No domínio contoso.com (FFL: Windows Server 2016), existem duas políticas de senha de granularidade fina: PSO_User (msDS-PasswordSettingsPrecedence=10) é aplicada diretamente ao usuário Alice, e PSO_GG (msDS-PasswordSettingsPrecedence=20) é aplicada ao grupo de segurança global GG_Sales. Alice é membro de GG_Sales. A segurança exige que a PSO_GG baseada em grupo se torne a política de senha efetiva para Alice sem remover a atribuição direta da PSO. Você também precisa verificar a PSO resultante para Alice. Quais duas ações você deve realizar?

A precedência de uma Política de Senha Granular (PSO) é determinada pelo atributo msDS-PasswordSettingsPrecedence. Um valor numérico mais baixo indica maior precedência. Para que a PSOGG tenha precedência sobre a PSOUser, que tem msDS-PasswordSettingsPrecedence=10, o valor de msDS-PasswordSettingsPrecedence da PSOGG deve ser diminuído para um número menor que 10. A atribuição direta de uma PSO a um usuário sempre tem precedência sobre uma PSO atribuída a um grupo, a menos que a PSO baseada em grupo tenha uma precedência explicitamente configurada para ser superior. Para verificar a PSO resultante aplicada a um usuário, o cmdlet Get-ADUserResultantPasswordPolicy é a ferramenta correta. Vincular a PSOGG a uma OU não alteraria a precedência, pois PSOs não são aplicadas via GPOs e não seguem a hierarquia de OU da mesma forma. Não existe um grupo interno que altere o comportamento de precedência de PSOs.