用途：指导设计特权访问工作站（PAW）及微软特权访问策略，将高价值系统的管理员设备与浏览、邮件和任意应用隔离，落实“干净源”原则。
主要能力：按管理员层级选择设备配置——特权层（全局管理员、特权身份验证管理员、Tier 0 Azure Owner、域管理员、DC 操作员）使用专用加固设备，仅允许管理门户；专业层（Exchange、SharePoint、Intune、SQL DBA、Tier 1 Azure Contributor）允许受限生产力；企业层（服务台、Tier 2、只读角色）使用标准受管设备。提供企业访问模型分层、干净源原则、PAW 镜像构建（Entra 加入、Intune 管理、TPM 2.0+UEFI 安全启动、WDAC/AppLocker 白名单、Credential Guard、内存完整性、BitLocker、Defender for Endpoint ASR 阻止模式、禁入站 RDP、限制出站防火墙）、限制用户体验、通过条件访问（自定义属性设备筛选器）强制 Tier 0 仅从 PAW 登录、配合 PIM 与防钓鱼 MFA、先试点 5 台 PAW 等做法。
使用方式：先完成层级映射文档并统计 Tier 0 角色；按层级选择设备配置；审核 WDAC 为强制而非仅审计，确认 Credential Guard 运行；将条件访问策略从报告模式转为强制；用 What If 验证非 PAW 的 Tier 0 登录被阻止。
适用场景：保护可登录域控制器、修改条件访问或拥有 Azure 根订阅权限的账户。不适用于一般端点加固或设备合规基线。
限制与护栏：PAW 不得用于生产力（邮件、浏览、Teams）；不得使用共享本地账户；仅限防钓鱼 MFA；管理链（Intune 与镜像管道）本身须从 PAW 管理；PAW 用户不应有本地管理员权限；避免用 VDI 代替专用设备。资料未提供具体收费、价格或平台信息。