能否通过脚本从客户端向Active Directory发命令？GPO配置疑问

1. 能否通过脚本从客户端向Active Directory发送命令？ #

当然可以！只要满足几个关键条件，客户端就能通过脚本和AD交互：

• 客户端需要安装AD相关管理工具：比如Windows的RSAT（远程服务器管理工具）中的AD模块，或者直接安装PowerShell的Active Directory模块（执行命令 Install-WindowsFeature RSAT-AD-PowerShell）。
• 执行脚本的用户需要拥有AD对应权限：比如读取AD信息只需要域用户的默认权限，修改AD对象则需要更高权限（如账户创建/修改权限）。

给你几个常见的脚本示例：

• PowerShell查询AD用户：Get-ADUser -Filter * -Properties EmailAddress
• 用dsquery查找过期账户：dsquery user -stalepwd 30
• LDIFDE导出AD对象：ldifde -f export.ldf -d "DC=contoso,DC=com"

2. 客户端向AD发送命令是否可行？如何禁用该权限？ #

默认情况下，普通域用户确实拥有一定的AD访问权限（比如读取大部分AD对象属性、修改自身账户信息），所以默认是允许客户端发送部分AD命令的。要禁用或限制这类操作，可以从权限控制和工具限制两个方向入手：

方法一：直接修改AD对象权限 #

1. 打开「Active Directory用户和计算机」（ADUC），右键目标域或OU，选择「属性」→「安全」标签→「高级」。
2. 在「权限」列表中找到需要限制的用户/组，点击「编辑」。
3. 取消不必要的权限：比如创建所有子对象、修改所有属性、写入等，仅保留必要的「读取」权限（如果业务允许完全禁止，也可直接拒绝所有AD相关权限，但务必注意不要影响域服务正常运行）。
4. 可以用PowerShell快速审计当前权限：Get-Acl "AD://DC=yourdomain,DC=com" | Format-List Access

方法二：通过GPO限制AD相关工具使用 #

1. 编辑目标GPO，进入「用户配置」→「管理模板」→「系统」→「可执行文件的路径限制」，添加禁止运行的AD工具，比如powershell.exe（谨慎使用，会影响正常PowerShell操作）、dsquery.exe、ldp.exe等。
2. 也可使用「软件限制策略」：在GPO的「计算机配置」→「安全设置」→「软件限制策略」中，创建哈希规则或路径规则，禁止运行AD管理工具。

方法三：限制RSAT工具安装 #

通过GPO阻止客户端安装RSAT工具包：
编辑GPO，进入「计算机配置」→「策略」→「管理模板」→「Windows组件」→「Windows功能」，设置禁止安装RSAT相关的AD管理组件；如果使用WSUS，也可通过更新策略管控RSAT工具的推送。

注意：修改权限和GPO前一定要先在测试环境验证，避免误操作导致域服务异常。

内容的提问来源于stack exchange，提问作者Spyros Amvrakidis