paw-design

特权访问工作站（PAW）设计

特权访问工作站（PAW）是一种经过强化的专用设备，仅用于执行特权任务，可将敏感帐户与网页浏览、电子邮件及任意应用隔离开来。PAW 是 Microsoft 特权访问策略中的设备支柱，也是落实清洁源原则的执行点。

适用场景

保护高价值系统（Entra 控制平面、Azure 根帐户、域控制器、身份基础设施——“Tier 0”）的管理员，避免其遭受凭据盗窃、浏览器漏洞利用和供应链攻击。使用此技能来选择设备层级、强化系统映像，并通过 CA 强制仅允许从 PAW 访问。

请勿将此技能用于常规终端强化（defender-for-endpoint）或设备合规基线（intune-device-mgmt）。

根据管理员层级选择设备配置

企业访问模型将管理员角色映射到三种设备配置。层级选择错误，要么支出过高，要么保护不足。

层级	涉及的角色	设备配置	允许的操作
特权（PAW）	全局管理员、特权身份验证管理员、Tier 0 Azure 所有者、域管理员、DC 操作员	专用强化设备	仅限管理门户；禁止电子邮件和网页浏览
专用	工作负载管理员（Exchange、SharePoint、Intune、SQL DBA）、Tier 1 Azure 参与者	强化版本；允许部分生产力应用	管理门户 + 精选生产力应用（Office）
企业	服务台、Tier 2 运维人员、报表读取者、安全读取者	标准托管设备 + 强基线	完整生产力应用，并启用 MDE + ASR + 防篡改保护

**经验法则：**判断是否“需要 PAW”的标准是：**此帐户能否登录域控制器、修改 Conditional Access，或取得 Azure 根订阅的控制权？**如果可以，就需要 PAW。如果只管理一种工作负载，则使用专用设备。PAW 用户应占少数（通常不到管理员总数的 1%）。

方法

1. 采用企业访问模型——将每个特权角色映射到控制平面、管理平面或数据平面。Tier 0 = 控制平面（身份、云控制平面、本地 AD）。Tier 1 = 工作负载管理员。Tier 2 = 运维人员 / 只读人员。设备、帐户和访问路径必须与层级相匹配。 验证：层级映射文档已获批准；Tier 0 角色数量已有记录。

2. 应用清洁源原则——任何安全依赖项都必须与其所保护的对象一样可信。Tier 0 只能通过 Tier 0 设备进行管理。不能说“这次就用笔记本 RDP 一下”——这会破坏整个模型。

3. 构建 PAW 映像——加入 Entra（尽可能避免混合加入），由 Intune 管理，具备硬件信任根（TPM 2.0 + UEFI 安全启动），启用应用允许列表（WDAC 或 AppLocker）、Credential Guard + 内存完整性、BitLocker，以及启用所有 ASR 规则并设为阻止模式的 Defender for Endpoint；禁用入站 RDP，并限制出站防火墙规则。 验证：WDAC 策略已强制执行（非审核模式）；Credential Guard 正在运行（msinfo32）。

4. 锁定用户体验——禁止本地管理员权限、电子邮件客户端和常规网页浏览（通过 DNS / 防火墙阻止访问非管理终结点），Edge 仅允许访问管理门户 URL。禁止 USB 存储设备。用户不得安装应用。

5. 通过 Conditional Access 强制执行——CA 策略：Tier 0 角色只能从符合要求且通过 PAW 设备筛选器（自定义属性）的设备登录。其他情况一律阻止。这项控制可确保 PAW 并非可选项。 验证：CA 策略处于强制模式；通过 What If 验证来自非 PAW 的 Tier 0 登录会被阻止。

6. 将 PAW 与 PIM、抗钓鱼 MFA 和专用管理员帐户配合使用——PAW 日常使用非特权帐户；管理员凭据采用 FIDO2，并具备 PIM 激活资格，可在执行任务时即时激活。

7. 先试点 5 台 PAW——Tier 0 管理员往往会直言不讳。亲自交付设备、逐步讲解、收集使用障碍反馈并迭代，然后再扩大部署。

防护措施

• 用于提高生产力的 PAW 就不再是 PAW。 不收发电子邮件、不浏览网页、不使用 Teams 聊天。如有需要，请为生产力工作单独配备一台 Enterprise 设备（是的，要两台设备）。
• 保护管理链。 Intune 和映像部署流程属于可信源的一部分。如果通过非 PAW 设备管理 Intune，PAW 模型就从根本上失效。
• 禁止共享本地账户。 每位管理员都使用自己的凭据；不得共享“PAW 用户”账户。
• 条件访问强制实施才是关键控制。 如果没有“Tier 0 登录必须使用 PAW”这一要求，管理员就会“仅此一次”地使用自己的笔记本电脑，整个模型也会随之瓦解。
• 不要跳过 Credential Guard。 没有它，在特权会话中窃取凭据（如使用 Mimikatz 这类工具）轻而易举。
• 仅使用抗钓鱼 MFA。 使用 SMS / 推送 MFA 登录 PAW 会让其失去意义。

常见反模式

• “我们会把 VDI 当作 PAW 使用” - 允许运行生产力工作负载的 VDI 主机并不是 PAW。核心原则是专用设备，而不是虚拟化。
• “两周内为 200 名管理员部署 PAW” - 你会遭到抵触、遗漏层级映射，并造成设备闲置。先从 5 名管理员开始，逐步迭代，再用几个月扩大规模。
• “管理员用自己的常规笔记本电脑管理 Intune” - 这会从根本上破坏可信源。应通过 PAW 管理 Intune。
• “一台设备兼顾生产力和管理工作” - 单次浏览器漏洞利用就可能导致凭据被盗。Tier 0 需要两台设备。
• “条件访问策略永远处于仅报告模式” - 未强制执行就不算真正实施。试点后应将其切换为“开启”。
• “PAW 用户拥有本地管理员权限，这样他们才能安装工具” - 这会破坏应用允许列表机制。工具应通过 Intune 管理。

示例提示词

• 将我们的管理员角色映射到 PAW、Specialized 和 Enterprise 设备层级。
• 设计 PAW 映像：Entra 加入、WDAC 允许列表、Credential Guard、限制浏览。
• 编写 Conditional Access 策略，要求 Tier 0 角色登录时使用 PAW。
• 先为 5 名管理员规划 PAW 试点，然后再扩展到所有 Tier 0 角色。
• 如果我们的映像服务器运行在常规笔记本电脑上，该如何强制实施可信源？
• 我们的 Exchange 管理员应该配备 PAW 还是 Specialized 设备？

Microsoft Learn

• 特权访问策略：https://learn.microsoft.com/security/privileged-access-workstations/overview
• 企业访问模型：https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-access-model
• 安全工作站设备：https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-devices
• 部署 PAW：https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-deployment
• PAW 的 WDAC：https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/appcontrol
• Credential Guard：https://learn.microsoft.com/windows/security/identity-protection/credential-guard/
• Conditional Access 设备筛选器：https://learn.microsoft.com/entra/identity/conditional-access/concept-condition-filters-for-devices