关于Active Directory中限制Domain Administrator访问权限及保护高管凭证的最佳实践与解决方案问询

各位前辈好，我正在研究域和Active Directory环境安全的最佳实践，核心聚焦在限制域管理员（Domain Administrator）的访问权限上——我的目标是：让拥有域管理员权限的人员，无法随意修改甚至访问公司高管的账户凭证（这些高管账户可能是域管理员账户，也可能是普通域账户，但都关联着内部涉密应用的访问权限，毕竟域认证是访问这些应用的关键）。

我想了解从技术方案、管理策略，甚至IT部门与高管层达成共识的流程层面，都有哪些可行的落地方式。

目前我自己调研下来，已经找到了几个方向：

• 最常见的是部署身份与访问管理（IAM）系统，其中会整合特权访问管理（PAM）和特权身份管理（PIM）模块，用来管控高权限账户的使用场景和操作范围
• 另外还有**权限分层（Tiering Approach）**的方案，不过这块我还没完全理清实操细节，想请教下大家具体怎么落地，还有没有其他值得关注的补充方案？

备注：内容来源于stack exchange，提问作者IT Researcher143