Você precisa garantir que os membros do grupo Domain Admins possam se autenticar apenas em duas estações de trabalho de acesso privilegiado (PAW1 e PAW2) e não em qualquer outro computador no domínio. O nível funcional da floresta é Windows Server 2012 R2, e todos os DCs são Windows Server 2019. O que você deve configurar para atender ao requisito com imposição centralizada?

A criação de uma Authentication Policy e um Authentication Policy Silo é a abordagem correta para impor restrições de logon centralizadas para contas de alto privilégio. O Silo de Política de Autenticação permite agrupar contas de usuário e computador e, em seguida, a Política de Autenticação restringe onde essas contas podem se autenticar. Ao adicionar os Domain Admins ao silo e especificar PAW1 e PAW2 como os únicos computadores permitidos, você garante que eles só possam fazer logon nesses dispositivos. As outras opções são incorretas: Configurar "Deny log on locally" e "Deny access to this computer from the network" via GPO é uma abordagem descentralizada e difícil de gerenciar em larga escala, além de não ser tão robusta quanto as políticas de autenticação. Uma política de senha granular (FGPP) controla as configurações de senha, não as restrições de logon. O modo Restricted Admin para RDP afeta como as credenciais são usadas durante uma sessão RDP, não onde as contas podem se autenticar inicialmente.