增强的安全管理环境

增强的安全管理环境 (ESAE) 体系结构(通常称为红色林、管理林或强化林)是一种为 Windows Server Active Directory (AD) 管理员提供安全环境的方法。

Microsoft 针对使用此体系结构模式提出的建议已被新式特权访问策略快速现代化计划 (RAMP) 指导所取代,成为保护特权用户的默认推荐方法。 ESAE 强制管理林模式(本地或基于云)现被视为仅适用于以下所列例外情况的自定义配置。

如果已经拥有 ESAE,该怎么办?

对于已经部署此体系结构来增强安全性和/或简化多林管理的客户,如果正在按照设计和预期的方式操作 ESAE 实现,则无需紧急停用或替换该 ESAE 实现。 与任何企业系统一样,你应通过应用安全更新程序并确保软件位于支持生命周期内来维护软件。

此外,Microsoft 建议使用 ESAE/强制林的组织借助快速现代化计划 (RAMP) 指导采纳现代化特权访问策略。 此策略可以补充现有 ESAE 实现,并为不受 ESAE 保护的角色(包括 Azure AD 全局管理员、敏感业务用户和标准企业用户)提供适当的安全防护。 有关详细信息,请参阅保护特权访问安全级别一文。

为什么更改建议?

10 年前最初设计 ESAE 时,其重点是在本地环境中以 AD 作为本地标识提供者。 而 ESAE/强化林实现则侧重于保护 Windows Server Active Directory 管理员。

Microsoft 建议使用基于云的全新解决方案,原因在于你可以更快地部署这些解决方案,来保护更多管理和业务敏感角色和系统。

特权访问策略可为更多敏感用户提供保护和监视,同时提供递增低成本步骤来快速构建安全保障。

虽然对于特定用例仍然有效,但 ESAE 强化林实现的成本更高且更加难以使用,与基于云的全新解决方案相比,需要更多操作支持(这是体系结构的复杂本质所致)。 ESAE 实现仅用于保护 Windows Server Active Directory 管理员。 基于云的 特权访问策略 为一组更大的敏感用户提供保护和监视,同时提供增量的低成本步骤来快速构建安全保证。

有哪些有效的 ESAE 用例?

这种体系结构模式虽然不是主流建议,但在有限情况下是有效的。

在这些例外情况下,组织必须接受解决方案的技术复杂程度和运营成本不断增加的事实。 组织必须制定完善的安全计划,方可衡量风险、监视风险,并针对 ESAE 实现应用一致的操作严格程度。

某些示例情境包括:

  • 独立的本地环境 - 在这种环境中,离线研究实验室、关键基础结构或实用程序、断开的操作技术 (OT) 环境(如监督控制和数据采集 (SCADA)/工业控制系统 (ICS),以及完全依赖本地技术的公共部门客户)等云服务不可用。
  • 高度管制环境 - 行业或政府法规可能明确需要管理林配置。
  • 必须达到高安全保障级别 - 风险容忍度较低的组织愿意接受更高的解决方案复杂程度和运营成本。

注意

虽然 Microsoft 不建议针对大多数组织中的大多数方案继续采用独立的强制林模型,但 Microsoft 仍会在内部采用类似地体系架构(和关联的支持过程和人员),这是向全球各地的组织提供受信任的云服务面临极端安全要求所致。

后续步骤

评审特权访问策略快速现代化计划 (RAMP) 指导能否为特权用户提供安全环境。