Active Directory 基礎安全架構與疑難排解實務

AD 安全模型核心架構

樹系與網域：安全邊界定義

• 樹系：AD 的最頂層安全邊界，包含一或多個網域樹，共享架構、設定、全域類別目錄分割區
• 網域：管理與安全策略邊界（密碼策略、帳號鎖定、Kerberos 票證授權），各網域擁有獨立安全原則
• 可傳遞雙向信任：樹系內網域預設建立雙向可傳遞信任，認證可跨網域流動

關鍵管理群組（僅存在於樹系根網域）

災難備份與還原策略

系統狀態備份包含項目

• Active Directory 資料庫 (NTDS.dit)
• SYSVOL 目錄 (群組原則、登入腳本)
• 登錄檔、啟動檔案、COM+ 類別註冊資料庫
• 憑證服務資料庫 (若為 CA 伺服器)

兩種還原模式差異

關鍵限制

• 備份檔不可超過 60 天 (墓碑存留時間)，否則還原後會重現已刪除物件
• 樹系根網域毀損需從備份還原，重新安裝會清空整個樹系
• Syskey 加密金鑰建議儲存於軟碟/USB 實體媒體，離線保管

混合模式 vs 原生模式

• 混合模式：預設，支援 NT 4.0 BDC 共存，功能受限 (無巢狀群組、通用群組、SID 歷史)
• 原生模式：所有 DC 升級為 Win2k 後可單向轉換，啟用完整 AD 功能集，**不可逆轉**

架構管理與全域類別目錄

• 架構主機：樹系單一主機，掌控所有架構修改，防止衝突
• 全域類別目錄 (GC)：部分屬性複本 (PAS)，支援跨網域查詢、通用群組展開、Exchange 定址清單
• 每站台至少部署一台 GC，優化登入與查詢延遲

常見安全疑難排解

問題：跨站台複寫延遲導致群組原則不一致

成因：多主機複寫非同步特性，遠端站台複寫間隔預設 180 分鐘。
對策：縮短站台連結排程、提升連結成本優先級、集中管理關鍵 GPO 於樞紐站台。

問題：LDAP 流量明文傳輸洩露敏感資訊

風險：LDAP v3 預設不加密，網路竊聽可獲取查詢內容。
對策：強制 LDAPS (TCP 636) 或 StartTLS、部署 IPsec、限制匿名繫結。

問題：DNS 動態更新被惡意竄改 SRV 記錄

風險：非安全動態更新允許任意電腦註冊記錄。
對策：區域設為「僅安全動態更新」、啟用 DNSSEC、限制 DHCP 名稱保護。

最佳實務總結

1. 最小權限原則：委派 OU 級管理權，避免過度授予 Domain Admin
2. 實施分層管理模型：Tier 0 (樹系/網域控制器) → Tier 1 (伺服器/應用) → Tier 2 (工作站)
3. 啟用稽核原則：帳號管理、目錄服務存取、登入事件，配合 SIEM 持續監控
4. 定期執行 dcdiag、repadmin 健康檢查，建立基準效能指標
5. 規劃備份/還原演練，驗證 RTO/RPO 符合業務需求

• 上一篇文章： Delphi 開發實戰：透過 ADSI 存取與管理 Active Directory
• 下一篇文章： Active Directory 部署四大經典拓撲完整實作指南

Windows Server 教學

強化 Windows Server 2003 安全性的四大關鍵設定

善用群組原則軟體部署：讓 Windows Server 2003 成為網管「減負」神器

Windows 群組原則進階技巧：防止「自鎖」與差異化權限管控實戰