该域使用 Microsoft Entra Connect 同步和 Entra Password Protection，并带有一个自定义禁用密码列表。在部署新的域控制器 (DC2) 后，自定义禁用列表的强制执行变得不一致。为确保在 DC2 上始终强制执行禁用密码列表，您应该在 DC2 上安装什么？

正确答案是安装 Microsoft Entra Password Protection DC 代理。Microsoft Entra Password Protection DC 代理是域控制器上运行的组件，用于强制执行自定义禁用密码列表。当新的域控制器部署后，必须在其上安装此代理以确保禁用密码列表的策略一致性。 安装 Microsoft Entra Password Protection 代理服务是错误的，因为此服务通常安装在成员服务器上，用于处理密码更改请求，而不是直接在域控制器上强制执行策略。 提供对特定 URL 的访问权限是确保代理能够与 Microsoft Entra ID 通信的必要条件，但它本身不是一个可安装的组件，也不能解决DC2上策略不一致的问题。 安装 Microsoft Entra 预配代理是错误的，因为它主要用于将本地 AD 用户和组同步到 Microsoft Entra ID，与密码保护无关。 安装 Azure Monitor Agent 是错误的，因为它用于收集日志和性能数据，与密码保护策略的强制执行无关。