用途
Windows Infrastructure Admin 提供 Windows Server 与企业级管理专长，重点覆盖 Active Directory、混合身份与 PowerShell 自动化，用于管理企业 Windows 环境，涉及组策略、Intune 与整体基础设施管理。
主要能力
- Active Directory 管理：管理 AD 林、域与信任关系；实施用户与组的生命周期管理；配置组织单位与委派；排查身份验证与复制问题。
- 组策略管理：创建和管理用于安全设置的 GPO；实施安全基线与 CIS 基准；排查策略应用问题；管理策略首选项与筛选。
- PowerShell 自动化：编写管理用 PowerShell 脚本；自动化用户预配与报表；使用模块管理 Active Directory；实现错误处理与日志记录。
- 混合身份：配置 Entra ID Connect 进行同步；管理混合身份场景；实施条件访问策略；通过 Intune 管理设备注册。
使用方式（资料中给出的工作流与模式）
混合身份设置（Entra ID Connect）流程：
- 先决条件：使用 IdFix 工具清理 AD；在 Azure 门户中验证域。
- 安装 Azure AD Connect：选择密码哈希同步（PHS）；启用单点登录（SSO）。
- 筛选：按 OU 筛选（仅同步 User_OU，排除 Admin_OU 与 Service_Accounts）。
- 验证：检查 Synchronization Service Manager；在 Azure 门户中确认用户显示为“Directory Synced: Yes”。
分层管理模式（防止凭据窃取，如 Pass-the-Hash）：
- Tier 0（身份）：Domain Admins，只能登录域控制器。
- Tier 1（服务器）：Server Admins，可登录应用服务器。
- Tier 2（工作站）：Helpdesk，可登录工作站。
- 规则：较低层级不能登录较高层级的资产。
DFS 命名空间模式（文件共享）：
- 不推荐：映射 \Server01\Share，若 Server01 故障则链接中断。
- 推荐：映射 \corp.com\Data\Share；\corp.com\Data 是 DFS 命名空间，指向 \Server01\Share（目标），迁移到 \Server02 对用户不可见。
JEA（Just Enough Administration）模式：允许 Helpdesk 重置密码而无需成为 Domain Admins。资料给出的角色能力文件（.psrc）示例：
# Role Capability File (.psrc)
VisibleCmdlets = @{
'Set-ADAccountPassword' = @{ Parameters = @{ Name = 'Identity' } }
'Unlock-ADAccount' = @{ Parameters = @{ Name = 'Identity' } }
}
适用场景（资料中的示例）
- AD 迁移到混合身份：设计 Azure AD Connect 同步拓扑、实施密码哈希同步、配置无缝单点登录、设置条件访问策略、创建混合加入证书。
- GPO 安全加固：分析现有 GPO 环境、创建安全基线 GPO、实施密码策略（NIST 指南）、配置防火墙与 BitLocker 策略、设置审核日志。
- Intune 注册自动化：为远程员工配置 Autopilot 零接触部署、创建注册状态屏幕策略、部署安全设置配置配置文件、设置条件访问策略、创建自助 BitLocker 恢复。
最佳实践（资料列出）
- Active Directory：定期 dcdiag 与 repadmin 健康检查；每日系统状态备份并测试还原；管理员账户与普通账户分离；定期清理陈旧对象。
- 组策略：先在试点中测试 GPO；记录 GPO 用途与设置；恰当使用安全筛选；每年审查与清理 GPO。
- PowerShell 自动化：完整的 try/catch/finally 错误处理；创建可复用模块；记录所有自动化活动；生产使用前测试脚本。
- 安全：快速补丁部署（30 天内）；对所有管理访问强制 MFA；启用高级审核日志；使用 LAPS 管理本地管理员密码。
- 混合身份：监控 Azure AD Connect 同步健康；对云访问强制条件访问策略；启用禁用密码列表；定期进行访问审查。
限制与不适用场景
资料明确列出以下情况不应调用本技能：
- 排查物理硬件故障 → 使用 network-engineer（若为网络问题）或厂商支持。
- 管理 Linux 服务器 → 使用 linux-admin（若可用）或 devops-engineer。
- 开发 .NET 应用 → 使用 csharp-developer。
- 配置云原生 Azure 资源（VM、VNet）→ 使用 azure-infra-engineer。
集成模式（资料列出）
- azure-infra-engineer：Windows 管理员管理本地 AD，Azure 工程师设置 Entra ID Connect；通过 VPN 将 AD 扩展到 Azure（IaaS DC）；工具为 Azure Active Directory。
- security-auditor：审计员请求“用户访问审查”，Windows 管理员运行组成员身份的 PowerShell 报表；协作执行密码策略与 MFA；工具为 AD Audit Plus、Splunk。
- network-engineer：网络工程师设置 VLAN，Windows 管理员配置 DHCP 作用域/IP Helper；协作处理 DNS 解析（拆分脑 DNS）；工具为 IPAM。
暂未提供的信息
资料未提供该技能的收费、价格、具体平台支持范围、安装命令或部署步骤等细节。