active directory分级管理员权限模型的核心是按职责分权、按边界控权，通过三级ou结构（部门级、角色级、资源隔离）、agdlp安全组模型、自定义委派替代受保护组、gpo强化行为约束，实现精准、最小化、可审计的权限管理闭环。

active directory 分级管理员权限模型的核心是“按职责分权、按边界控权”，不是简单地给几个账号加 domain admins，而是通过组织单元（ou）、安全组和委派机制，把管理动作精准落到具体职能团队手上。

基于职能的三级OU与权限映射

在根域下建立清晰的 OU 层级结构，例如：

• 部门级 OU（如 IT部、财务部、研发中心）：承载用户、组、计算机对象，是策略应用和权限委派的基本单位
• 角色级子OU（如 IT部\服务台、IT部\桌面运维、IT部\系统架构）：进一步细化管理范围，便于为不同技术角色委派差异权限
• 资源隔离OU（如 Servers、Workstations、Test_Env）：专用于托管服务器或测试设备，避免生产环境误操作

每个 OU 的权限只开放给对应职能组，比如“服务台”OU 只允许服务台组重置密码、解锁账户，但不能创建用户或修改组成员。

用安全组实现权限解耦与最小化

避免直接对用户赋权，严格采用 AGDLP 模型（Account → Global Group → Domain Local Group → Permission）：

• 全局组（Global Group）归集人员：如 G-ServiceDesk、G-DesktopOps
• 域本地组（Domain Local Group）绑定权限：如 DL-ResetPwd-In-HR-OU、DL-JoinPC-To-Prod
• 将全局组加入域本地组，再对域本地组委派 OU 级权限

这样人员变动只需调整组成员，权限逻辑不变；审计时只需查域本地组的委派记录，一目了然。

避开受保护组陷阱，用自定义委派替代内置组

Account Operators、Server Operators 等内置组属于 Active Directory 受保护组，一旦用户加入，其 ACL 将被 adminSDHolder 定期覆盖，导致手动配置的权限失效。正确做法是：

• 清空所有内置操作员组的成员
• 新建自定义安全组（如 G-OU-Admin-HR、G-Server-Mgmt-East）
• 在目标 OU 上右键 → “委派控制” → 选择该自定义组，仅勾选必要权限（如“重设用户密码”“读取/写入登录脚本路径”）

既满足业务需要，又规避了 adminSDHolder 的强制同步风险。

用GPO强化权限边界与行为约束

权限委派解决“能不能做”，GPO 解决“做了会怎样”。建议配套部署：

• 对服务台OU启用“禁止远程桌面服务用户访问”GPO，防止越权登录服务器
• 在研发OU中限制USB存储设备使用，同时允许软件安装白名单
• 为所有非管理员OU启用“用户无法更改计算机名或域成员身份”策略

GPO 和委派权限协同作用，才能形成真正可控的分级管理闭环。