了解 Pre-Windows 2000 Compatible Access 设置的风险

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

加固 AD 从摸清攻击者利用的弱点开始：遗留协议、管理员账户泛滥等认证缺陷，以及助长横向移动的权限过度授予；文章梳理常被忽视的配置错误并附安全速查清单。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

Semperis 实践检查点 2：为 Agent 身份搭建与真实部署一致的权限模型——在 Agent 身份层直接分配应用权限（User.Read.All），并在 Blueprint 层通过 oauth2PermissionGrants 配置可继承的委托权限（Group.Read.All，可用枚举作用域限定）。

许多组织并不清楚谁拥有什么权限。文章结合业内专家访谈，探讨混合环境下的身份安全态势管理：为何评分必须结合语境，以及如何打好安全身份基座。

客座文章探讨美国州与地方政府及教育机构（SLED）的 AD 安全：为何事件前中后的攻击检测至关重要、当前面临哪些威胁，以及强化身份基础设施的行动计划。