概述：域控制器——全域安全的命門
運行 Active Directory 的 Windows Server 2003 域控制器（DC）是任何環境下必須優先保護的角色。客戶端、伺服器、應用程式仰賴 DC 進行身份驗證、群組原則、中央 LDAP 目錄服務。DC 任何損失或洩密皆屬災難性。因此：
- 物理位置必須安全，僅限合格管理人員接觸。
- 分支機構等非安全場所部署 DC 時，須調整安全設定限制物理訪問風險。
DC 基線策略 (DCBP) 定位
- DCBP 屬於基線策略，與成員伺服器基線策略 (MSBP) 同類。
- DCBP 連結至「Domain Controllers OU」，優先於「預設域控制器原則」。
- DCBP 建立在 MSBP 基礎上，大多數設定直接複製 MSBP；本章僅述差異項。
- 三種環境模板（含
.inf 檔）：企業客戶端、獨立伺服器、專用安全性受限環境。
- 警告：錯誤 GPO 連結到 Domain Controllers OU 會嚴重阻礙域運作。導入前必須驗證所有設定正確。
審核策略：同 MSBP
確保所有相關安全審核事件記錄在 DC 本地。詳細參見第 3 章「建立成員伺服器基線」。
用戶權限指派：DCBP 獨有 7 項強化設定
1. 從網路存取這台電腦
- 決定哪些用戶/群組可透過網路連線（SMB/NetBIOS/CIFS/HTTP/COM 等協議均需此權限）。
- Win2003 雖不再接受匿名存取，但 Guest 帳號仍透過 Everyone 群組存取。
- 高安全環境建議：從此權限移除 Everyone 群組，防範利用 Guest 帳號攻擊域。
2. 將工作站加入域
- 允許用戶向域添加電腦帳號（最多 10 台）。
- 擁有 OU/Computers 容器「建立電腦物件」權限者不受 10 台限制。
- 預設 Authenticated Users 擁有此權限 → 可能造成未授權電腦加入、難以追蹤管理。
- 三環境統一：僅授予 Administrators 群組。
3. 允許本地登入
- 允許在 DC 控制台開啟互動式會話。
- 預設 Account Operators、Backup Operators、Print Operators、Server Operators 擁有此權限，但他們通常可從其他工作站完成任務。
- 僅 Administrators 必須在 DC 本地登入維護。
- 三環境統一：僅授予 Administrators。
4. 允許透過終端服務登入
- 限制遠程桌面登入 DC 的帳號。
- 預設需管理員權限，但顯式配置可防止無意/惡意破壞限制。
- 三環境統一：僅授予 Administrators。
- 進階措施：DCBP 禁止預設 Administrator 帳號透過終端服務登入 DC，阻斷針對預設帳號的遠程暴力破解。
5. 變更系統時間
- 允許調整內部時鐘（不含時區/顯示特徵）。
- 系統時間同步對 AD 複寫、Kerberos V5 票據生成至關重要。時間不同步將癱瘓域服務。
- 預設 Server Operators 擁有此權限，風險在於誤改時間。
- 三環境統一：僅授予 Administrators。
- 參考：KB 224799 (Windows Time Service)、KB 216734 (權威時間伺服器配置)。
6. 為委派啟用受信任的電腦和用戶帳號
- 允許修改 AD 物件上的「信任以進行委派」屬性（多層 C/S 應用使用 Kerberos 委派）。
- 濫用風險：攻擊者可偽裝其他用戶存取資源，事後溯源極難。
- 建議：僅授予 DC 上的 Administrators 群組。
- 註：預設域控制器原則已給 Administrators，DCBP 在高安全環境下加強（MSBP 給 NULL 值）。
7. 安裝和卸載裝置驅動程式
- 決定誰可安裝/移除驅動程式（即插即用必需）。
- 不當驅動操作可能損害 DC 穩定性。
- 預設 Print Operators 擁有此權限，但指南不建議在 DC 建立列印共享。
- 三環境統一：僅授予 Administrators。
下篇預告
將續述：還原檔案與目錄、載入/卸載驅動程式、管理審核與安全日誌、產生安全審核、取得檔案/目錄所有權等關鍵權限配置，以及完整 DCBP 部署驗證清單。