前言

每個 Active Directory 網域安裝後自動建立一個「Administrator」帳戶，預設無法刪除或鎖定（Windows Server 2003 可停用但安全模式下自動重啟）。惡意用戶常以此帳戶為首要攻擊目標（密碼猜測、權限提升、誘導執行惡意代碼）。本文提供微軟官方建議的四大核心原則，全方位強化管理員帳戶安全。

一、區分網域管理員與企業管理員角色

企業管理員擁有整個樹系的最高權限，必須嚴格控制：

• 方案 A：建立一個受高度保護的專用帳戶作為 Enterprise Admins 成員，平時不使用。
• 方案 B：平時不建立此類帳戶，僅在授權任務需要時臨時建立，任務完成後立即刪除。

二、區分使用者帳戶與管理員帳戶（最小權限原則）

每位管理員應擁有兩個帳戶：

• 一般使用者帳戶： 日常郵件、辦公、瀏覽網頁。
• 管理帳戶： 僅用於執行管理任務。

兩帳戶密碼必須唯一且強健。此舉大幅降低管理帳戶暴露風險，並縮短管理帳戶登入時間。

三、善用「次要登入服務」以管理員身分執行程式

Windows 2000 稱「Run as 服務」，XP/2003 稱「Secondary Logon 服務」。允許以非管理員身分登入，需要時以管理員憑證啟動特定程式（.exe、.msc、控制台項目、捷徑）。

常用操作方式

1. 啟動管理命令提示字元： runas /user:domain\administrator cmd
2. 以管理員身分開啟控制台工具： 右鍵工具 →「執行身分」→ 輸入管理員憑證。
3. 命令列啟動 MMC 管理單元： runas /user:corpdomain\domainadmin "mmc %windir%\system32\compmgmt.msc"
4. 智慧卡憑證： runas /smartcard /user:local\administrator cmd（不可在命令列直接輸入密碼）。

注意：無法用「執行身分」啟動「印表機資料夾」、「我的電腦」、「網路鄰居」。

四、以一般帳戶登入，啟動「終端機服務」會話進行遠端管理

使用一般帳戶登入本機，再以網域管理員身分建立終端機服務會話連線至遠端伺服器。管理操作僅在會話視窗內進行，無需物理接觸伺服器，亦無需伺服器上的互動式登入權限。

五、重命名預設 Administrator 帳戶

重命名後無明顯特徵標示其提升權限，增加攻擊者偵察難度。建議用假姓名並與一般用戶命名格式一致。

網域重命名： Domain Admins 成員登入 →「Active Directory 使用者與電腦」→ 右鍵 Administrator →「重命名」→ 同步修改全名、顯示名、登入名、說明。
本機重命名： 本地 Administrators 成員登入 →「電腦管理」→「本地使用者和群組」→ 右鍵 Administrator →「重命名」→ 修改全名與說明。
也可透過群組原則 (GPO) 批量重命名多台電腦本機 Administrator（但無法修改說明）。

局限： SID 不變，工具可枚舉群組成員並優先列出原始 Administrator，重命名只能阻擋部分攻擊。

六、建立誘餌管理員帳戶

建立一個名為「Administrator」但無任何特權的帳戶，設定強密碼且不鎖定。攻擊者將浪費時間攻擊此誘餌帳戶，延緩對真實管理員帳戶的攻擊。同時監控此帳戶登入失敗事件，作為入侵預警。

七、建立新管理帳戶並停用內建 Administrator

最徹底做法：建立新管理帳戶加入 Administrators 群組，然後停用內建 Administrator 帳戶。結合重命名、誘餌、最小權限、次要登入、終端機會話等多層防護，構建纵深防御體系。

結語

管理員帳戶安全不靠單一手段，而在於「角色分離、身分分離、最小權限、偽裝誘餌、審計監控」的系統性落實。立即檢視您的環境，逐項落實上述原則，為關鍵資產加上最堅實的鎖。