如何阻止 BadSuccessor:dMSA 迁移的光明、阴暗与丑陋

BadSuccessor 可滥用 Windows Server 2025 的 dMSA 冒充域内任意账户（含 Domain Admins）。文章给出在 AD 架构层面阻断 dMSA 迁移滥用的缓解方案（含 PowerShell 代码），可支撑到官方补丁发布。