Review Tiering Active Directory dan Akun Privileged
Tiering Active Directory membatasi kredensial mana yang boleh mengendalikan aset mana. Ini bukan bagan organisasi atau daftar jabatan admin. Ini batas logon dan delegation. Model akses enterprise Microsoft memperluas tier AD lama menjadi control plane, management plane, dan workload plane, tetapi Tier 0, Tier 1, dan Tier 2 tetap berguna bila setiap akun, endpoint, dan layanan memiliki batas yang tercatat.
Tentukan tier sebelum meninjau grup
Tier 0 mencakup aset control plane identitas: domain controller, AD CS, Entra Connect atau sinkronisasi identitas lain, grup direktori privileged, dan sistem yang dapat mengubahnya. Kompromi di sini dapat mengubah trust seluruh estate.
Tier 1 mencakup administrasi server dan management plane: member server, hypervisor, konsol manajemen, infrastruktur backup, serta identitas admin server. Tier 1 tidak mengadministrasikan Tier 0.
Tier 2 mencakup workstation pengguna, operasi help desk, dan layanan produktivitas standar. Kredensial Tier 2 tidak mengadministrasikan server atau control plane direktori.
Catat pengecualian berdasarkan kapabilitas, bukan nama host. Jump host dengan logon Domain Admin adalah Tier 0 walau label inventarisnya “operations”. Konsol backup adalah Tier 1 kecuali dapat memulihkan atau mengubah domain controller; kapabilitas tersebut dapat menjadikannya Tier 0.
Terapkan akun terpisah dan PAW
Administrator privileged memerlukan akun terpisah untuk tiap tier yang diizinkan. Email, browsing, chat, dan dokumen memakai akun harian, bukan akun Tier 0. Privileged Access Workstation (PAW) adalah jalur admin yang dipaksakan, bukan sekadar perangkat khusus. Tinjau enrolment perangkat, kebijakan sign-in, anggota administrator lokal, endpoint manajemen, MFA atau kondisi akses setara, bukti patch, dan pembatasan web atau email.
Uji dua arah. Coba sign-in akun Tier 0 dari workstation biasa; hasil lulus hanya bila kebijakan menolak. Coba akun Tier 2 atau akun harian ke PAW; catat penolakan yang diharapkan. Lalu buktikan PAW dapat menjangkau endpoint administrasi Tier 0 yang dinamai lewat jalur terautentikasi dan tercatat. Screenshot saja tidak membuktikan enforcement; simpan ekspor kebijakan, hasil sign-in, waktu, dan reviewer.
Telusuri jalur delegation
Delegation dapat melewati tiering. Inventaris unconstrained delegation, constrained delegation, resource-based constrained delegation, layanan tepercaya untuk delegation, dan akun yang boleh mendelegasikan. Unconstrained delegation pada server tier rendah menciptakan jalur material bagi kredensial yang hadir di sana.
Untuk delegation sah, catat akun layanan, layanan sumber, target SPN, kebutuhan protocol transition, owner, persetujuan, dan expiry. Uji jalur sumber-ke-target yang dilarang; catat lulus hanya bila penggunaan tiket gagal tanpa membocorkan rahasia. Hapus delegation tak perlu, lalu retest flow aplikasi yang disetujui. Bila penghapusan memutus dependensi bisnis, gunakan pengecualian berbatas waktu dengan segmentasi dan monitoring kompensasi.
Contoh review selesai
| Item review | Bukti dan uji | Hasil | Tindakan |
|---|---|---|---|
DC-01 | register Tier 0; sign-in workstation biasa ditolak | Lulus | Pertahankan kebijakan PAW-only |
ops-jump-02 | interactive logon Domain Admin ditemukan | Gagal | Klasifikasi ulang Tier 0; batasi sign-in |
svc-report | delegation hanya ke report SPN terdokumentasi | Lulus | Owner validasi ulang triwulanan |
app-old-01 | unconstrained delegation aktif | Gagal | Hapus setelah uji layanan disetujui |
Contoh ini pola workbook, bukan bukti organisasi tertentu. Setiap gagal memerlukan owner, target remediasi, dan retest. Pengecualian menyebut aset, alasan, risk owner, kontrol kompensasi, serta tanggal expiry. Setelah expiry tanpa persetujuan baru, item kembali gagal.
Output review
Kirim register tier, snapshot anggota grup privileged, hasil enforcement PAW, register jalur delegation, dan daftar pengecualian. Jangan mengklaim tier model “mencegah” kompromi. Model ini mengurangi peluang kredensial atau endpoint trust rendah mengendalikan plane trust tinggi saat kebijakan, jalur akses, dan pengecualian terus diverifikasi.
Siklus operasi
Review anggota grup Tier 0 setelah perubahan role privileged, review kebijakan PAW setelah perubahan endpoint management, dan review delegation setiap layanan diperkenalkan atau dipindahkan. Korelasikan perubahan direktori dengan telemetry sign-in dan ticket. Reviewer harus dapat menelusuri setiap akun privileged ke satu tier, satu owner, satu kelas workstation yang diizinkan, dan satu tujuan administrasi terdokumentasi. Pisahkan akses break-glass, batasi ketat, uji melalui prosedur disetujui, lalu masukkan ke register Tier 0. Kegagalan uji tidak memerlukan demonstrasi eksploit: logon atau jalur delegation terlarang yang berhasil sudah cukup untuk containment, membuka remediasi, dan retest. Simpan referensi bukti, bukan salinan data kredensial. Siklus ini mendeteksi drift sebelum permission praktis berubah menjadi jalur control plane permanen.
Validasi jalur administrasi
Review anggota grup perlu, tetapi tidak membuktikan jalur akses benar-benar dapat dipakai. Dari PAW terkendali, gunakan akun uji Tier 0 yang disetujui untuk mengakses permukaan administrasi yang dituju; dari workstation Tier 2, ulangi hanya percobaan autentikasi aman dan catat deny. Simpan identitas, nama perangkat, target, hasil kebijakan, dan correlation ID. Untuk delegation direktori, ekspor ACL relevan lalu gunakan query LDAP read-only pada OU bernama. Bandingkan memberOf, ekspansi nested group, dan hak delegasi dengan register tier. Principal yang tercapai melalui grup support bertingkat tetap jalur privileged walau bukan anggota Domain Admin langsung. Catat jalur, owner kontrol, dan syarat retest sebelum akses dihapus.