PAM在AD环境中不恢复权限，而是通过堡垒林、影子组和JIT激活实现受控、临时、可审计的特权访问。需建单向林信任、映射影子组为特权角色、审批后限时激活，并同步清理旧权限与登录限制。
ad环境下通过pam恢复特权账号权限，核心不是“恢复”已丢失的权限，而是**绕过永久高权限账户，改用受控、临时、可审计的授权机制**。pam（privileged access management）本身不修复损坏的权限，而是重建安全的特权使用流程。关键在于建立堡垒林、影子组和实时激活机制。
搭建独立堡垒林并建立信任
这是整个PAM架构的基础。不能在生产林内直接配置，必须部署一个物理或逻辑隔离的“堡垒林”，确保其操作系统、域控制器、网络路径均未被生产环境污染。
- 在堡垒林中安装Active Directory域服务和Microsoft Identity Manager（MIM）PAM组件
- 在生产林与堡垒林之间建立**单向、可传递的林信任**（生产林→堡垒林），确保堡垒林用户能访问生产资源，但反向不可达
- 运行
Test-PAMTrust和Test-PAMDomainConfiguration验证信任状态和域配置有效性
创建影子组与角色映射
把生产林中真实的高权限组（如Domain Admins、Enterprise Admins）“镜像”为堡垒林中的空组（即无成员），称为影子组。所有权限控制都落在这些影子组上。
- 在堡垒林中新建OU（如
PAM_Roles），并在其中创建对应影子组，例如Shadow-Domain-Admins - 使用MIM PAM PowerShell cmdlet（如
New-PAMRole）将该影子组注册为一个特权角色，并绑定审批流、MFA策略和会话时长（如4小时） - 确保影子组在生产林中**没有实际成员**，仅作为PAM激活后的目标组
启用Just-In-Time激活流程
用户不再拥有长期有效的特权身份，而是在需要时申请、审批、限时激活——这就是“临时授权”的实质。
- 用户使用普通账户登录堡垒林管理门户（MIM Portal）或调用
Invoke-PAMRoleRequest - 系统触发预设审批策略（如双人审批+短信/智能卡MFA），审批通过后自动将该用户加入对应影子组
- 权限生效时间从激活时刻起算，超时自动移出；期间所有操作（如DC上的组策略修改、用户创建）均可通过MIM日志和AD审核策略追溯
- 若需紧急介入（如堡垒林宕机），可用预配的专用智能卡账户手动添加用户至影子组，作为灾备手段
同步清理与登录限制加固
临时授权有效，前提是原有高权限账户不再被滥用。必须同步切断旧路径。
- 从生产林中移除所有管理员账户在
Domain Admins等敏感组中的静态成员身份 - 通过组策略强制实施登录限制：对域管理员账户设置
拒绝本地登录拒绝通过远程桌面服务登录，仅允许其登录堡垒林工作站 - 禁用所有管理员账户的交互式密码缓存（如禁用
Interactive logon: Do not display last user name）
