Você gerencia uma OU chamada Tier0 que contém controladores de domínio Windows Server 2022 executando em hardware físico. Todas as máquinas atualmente inicializam no modo BIOS legado. Sua equipe de segurança exige que o Windows Defender Credential Guard seja habilitado e bloqueado para que os administradores locais não possam desabilitá-lo. Você implantará a alteração usando a Política de Grupo. Quais duas ações você deve executar para atender ao requisito?

Para habilitar o Windows Defender Credential Guard, os servidores devem inicializar no modo UEFI com Secure Boot ativado, e a virtualização de hardware com SLAT (Second Level Address Translation) deve estar habilitada no firmware. Isso fornece a base de segurança necessária para o Credential Guard. Em seguida, uma GPO deve ser configurada para "Turn On Virtualization Based Security", com "Credential Guard Configuration" definido como "Enabled with UEFI lock" para impedir que administradores locais o desabilitem, e "Platform Security Level" como "Secure Boot". A opção de habilitar a proteção LSA com RunAsPPL=1 não é suficiente para o Credential Guard, pois é uma configuração separada para proteção de processos. A instalação da função Hyper-V não é um pré-requisito para o Credential Guard; ele usa tecnologias de virtualização, mas não exige a função Hyper-V instalada no host. A política de delegação de credenciais NTLM não está relacionada ao funcionamento do Credential Guard.