Windows AD 实训：OU 管理权限委派

1.1 VM 与计算机位置#

以下运行状态与 IP 本次通过 VMware vmrun／VMware Tools 读取，计算机对象位置通过 CORE01 LDAP 查询：

CORE02 的计算机对象仍存在，但不在本次 VMware 运行清单中。存在 AD 对象不等于设备开机，本任务所有管理端查询与命令优先指定 CORE01。

1.2 当前存在的 OU#

1
qy.net
2
├─ Domain Controllers
3
├─ Organization
4
│  ├─ Admin
5
│  │  ├─ User
6
│  │  └─ Computer
7
│  ├─ Development
8
│  │  ├─ User          ← 本次查询为空，本实验不使用
9
│  │  └─ Computer      ← 本次查询为空，不使用
10
│  ├─ Operation
11
│  │  └─ Computer
12
│  ├─ Group            ← 保留原组，本实验不修改
13
│  └─ RecoveryLab      ← 已有 recovery_test，不改动
14
├─ SharePermissions
15
│  ├─ User             ← 已有 lab_share_ro、rw、no，不改动
16
│  └─ Group            ← 已有共享授权组与映射组，不改动
17
└─ Microsoft Exchange Security Groups

Organization 根 OU 有既有 Software-GPO 链接，Admin 有 Policy-User，SharePermissions/User 有上一份映射 GPO 的链接。本次不改这些链接，不移动 USER01／FS01，不修改共享 ACL。

CN=Users、CN=Computers 是容器，不是上图中的 OU。本次不需要在这些默认容器里建立委派。

3.1 在 CORE01 创建对象#

打开 AD 用户和计算机（dsa.msc）：

1. 在 qy.net 根层新建 Delegation OU，再新建 Group、User 两个子 OU。若同名 OU 已存在，先核对用途，不覆盖或直接对未知对象委派。
2. 在 Delegation 根 OU 创建 lab_helpdesk、lab_delegate_out。
3. 在 Delegation/User 创建 lab_delegate_in；确认该子 OU 没有非实验对象。
4. 为三人设置不同的、符合域策略的初始密码；不添加管理员身份。
5. 为减少前置干扰，初始可不要求首次登录改密，但不勾“密码永不过期”或“用户不能更改密码”。下一阶段会单独设置强制改密。
6. 在 Delegation/Group 创建 GG_Helpdesk_PwdReset，选择“全局”“安全”。
7. 将 lab_helpdesk 加入该组，不加两个目标用户。
8. 截图对象位置、组作用域／类型与成员。密码不写入文章或截图。

遇到同名用户／组先检查用途，不覆盖现有对象。

3.2 核对账号、DN 与密码策略#

CORE01 管理员 PowerShell，仅读取：

1
$dc = 'QYNET-CORE01.qy.net'
2
$targetOU = 'OU=User,OU=Delegation,DC=qy,DC=net'
3

4
'lab_helpdesk','lab_delegate_in','lab_delegate_out' |
5
    ForEach-Object {
6
        Get-ADUser -Identity $_ -Server $dc -Properties adminCount,PasswordNeverExpires |
7
            Select-Object Name,Enabled,DistinguishedName,adminCount,PasswordNeverExpires
8
    }
9

10
Get-ADGroup GG_Helpdesk_PwdReset -Server $dc |
11
    Select-Object Name,GroupScope,GroupCategory
12

13
Get-ADPrincipalGroupMembership lab_helpdesk -Server $dc |
14
    Select-Object Name,GroupScope,GroupCategory
15

16
Get-ADDefaultDomainPasswordPolicy -Server $dc |
17
    Select-Object MinPasswordLength,ComplexityEnabled,PasswordHistoryCount,MinPasswordAge
18

19
# 若目标有细粒度密码策略，应以其有效策略为准；无返回不等于没有域默认策略
20
Get-ADUserResultantPasswordPolicy lab_delegate_in -Server $dc

Helpdesk 不应加入 Domain Admins、Enterprise Admins、Account Operators 或其他管理组。adminCount 为空或为 0 只是辅助信息，不能单独证明没有高权限，仍要核对成员关系。

3.3 普通操作员在哪台机器操作？#

推荐在 FS01 的 VM 控制台，用 lab_helpdesk 登录并打开 ADUC。 FS01 是域成员服务器，安装管理工具并不把它提升成域控，也不授予 Helpdesk 管理员权限。

先在 FS01 管理员会话检查：

1
Get-WindowsFeature RSAT-AD-Tools,RSAT-AD-PowerShell |
2
    Select-Object Name,InstallState

若未安装，管理员通过“服务器管理器 → 添加角色和功能 → 功能 → 远程服务器管理工具 → 角色管理工具 → AD DS 和 AD LDS 工具”安装 ADUC 与 AD PowerShell。

只安装管理工具，不安装／提升 AD DS 角色。组件源缺失时先处理安装介质，不假设内网一定能在线下载。

然后完整注销管理员，登录 qy\lab_helpdesk。不要给它 FS01 本机管理员身份，也不要授予域控登录权。

也可用已有 RSAT 的 USER01 管理端。USER01 先前截图的系统版本为 10.0.14393，不能照搬较新 Windows 的 Add-WindowsCapability 在线安装方法；工具可用性先核实。

5.1 修改前后记录 ACL（Powershell查询、仅供参考）#

以下是管理端查询，不是批量赋权脚本：

1
Import-Module ActiveDirectory
2
$targetOU = 'OU=User,OU=Delegation,DC=qy,DC=net'
3

4
# 在配置前和配置后分别执行，保存截图／输出对照
5
(Get-Acl ("AD:\" + $targetOU)).Access |
6
    Where-Object { $_.IdentityReference -like '*GG_Helpdesk_PwdReset' } |
7
    Select-Object IdentityReference,ActiveDirectoryRights,AccessControlType,
8
        ObjectType,InheritedObjectType,InheritanceType,IsInherited

AD: 驱动器可能连接默认发现的 DC；本实验只有 CORE01 开启时通常比较直观，仍应核对连接来源。需要严格固定服务器时，可在高级安全 GUI 中配合 ADUC 所选 CORE01 核验，或创建指定 Server 的 AD PSDrive。

这里只展示委派组相关条目，不代表完整有效权限计算；还要考虑其他组、继承与显式拒绝。修改前没有该组 ACE，才便于后续精确撤销。

6.1 范围内重置及强制改密验证#

1. 重置 lab_delegate_in 的密码。
2. 勾选“用户下次登录时须更改密码”。
3. 预期成功；不勾“解锁用户账户”，本次未授予解锁任务。
4. 管理员在 CORE01 查询 pwdLastSet，预期为 0。
5. 在 USER01 的 VM 控制台用该测试用户及临时密码登录，按提示设置新的合规密码。
6. 改密完成后再看 pwdLastSet，应从 0 变为实际时间值。

**本轮实际结果：**密码重置成功，但“下次登录须更改密码”未勾选且呈灰色；查询中的 pwdLastSet 为非零值。准备阶段截图显示目标账号 PasswordNeverExpires=True，因此本轮不记为强制改密通过，也没有截图证明首次登录改密。上面的强制改密步骤保留为完整流程参考；如后续补做，应先由管理员取消目标账号的密码永不过期标志，再单独验证。两种标志不能同时启用。Set-ADUser 参数说明

不能以命令无输出作为唯一成功证明。也不要用错误密码反复试登录来制造锁定。

1
# CORE01 管理员核验，不在错误的用户会话里猜
2
Get-ADUser lab_delegate_in -Server QYNET-CORE01.qy.net -Properties pwdLastSet,PasswordLastSet |
3
    Select-Object Name,pwdLastSet,PasswordLastSet

若目标通过 RDP 登录时因强制改密／NLA 遇到问题，优先在 VMware 控制台完成此次测试，不关闭 NLA 绕过。

6.2 范围外重置#

Helpdesk 尝试重置 Delegation 根 OU 的 lab_delegate_out，使用符合策略的新密码。

预期拒绝。它虽然与范围内用户同属 Delegation 分支，但不是 User 子 OU 的后代，授权不会向父级反向继承。

如果成功，说明范围或已有权限与设计不符，停止并记录，不能为了让表格符合预期而忽略结果。只测试新建的 lab_delegate_out，不测试 Administrator、qianyue 或 recovery_test。

6.3 无关属性修改#

Helpdesk 打开 lab_delegate_in 的“常规”，尝试修改“描述”为一个实验标记。

预期没有权限写入。若成功，检查是否额外授予了写所有属性或来自其他组的授权；由管理员恢复原描述并修正设计。

本次不用删除用户作为负向测试，避免配置异常时真的删掉对象。

6.4 PowerShell 等价操作（与 GUI 二选一）（仅供参考）#

在 Helpdesk 本人的普通窗口，安装 AD 模块后可执行：

1
whoami
2
$dc = 'QYNET-CORE01.qy.net'
3

4
# 显式使用当前 Helpdesk 身份；不另填域管理员 Credential
5
$password = Read-Host '输入新的合规实验密码' -AsSecureString
6
Set-ADAccountPassword -Identity lab_delegate_in -Server $dc -Reset -NewPassword $password -ErrorAction Stop
7
Set-ADUser -Identity lab_delegate_in -Server $dc -ChangePasswordAtLogon $true -ErrorAction Stop

以上会真实改变测试账号密码，不要在已经完成 GUI 验收后无意重复执行。

范围外和无关属性可分开验证：

1
# 预期权限拒绝；逐条执行、记录实际错误，不整段批量跑
2
$password = Read-Host '输入范围外测试的合规密码' -AsSecureString
3
Set-ADAccountPassword -Identity lab_delegate_out -Server $dc -Reset -NewPassword $password -ErrorAction Stop
4

5
Set-ADUser -Identity lab_delegate_in -Server $dc -Description '委派范围验证' -ErrorAction Stop

参考：Set-ADAccountPassword、Set-ADUser。

7.1 实际验收结果#

本次已证明密码重置权限的范围边界与撤销效果；强制改密、无关属性写入和全部相关 ACE 的清理状态，不能仅凭现有截图宣称全部验证完成。

8.1 可选审计证据#

若 DC 已启用相应“用户账户管理”审计，可由管理员查看 Security 中的 4724（尝试重置账号密码）。区分主体操作员、目标账号和成功／失败关键字。

无事件不代表没发生操作；先核对审计策略、查询范围与保存情况。本次不为补截图修改全域审计 GPO。Helpdesk 无权读取 Security 日志也不等于委派失败。