Active Directory分级访问管理通过OU、安全组、委派控制和继承机制协同实现；按部门+角色建OU并启用防误删；用三层组模型（全局组/域本地组/嵌套）承接权限；在OU级精确委派；对敏感OU禁用继承并手动设最小权限。
active directory 中的分级访问管理，核心是把“谁能在哪做哪些事”拆解成可控制、可审计、可复用的层级结构。它不是靠给用户直接加权限，而是靠组织单位（ou）、安全组、委派控制和继承机制四者协同实现的。
按职能划分 OU 结构
OU 是权限分级的物理载体。建议按业务部门+角色类型双维度设计，例如：
-
部门级 OU：IT、Finance、HR、Sales 等，每个部门下再建子 OU，如
OU=Users,OU=IT,...、OU=Computers,OU=IT,... -
角色/生命周期 OU：单独设立
OU=ServiceAccounts、OU=Temporary、OU=Disabled，避免权限混杂 - 所有顶级 OU 创建时启用
-ProtectedFromAccidentalDeletion $true，防止误删导致权限链断裂
用安全组承接权限，而非直接赋权给用户
权限只分配给组，用户通过加入组获得能力。推荐采用“三层组模型”：
-
全局组（Global Group）：按人员归属定义，比如
GG-IT-DesktopAdmins，成员是 IT 部门的桌面工程师 -
域本地组（Domain Local Group）：按权限目标定义，比如
DL-ResetPassword，其权限是“重置用户密码”，只在本域内有效 -
嵌套关系：把全局组加入域本地组中（
Add-ADGroupMember -Identity DL-ResetPassword -Members GG-IT-DesktopAdmins），实现职责与权限解耦
在 OU 级别精确委派控制权限
右键 OU → “委派控制”向导，或用 PowerShell 批量执行：
- 对
OU=Users,OU=Finance,DC=company,DC=local委派“重置密码”“解锁账户”给DL-Finance-Helpdesk - 对
OU=Computers,OU=Sales,...委派“将计算机加入域”给DL-Sales-Deployers - 避免使用内置组（如 Account Operators），全部改用自定义组，便于审计和清空
控制继承与例外，守住敏感边界
默认情况下，OU 权限会向下继承。但对高敏区域必须干预：
- 在
OU=Executives或OU=ServiceAccounts上右键 → “属性” → “安全性” → “高级” → 取消勾选“包括可从该对象的父项继承的权限” - 手动添加最小必要权限，比如仅允许 Domain Admins 读写，禁止普通管理员组访问
- 受保护组（如 Domain Admins、Schema Admins）的成员自动受
adminSDHolder容器 ACL 保护，无需额外设置，但务必确保这些组本身成员精简
