43、Active Directory 权限管理工具与操作指南

Active Directory 权限管理工具与操作指南

在 Active Directory 环境中，有效地管理权限对于保障系统安全和高效运行至关重要。本文将介绍多种用于评估、报告和撤销 Active Directory 对象权限的工具，以及如何使用这些工具进行权限管理。

1. 使用 ADFind 报告权限

ADFind 是一个强大的工具，可用于执行 LDAP 查询以报告 Active Directory 中的权限。以下是一些常用的 ADFind 开关及其用途：
- -f 开关：指定在 Active Directory 中执行搜索的过滤器。例如， -f (objectClass=organizationalUnit) 用于查找组织单位（OU）对象。
- -sddlnotfilter ;inherited ：用于过滤掉继承的访问控制项（ACE）。
- -sddlfilter [allow|deny|<blank>];;;;;"DOMAIN\user or group" ：用于返回仅分配给特定安全主体的 ACE。
- -recmute 开关：抑制返回匹配搜索过滤器但根据输出过滤器（如 -ssdlfilter ）属性为空的对象的可分辨名称。

以下是一个示例命令，用于报告特定用户或组在 OUs 上明确分配的所有权限：

Adfind –b "dc=contoso,dc=com" –