Active Directory 中的非约束委派

非约束委派使服务可冒充域内任意用户，攻击者会搜寻启用该设置的服务器，用 Rubeus 捕获 Kerberos TGT 后横向移动。文章解析利用手法，并说明如何发现与整改这一配置。

CISA/NSA 十大网络安全配置错误系列第一篇（AD 视角）：默认配置、权限隔离不当、缺乏内部监控，剖析系统性弱点并给出修复建议。

AD 安全入门：AD 掌管多数本地应用的身份认证，是攻击者首要目标。文章梳理未约束 Kerberos 委派、配置错误、权限过大等主要风险及加固最佳实践。

文章详解攻击者如何滥用 Active Directory 非约束委派（Unconstrained Delegation）实现域接管：诱导域控等高权限系统向已失陷主机认证以截获其 TGT，进而执行 DCSync、锻造 Golden Ticket 并完全控制域；防御上建议清查并停用非约束委派、在域控上禁用 Print Spooler 服务、限制高权限账户登录相关主机。

需尽快发现并修复的 7 个 Active Directory 错误配置，从持有 DCSync 权限的非默认主体到 AdminSDHolder 权限篡改等，每项均给出检测要点与修复步骤。

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。