在本地Windows Active Directory认证部署2FA层的优势及可解决的问题

• 完全兼容现有AD架构：不需要调整原有域控配置、组策略、用户权限体系，也不需要修改已完成AD集成的业务系统逻辑，仅在原有认证流程末尾追加二次校验步骤，改造成本和用户侧影响都极低
• 实现全场景2FA能力复用：所有基于AD认证的场景，包括终端域登录、VPN接入、Exchange邮箱、域内文件共享、业务系统单点登录等，都可以直接复用AD层的2FA能力，不需要各业务线单独开发二次认证功能，避免用户管理多套校验凭证的混乱问题
• 统一审计链路：2FA的认证成功、失败日志可以和原有AD认证日志打通存储，不需要单独收集各业务系统的二次认证日志，排查身份攻击、追溯未授权访问的效率大幅提升
• 适配Windows原生生态：支持和Windows Hello、U2F硬件密钥、域内智能卡等原生校验能力打通，不需要额外部署第三方客户端即可完成全量场景覆盖

• 阻断凭证泄露导致的未授权访问：就算用户AD密码被社工钓鱼、拖库、键盘记录窃取，没有二次校验的动态凭证（TOTP码、硬件密钥、生物校验信息等）也无法完成登录，可覆盖绝大多数弱口令、静态凭证泄露带来的风险
• 提升域内横向移动门槛：传统架构下攻击者拿到单个用户的AD凭证后，即可访问所有该用户权限范围内的业务系统、域内终端，加设2FA后每一次新的跨系统、跨终端认证请求都需要二次校验，大幅降低渗透攻击的扩散范围
• 规避高权限账号滥用风险：域管理员、业务系统管理员等特权AD账号的操作影响范围极大，2FA可强制高权限账号每次认证都必须校验二次凭证，避免权限被冒用、代登录、私下共享的问题
• 填补离线认证安全空白：以往脱离域控的离线终端仅需本地缓存的AD密码即可登录，支持离线校验的2FA方案（比如硬件安全密钥）可直接填补这个场景的安全缺口
• 快速满足合规要求：等保2.0、PCI-DSS、HIPAA等国内外合规规范均明确要求关键系统需采用多因素认证，AD层统一部署2FA可一次性满足所有对接AD的业务系统的合规要求，不需要逐个系统整改

内容的提问来源于stack exchange，提问作者David