****/****脚本****”****下**，单击“ **浏览****”**，找到并选择在“ **创建批处理文件****”**部分中**创建的批处理文件**，然后单击“ **打开****”**。
6.  单击**确定**。
7.  单击**常规**选项卡。
8.  在**安全**选项下，点击**更改用户或组**。
9.  输入属于Domain Admins组成员的帐户的名称，单击**Check Names**，然后单击**OK**。
10. 选择**运行（无论用户是否登录），**然后选择**不存储密码**。该任务将只能访问本地计算机资源。
11. 单击**确定**。
12. 应出现一个对话框，要求用户帐户凭据来运行任务。
13. 输入凭据后，单击**确定**。
14. 将出现一个类似于以下对话框。

![20200115202515151.png][]

**验证****“****拒绝作为服务登录****” GPO****设置**

1.  从受GPO更改影响的任何成员服务器或工作站，本地登录。
2.  用鼠标将指针移到屏幕的右上角或右下角。当出现**超级**按钮栏时，单击**搜索**。
3.  在“ **搜索****”**框中，键入**services**，然后单击**Services**。
4.  找到并双击“ **后台打印程序****”**。
5.  单击**登录**选项卡。
6.  在“ **以以下身份登录****”**下，选择“ **此帐户****”**选项。
7.  单击**浏览**，键入Domain Admins组成员的帐户**名称**，单击**检查名称**，然后单击**确定**。
8.  在**密码**和**确认密码下**，输入所选帐户的密码，然后点击**确定**。
9.  再单击**确定**三次。
10. 右键单击“ **后台打印程序****”**，然后单击“ **重新启动****”**。
11. 重新启动服务后，将出现类似于以下对话框。

![20200115202515153.png][]

**将更改还原到打印机后台处理程序服务**

**验证****“****拒绝本地登录****” GPO****设置**

1.  在受GPO更改影响的任何成员服务器或工作站上，尝试使用作为Domain Admins组成员的帐户本地登录。将出现一个类似于以下对话框。

![20200115202507451.png][]

**验证****“****拒绝通过远程桌面服务登录****” GPO****设置**

1.  用鼠标将指针移到屏幕的右上角或右下角。当出现**超级**按钮栏时，单击**搜索**。
2.  在“ **搜索****”**框中，键入“ **远程桌面连接****”**，然后单击“ **远程桌面连接****”**。
3.  在“ **计算机****”**字段中，输入要连接的计算机的名称，然后单击“ **连接****”**。（您也可以键入IP地址而不是计算机名称。）
4.  出现提示时，请为Domain Admins组成员的帐户提供凭据。
5.  将出现一个类似于以下对话框。

![20200115202515161.png][]

[D_Active Directory]: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/dn535492%28v%3Dws.11%29
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200115202507141.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200115202514866.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[20200115202514872.png]: https://img-blog.csdnimg.cn/20200115202514872.png
[2020011520250717.png]: https://img-blog.csdnimg.cn/2020011520250717.png
[20200115202508911.png]: https://img-blog.csdnimg.cn/20200115202508911.png
[20200115202514890.png]: https://img-blog.csdnimg.cn/20200115202514890.png
[20200115202514990.png]: https://img-blog.csdnimg.cn/20200115202514990.png
[20200115202514987.png]: https://img-blog.csdnimg.cn/20200115202514987.png
[20200115202514989.png]: https://img-blog.csdnimg.cn/20200115202514989.png
[20200115202514992.png]: https://img-blog.csdnimg.cn/20200115202514992.png
[20200115202507288.png]: https://img-blog.csdnimg.cn/20200115202507288.png
[2020011520251516.png]: https://img-blog.csdnimg.cn/2020011520251516.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/2020011520251517.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[20200115202515151.png]: https://img-blog.csdnimg.cn/20200115202515151.png
[20200115202515153.png]: https://img-blog.csdnimg.cn/20200115202515153.png
[20200115202507451.png]: https://img-blog.csdnimg.cn/20200115202507451.png
[20200115202515161.png]: https://img-blog.csdnimg.cn/20200115202515161.png