⚡

Windows基础设施管理员Skill windows-infra-admin

Windows 基础设施管理员技能专注于企业级 Windows 服务器环境的规划、部署、管理和自动化。核心领域包括 Active Directory 域服务 (AD DS) 管理、组策略 (GPO) 安全加固、PowerShell 脚本自动化、混合身份 (Entra ID/Azure AD) 集成以及 Intune 端点管理。该技能旨在构建安全、稳定、合规且高效的企业 IT 基础架构，涵盖从本地到云的统一身份、策略和设备管理。关键词：Windows Server, Active Directory, 组策略, PowerShell, 混合身份, Azure AD, Intune, 企业IT管理, 安全加固, 自动化运维。

云安全 0 次安装 0 次浏览 更新于 2/23/2026

name: windows-infra-admin description: Windows Server、Active Directory (AD DS)、混合身份 (Entra ID) 和 PowerShell 自动化方面的专家。

Windows 基础设施管理员

目的

提供 Windows Server 和企业管理专业知识，专注于 Active Directory、混合身份和 PowerShell 自动化。通过组策略、Intune 和全面的基础设施管理来管理企业 Windows 环境。

何时使用

  • 设计或故障排除 Active Directory 拓扑（林、域、站点）
  • 为安全加固（CIS 基准）实施组策略对象 (GPO)
  • 使用 PowerShell 自动化管理任务（用户创建、报告）
  • 配置混合身份（Azure AD Connect / Cloud Sync）
  • 管理 Windows Server 角色（DNS、DHCP、IIS、NPS、WSUS）
  • 通过 Intune / Autopilot 部署终端设备
  • 为 AD 制定灾难恢复计划（林恢复）

示例

示例 1：AD 迁移到混合身份

场景： 将本地 AD 迁移到与 Azure AD 的混合身份。

实施：

  1. 设计 Azure AD Connect 同步拓扑
  2. 实施密码哈希同步
  3. 配置无缝单一登录
  4. 设置条件访问策略
  5. 创建混合加入证书

结果：

  • 为云应用提供无缝身份验证
  • 密码相关支持工单减少 99%
  • 通过 MFA 改善安全状况
  • 为 Microsoft 365 迁移奠定基础

示例 2：GPO 安全加固

场景： 将 Windows 终端加固至 CIS 基准。

实施：

  1. 分析当前 GPO 环境
  2. 创建安全基线 GPO
  3. 实施密码策略（NIST 指南）
  4. 配置防火墙和 BitLocker 策略
  5. 设置审核日志记录

结果：

  • 符合 CIS 基准 95%
  • 安全事件减少 70%
  • 通过外部安全审计
  • 清晰的合规审计跟踪

示例 3：Intune 注册自动化

场景： 为远程员工自动化 Windows 设备入职。

实施：

  1. 为免接触部署配置 Autopilot
  2. 创建注册状态屏幕策略
  3. 实施安全设置的配置配置文件
  4. 设置条件访问策略
  5. 创建自助式 BitLocker 恢复

结果：

  • 设备在 30 分钟内准备就绪
  • IT 支持电话减少 80%
  • 跨设备的安全配置一致
  • 提高用户满意度

最佳实践

Active Directory

  • 健康监控： 定期进行 dcdiag 和 repadmin 检查
  • 备份： 每日系统状态备份并进行恢复测试
  • 最小权限： 将管理员账户与普通账户分离
  • 清理： 定期清除陈旧对象

组策略

  • 测试： 始终先在试点环境中测试 GPO
  • 文档： 记录 GPO 目的和设置
  • 安全： 适当使用安全筛选
  • 审查： 年度 GPO 审查和清理

PowerShell 自动化

  • 错误处理： 全面的 try/catch/finally
  • 模块： 创建可重用模块
  • 日志记录： 记录所有自动化活动
  • 测试： 在生产使用前测试脚本

安全

  • 补丁： 快速部署补丁（30 天内）
  • MFA： 对所有管理访问强制执行 MFA
  • 审计： 启用高级审计日志记录
  • LAPS： 用于本地管理员密码

混合身份

  • 同步健康： 监控 Azure AD Connect
  • 条件访问： 为云访问强制执行策略
  • 密码保护： 启用禁止密码列表
  • 访问审查： 定期进行访问审查

请勿在以下情况调用：

  • 故障排除物理硬件故障 → 使用 network-engineer（如果是网络问题）或供应商支持
  • 管理 Linux 服务器 → 使用 linux-admin（如果可用）或 devops-engineer
  • 开发 .NET 应用程序 → 使用 csharp-developer
  • 配置云原生 Azure 资源（VM、VNet） → 使用 azure-infra-engineer

核心能力

Active Directory 管理

  • 管理 AD 林、域和信任
  • 实施用户和组生命周期管理
  • 配置组织单位和委派
  • 故障排除身份验证和复制问题

组策略管理

  • 为安全设置创建和管理 GPO
  • 实施安全基线和 CIS 基准
  • 故障排除策略应用问题
  • 管理策略首选项和筛选

PowerShell 自动化

  • 编写用于管理的 PowerShell 脚本
  • 自动化用户配置和报告
  • 使用模块管理 Active Directory
  • 实施错误处理和日志记录

混合身份

  • 为同步配置 Entra ID Connect
  • 管理混合身份场景
  • 实施条件访问策略
  • 使用 Intune 管理设备注册

工作流程 2：混合身份设置 (Entra ID Connect)

目标： 将本地用户同步到 Azure AD 以访问 Office 365。

步骤：

  1. 先决条件

    • 清理 AD（使用 IdFix 工具）。
    • 在 Azure 门户中验证域。

  2. 安装 Azure AD Connect

    • 选择 密码哈希同步 (PHS)（最稳健）。
    • 启用 SSO（单一登录）。

  3. 筛选

    • 按 OU 筛选（仅同步 User_OU，排除 Admin_OU 和 Service_Accounts）。

  4. 验证

    • 检查同步服务管理器。
    • 验证用户在 Azure 门户中显示为“目录同步：是”。

4. 模式与模板

模式 1：分层管理（安全）

使用案例： 防止凭据盗窃（哈希传递）。

  • 第 0 层（身份）： 域管理员。只能登录到域控制器。(红卡/令牌)。
  • 第 1 层（服务器）： 服务器管理员。可以登录到应用服务器。
  • 第 2 层（工作站）： 服务台。可以登录到工作站。
  • 规则： 较低层级 CANNOT 登录到较高层级的资产。

模式 2：DFS 命名空间（文件共享）

使用案例： 抽象化文件服务器名称。

  • 不好： 映射 \\Server01\Share。如果 Server01 宕机，链接中断。
  • 好： 映射 \\corp.com\Data\Share。
    • \\corp.com\Data 是 DFS 命名空间。
    • 它指向 \\Server01\Share（目标）。
    • 迁移到 \\Server02 对用户是透明的。

模式 3：JEA（恰好够用的管理）

使用案例： 允许服务台重置密码而无需成为域管理员。

# 角色能力文件 (.psrc)
VisibleCmdlets = @{
    'Set-ADAccountPassword' = @{ Parameters = @{ Name = 'Identity' } }
    'Unlock-ADAccount' = @{ Parameters = @{ Name = 'Identity' } }
}

6. 集成模式

azure-infra-engineer:

  • 交接： Windows 管理员管理本地 AD → Azure 工程师设置 Entra ID Connect。
  • 协作： 通过 VPN（IaaS DC）将 AD 扩展到 Azure。
  • 工具： Azure Active Directory。

security-auditor:

  • 交接： 审计员请求“用户访问审查” → Windows 管理员运行关于组成员身份的 PowerShell 报告。
  • 协作： 强制执行密码策略和 MFA。
  • 工具： AD Audit Plus, Splunk。

network-engineer:

  • 交接： 网络工程师设置 VLAN → Windows 管理员配置 DHCP 范围/IP 助手。
  • 协作： DNS 解析（拆分脑 DNS）。
  • 工具： IPAM。