AD安全基线核心是整合零散策略为系统性防线，围绕身份可信、设备可控、数据有保、行为可溯四维度，通过GPO在域控统一落地密码策略、外设管控、BitLocker加密及浏览器规范。
配置ad环境下的安全基线策略，核心是把零散的安全动作整合成一套可继承、可验证、可审计的系统性防线。它不是堆砌十几个gpo，而是围绕“身份可信、设备可控、数据有保、行为可溯”四个维度，用组策略在域控制器上统一落地。
身份与访问控制：从密码策略开始筑底
身份是所有安全动作的前提。仅启用“密码必须符合复杂性要求”远远不够，需组合配置：
- 密码最短长度设为12位，禁用8位旧标准；
- 密码最长使用期限设为90天，避免长期不更替；
- 强制密码历史保留24个版本，防止循环复用；
- 账户锁定阈值设为5次失败登录，锁定时间建议30分钟；
- 禁用“Everyone”组对敏感OU的读取权限，防止策略被意外继承或查看。
终端设备管控：堵住外设与本地权限漏洞
U盘和本地管理员账户是数据泄露最常见的两个跳板，必须闭环管理：
- 在计算机配置 → 管理模板 → 系统 → 可移动存储访问中，启用“所有可移动存储类：拒绝所有权限”；
- 如需兼容工业设备，用WMI筛选器或自定义设备类ID设置白名单，而非全局放开；
- 通过“受限制的组”策略，将本地Administrators组成员严格限定为Domain Admins；
- BIOS中同步关闭SATA热插拔与USB Legacy支持，防绕过；
- 禁用SMBv1协议：启用“禁用 SMB 1.0/CIFS 文件共享支持”策略，运行
Get-SmbServerConfiguration | Select EnableSMB1Protocol确认返回False。
数据保护加固：BitLocker加密与密钥集中托管
加密不是选配项，而是数据失窃后的最后一道屏障：
- 在域控制器安装RSAT-Feature-Tools与BitLocker恢复密码查看器，确保所有密钥自动写入AD属性；
- 客户端策略中启用“强制密钥备份到AD”，禁用“无TPM时跳过加密”的宽松选项；
- 选择“完全加密模式”（非仅操作系统卷），兼顾SSD性能与防护强度；
- 加密前先对OU分批试点，观察启动时间与日常响应影响；
- 为恢复场景准备AD用户属性查询脚本，确保IT人员能快速定位密钥。
浏览器与应用行为规范：统一办公入口与风险拦截
Edge已成为Windows默认浏览器，其行为直接影响终端安全水位：
- 下载并导入最新版Microsoft Edge ADMX模板至域控的PolicyDefinitions目录；
- 配置IE模式站点列表，将老旧B/S系统URL加入强制兼容清单；
- 锁定主页为内网门户地址，禁用用户修改主页与新标签页；
- 禁止安装未经批准的扩展程序，只允许企业签名扩展白名单；
- 启用“阻止不安全的HTTP下载”和“阻止已知恶意网站”策略，联动Defender SmartScreen。
