外墙砌完（防火墙、DMZ），安全的主战场转到服务器内部：目录服务器把全公司的账号、部门、权限管成一本"通讯录 + 身份证发放处"——一处登记、处处验证，离职删一号全网失效；访问控制再按"最小权限"决定谁能看什么。病毒防线同样讲纵深：邮件附件、网页下载、U 盘、共享文件夹是四个主入口，对应的四道防线是统一管理的杀毒、及时打补丁、最小权限账号、以及"来路不明不点"的制度。
7.1-7.5 立了资产分级与外围墙，本篇往里走一层：人是怎么被管的（目录服务器）、权限是怎么给的（访问控制）、病毒是怎么被挡的（纵深防御）。网络课 7.1 讲过"认证≠授权"——目录服务器正是把这句话变成日常基建的那台机器；4.8-4.12 的 SSO（一处验证发票通行）就是目录服务器的对外表现；4.1-4.3 文件服务器的"双层权限"也靠这本通讯录才能查到"这人是谁、哪个部门"。
一、目录服务器：全公司账号的统一登记处
想象一家 200 人的公司没有统一账号管理：邮件系统一个密码、文件服务器一个密码、打印系统一个密码，新员工入职要开 8 个账号，离职要挨个去删——漏删一个就是后门。目录服务器（典型如 Windows 的 Active Directory，底层协议 LDAP）就是解药：全公司的账号、组织架构、权限关系集中登记在一本"目录"里，其他所有系统都来这本目录查人、验人。
带来三个质变：
- 一次登录，处处通行——员工早上登录电脑验一次身份，之后访问文件服务器、打印机、业务系统都不用重复输密码（SSO 的地基，4.8-4.12 的老朋友）
- 权限跟着部门走——"设计部"组能看图纸目录、"财务部"组能碰账目——权限按组授权，不按 200 个账号逐个点
- 入职离职一步到位——账号开/删一次，全网同时生效；离职当天删号，所有系统的门同时关上
二、访问控制：认证之后才是重头戏
认证回答"你是谁"，访问控制回答"你能碰什么"——12 课 7.1 强调过的这对概念，在服务器内部落地成三道工序：
- 身份——目录服务器验明正身
- 授权——按组/按角色给权限，铁律是最小权限：只给干活必需的那点权限，多余的一律不给
- 审计——谁在什么时间动了什么，全部留痕（呼应 6.1-6.2：日志既是病历也是案底）
最小权限为什么是铁律？ 因为权限这东西发出去就收不回成本：给设计师开了整台服务器的管理员权限，他确实方便了，但他的账号一旦中毒、被骗，病毒就顶着管理员身份横扫全网——权限的大小，就是事故的半径。
三、病毒感染：四个入口与服务器的高危性
病毒不是从天上来的，主流就四个入口：
- 邮件附件——伪装成发票、简历、报价单（商业公司最容易中的招）
- 网页下载——挂着"免费工具"外衣的安装包
- U 盘等移动设备——内网物理隔离也拦不住人手一根的 U 盘
- 共享文件夹——一台中毒，全网共享目录跟着遭殃
服务器中毒为什么格外致命？ 三个放大器：它存着全体业务数据（加密勒索一锁就是全部）；它连着所有客户端（共享目录秒变传播器）；它常年开机（没人重启它，病毒运行得比谁都稳）。所以服务器的病毒防范从来不是"装个杀毒软件"一句话，而是纵深防御：
| 防线 | 做法 | 挡什么 |
|---|---|---|
| 统一杀毒 | 管理控制台装在服务器上，特征库统一推送、全员状态可查 | 已知病毒（怕的就是某台客户端没更新特征库） |
| 及时更新 | 系统补丁定期打（服务器打补丁要安排停机窗口） | 利用旧漏洞的攻击——旧漏洞是最大的大门 |
| 最小权限 | 日常操作不用管理员账号；服务器服务用专用低权账号跑 | 中毒后的破坏半径 |
| 制度 | 来路不明附件不点、U 盘先杀毒再插、外设接入报备 | 人为疏忽——防线的最后一环永远是人 |
四、常见误区
- "目录服务器就是存账号密码的硬盘"——它是活的验证中心 + 权限地图：查得到"这人是谁、哪个部门、能动什么"，还承担登录验证、组策略下发；挂了它全公司没人能登录，所以它自己要按高可用部署（预告 7.8 的容错）。
- "服务器装了杀毒软件就不会中毒"——特征库只认已见过的病毒；钓鱼邮件骗人手动运行、勒索软件加密文件用的是合法权限——所以杀毒只是四道防线之一，补丁、权限、制度缺一不可。
- "给员工都开管理员权限，省得天天喊 IT"——方便是真方便，出事也是真出事：一个钓鱼附件 + 管理员账号 = 全网沦陷；正确姿势是按需临时提权、用完收回。
- "内网隔离了，U 盘病毒进不来"——物理隔离挡的是网线，挡不住人手；带毒 U 盘插进内网机是"隔离网络"失守的经典剧本，所以隔离网络对外设管得更严而不是更松。
五、动手 Demo：检查自己电脑的"一本目录"
Windows 单机也内置了账号体系（目录服务器的家庭缩小版），用命令看一眼"谁有管理员权限"：
Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators
看到什么算成功：第一行列出本机账号（含系统自带的停用账号 Administrator/Guest——注意它们是 Enabled: False，这就是"默认拒绝"在账号层的体现）；第二行列出管理员组的成员——这个名单越短越安全，每多一个成员，事故半径就大一圈。
顺手验最小权限：whoami /groups | findstr "S-1-5-32-544"——没有任何输出行，说明你当前不是以管理员组身份在跑日常操作（对普通账号而言），这正是"日常不用管理员"的落地。
30 秒实验：net user 列一遍账号名，再想想每个账号是干嘛的——凡是你说不出用途的账号，都是潜在的后门。公司服务器上的目录账号同理：定期审一遍"还活着的账号还有没有主人"。
自测三问（点开对答案）
1. 目录服务器带来哪三个质变？——一次登录处处通行（SSO 地基）、权限按组授权、入职离职一步到位（删一号全网失效）。 2. 访问控制的三道工序？最小权限为什么是铁律？——认证（你是谁）→授权（最小权限）→审计（留痕）；权限大小＝事故半径，管理员账号中毒就是全网沦陷。 3. 服务器中毒为什么格外致命？四个主入口是什么？——数据全、连着所有客户端、常年开机；邮件附件、网页下载、U 盘、共享文件夹。- ☐ 7.8-7.12 故障应对与备份（容错、集群、RAID、UPS）
相关笔记
- 网络 7.1 身份认证 —— "认证≠授权"在目录服务器里落地
- 身份认证与业务系统 —— SSO 就是目录服务器的对外表现
- 共享三件套 —— 文件服务器的双层权限靠目录查人
- 安全的外围墙 —— 外墙砌完，本篇进内部
- 服务器处理与高速化处理 —— 审计留痕就是监控与日志那套