Active Directory安全攻防（六）

在 Active Directory 的默认安全模型中，有一个需要特别关注的设计：所有经过身份验证的用户（Authenticated Users）都拥有对大部分属性内容的读取权限。

这意味着，只要一个用户或计算机账户成功通过了域身份验证，它就可以查询并读取目录中其他对象的绝大多数属性值——包括用户的部门、电话号码、邮箱地址、组成员关系等信息。

这种设计在功能层面是合理的：AD 本质上是一个目录服务，需要支持地址簿查询、应用程序集成、邮件系统联动等场景，广泛的读取权限是这些功能正常运作的基础。

然而，从安全角度来看，这也带来了风险。某些存储在 AD 属性中的敏感数据（如自定义的密码字段、密钥信息、或业务敏感的标识符），如果遵循默认权限，将对域内所有已认证用户可见。

那么，如何在不改变整体权限模型的前提下，对特定属性实施更严格的访问控制？

这就是机密属性（Confidential Attribute）机制要解决的问题。

二、机密属性的核心机制

2.1 什么是机密属性

机密属性是 Active Directory 提供的一种属性级别的访问控制增强机制。当一个 Schema 属性被标记为机密后，系统会自动移除 Authenticated Users 对该属性内容的默认读取权限，只有被显式授权的安全主体才能读取该属性的值。

简单来说：