Sua organização adota um modelo de camadas do AD: Camada 0 (DCs, serviços de nível de floresta), Camada 1 (servidores/aplicativos membros) e Camada 2 (estações de trabalho de usuários). Você deve evitar que as credenciais de administrador da Camada 0 sejam expostas em dispositivos da Camada 1 e Camada 2 e garantir o isolamento de credenciais entre as camadas. Quais duas ações se alinham com o modelo?

Emitir contas administrativas separadas por camada e exigir que os administradores da Camada 0 usem apenas PAWs da Camada 0 para administração de DC é correto porque o modelo de camadas do AD exige isolamento de credenciais. Contas separadas e estações de trabalho de administração privilegiada (PAWs) dedicadas para a Camada 0 evitam que credenciais de alto privilégio sejam expostas em camadas inferiores, reduzindo o risco de ataques de passagem de hash ou passagem de ticket. Configurar GPOs na Camada 1 e Camada 2 para negar 'logon local' e 'acessar este computador da rede' aos grupos de administradores da Camada 0 é correto porque impede que as contas de administrador da Camada 0 façam logon diretamente em dispositivos de camadas inferiores, reforçando o isolamento. Habilitar a delegação irrestrita é incorreto, pois cria um risco de segurança significativo ao permitir que serviços de camadas inferiores se passem por usuários de camadas superiores. Adicionar administradores da Camada 0 ao grupo Administradores local em servidores da Camada 1 é incorreto, pois expõe as credenciais da Camada 0 em uma camada inferior. Habilitar o modo RDP Restricted Admin para todos os servidores de salto e permitir que os administradores da Camada 0 se conectem a qualquer dispositivo é incorreto, pois o Restricted Admin não oferece isolamento suficiente para credenciais da Camada 0 em qualquer dispositivo.