![身份验证域的最佳实践](https://linux22.com/image/666297/%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E5%9F%9F%E7%9A%84%E6%9C%80%E4%BD%B3%E5%AE%9E%E8%B7%B5.png)
我们正在部署需要用户名/密码登录的 Web 应用程序。我们还在管理支持 Web 应用程序的基础设施。
我已经研究过,但无法找到任何与最佳实践相关的资源,以确定这些帐户是否应该成为单独的身份验证域的一部分。
我正在寻找任何能够说明客户端服务(Web 应用程序)和基础设施管理使用相同身份验证域所带来的风险的文档。
我担心的风险是,如果客户端服务身份验证被黑客入侵,攻击者可能会获得基础设施管理员的凭证。从那里,攻击者可以控制整个基础设施,而不仅仅是客户端服务(Web 应用程序)。
如果我们有两个不同的身份验证域(没有共享的帐户信息),那么这种风险就会大大降低。有没有最佳实践文档可以说明这一点?
编辑 该信息不必特定于 MS AD 或 LDAP,它是关于帐户类型/目的分离的更一般的信息。