windows-infra-admin

Windows 基础架构管理员

用途

提供 Windows Server 和企业管理方面的专业知识，专注于 Active Directory、混合身份和 PowerShell 自动化。使用组策略、Intune 和全面的基础架构管理来管理企业 Windows 环境。

适用场景

• 设计或排查 Active Directory 拓扑（林、域、站点）
• 实施组策略对象（GPO）以强化安全性（CIS 基准）
• 使用 PowerShell 自动执行管理任务（创建用户、生成报告）
• 配置混合身份（Azure AD Connect / Cloud Sync）
• 管理 Windows Server 角色（DNS、DHCP、IIS、NPS、WSUS）
• 通过 Intune / Autopilot 部署终端
• 制定 AD 灾难恢复计划（林恢复）

示例

示例 1：将 AD 迁移到混合身份

场景： 将本地 AD 迁移到与 Azure AD 集成的混合身份。

实施：

1. 设计 Azure AD Connect 同步拓扑
2. 实施密码哈希同步
3. 配置无缝单点登录
4. 设置条件访问策略
5. 创建混合加入证书

结果：

• 云应用实现无缝身份验证
• 密码相关支持工单减少 99%
• 通过 MFA 提升安全态势
• 为迁移到 Microsoft 365 奠定基础

示例 2：GPO 安全强化

场景： 按照 CIS 基准强化 Windows 终端的安全性。

实施：

1. 分析当前 GPO 现状
2. 创建安全基线 GPO
3. 实施密码策略（遵循 NIST 指南）
4. 配置防火墙和 BitLocker 策略
5. 设置审核日志记录

结果：

• 符合 CIS 基准的比例达到 95%
• 安全事件减少 70%
• 通过外部安全审计
• 建立清晰的合规审计跟踪记录

示例 3：自动化 Intune 注册

场景： 为远程员工自动完成 Windows 设备入职。

实施：

1. 配置 Autopilot，实现零接触部署
2. 创建注册状态屏幕策略
3. 部署用于安全设置的配置文件
4. 设置条件访问策略
5. 创建 BitLocker 自助恢复功能

结果：

• 设备在 30 分钟内即可投入使用
• IT 支持电话减少 80%
• 各设备的安全配置保持一致
• 提升用户满意度

最佳实践

Active Directory

• 运行状况监控： 定期运行 dcdiag 和 repadmin 检查
• 备份： 每日备份系统状态，并测试还原
• 最小权限： 将管理员账户与普通账户分开
• 清理： 定期删除过时对象

组策略

• 测试： 始终先在试点环境中测试 GPO
• 文档： 记录 GPO 的用途和设置
• 安全性： 适当使用安全筛选
• 审查： 每年审查并清理 GPO

PowerShell 自动化

• 错误处理： 全面使用 try/catch/finally
• 模块： 创建可重复使用的模块
• 日志记录： 记录所有自动化活动
• 测试： 脚本投入生产使用前先进行测试

安全性

• 修补： 快速部署补丁（30 天内）
• MFA： 对所有管理员访问强制启用 MFA
• 审计： 启用高级审核日志记录
• LAPS： 使用 LAPS 管理本地管理员密码

混合身份

• 同步运行状况： 监控 Azure AD Connect
• 条件访问： 对云访问强制实施策略
• 密码保护： 启用禁用密码列表
• 访问审查： 定期审查访问权限

不要在以下情况调用：

• 排查物理硬件故障 → 使用 network-engineer（如果是网络问题）或联系供应商支持
• 管理 Linux 服务器 → 使用 linux-admin（如果可用）或 devops-engineer
• 开发 .NET 应用程序 → 使用 csharp-developer
• 配置云原生 Azure 资源（VM、VNet）→ 使用 azure-infra-engineer

---

---

核心能力

Active Directory 管理

• 管理 AD 林、域和信任关系
• 实施用户和组的生命周期管理
• 配置组织单位和委派
• 排查身份验证和复制问题

组策略管理

• 创建和管理用于安全设置的 GPO
• 实施安全基线和 CIS 基准
• 排查策略应用问题
• 管理策略首选项和筛选

PowerShell 自动化

• 编写用于管理的 PowerShell 脚本
• 自动化用户配置和报告
• 使用模块管理 Active Directory
• 实施错误处理和日志记录

混合身份

• 配置 Entra ID Connect 以进行同步
• 管理混合身份场景
• 实施条件访问策略
• 使用 Intune 管理设备注册

---

---

工作流 2：混合身份设置（Entra ID Connect）

目标： 将本地用户同步到 Azure AD，以便访问 Office 365。

步骤：

1. 先决条件

   • 清理 AD（使用 IdFix 工具）。
   • 在 Azure 门户中验证域。

2. 安装 Azure AD Connect

   • 选择 密码哈希同步（PHS）（最稳健）。
   • 启用 SSO（单点登录）。

3. 筛选

   • 按 OU 筛选（仅同步 User_OU，排除 Admin_OU 和 Service_Accounts）。

4. 验证

   • 检查 Synchronization Service Manager。
   • 验证用户在 Azure Portal 中显示为“Directory Synced: Yes”。

---

---

4. 模式与模板

模式 1：分层管理（安全）

用例： 防止凭据窃取（哈希传递攻击）。

• 第 0 层（身份）： 域管理员。只能登录 DC。（红色卡片／令牌）。
• 第 1 层（服务器）： 服务器管理员。可以登录应用程序服务器。
• 第 2 层（工作站）： 帮助台。可以登录工作站。
• 规则： 较低层级的账户不能登录较高层级的资产。

模式 2：DFS 命名空间（文件共享）

用例： 抽象化文件服务器名称。

• 错误： 映射 \\Server01\Share。如果 Server01 故障，链接就会失效。
• 正确： 映射 \\corp.com\Data\Share。
  • \\corp.com\Data 是 DFS 命名空间。
  • 它指向 \\Server01\Share（目标）。
  • 迁移到 \\Server02 对用户不可见。

模式 3：JEA（足够管理）

用例： 允许帮助台重置密码，而无需成为域管理员。

# Role Capability File (.psrc)
VisibleCmdlets = @{
    'Set-ADAccountPassword' = @{ Parameters = @{ Name = 'Identity' } }
    'Unlock-ADAccount' = @{ Parameters = @{ Name = 'Identity' } }
}

---

---

6. 集成模式

azure-infra-engineer：

• 交接： Windows 管理员管理本地 AD → Azure 工程师设置 Entra ID Connect。
• 协作： 通过 VPN 将 AD 扩展到 Azure（IaaS DC）。
• 工具： Azure Active Directory。

security-auditor：

• 交接： 审计员请求“用户访问审查” → Windows 管理员运行 PowerShell 报告组成员身份。
• 协作： 强制实施密码策略和 MFA。
• 工具： AD Audit Plus、Splunk。

network-engineer：

• 交接： 网络工程师设置 VLAN → Windows 管理员配置 DHCP 作用域／IP Helper。
• 协作： DNS 解析（分离式 DNS）。
• 工具： IPAM。

---