Ihre Organisation übernimmt ein AD-Tiering-Modell: Tier 0 (DCs, Dienste auf Forest-Ebene), Tier 1 (Member-Server/Anwendungen) und Tier 2 (Benutzer-Workstations). Sie müssen verhindern, dass Tier-0-Administratoranmeldeinformationen auf Tier-1- und Tier-2-Geräten offengelegt werden, und die Anmeldeinformationsisolation zwischen den Tiers sicherstellen. Welche zwei Aktionen stimmen mit dem Modell überein?

Die Ausgabe separater administrativer Konten pro Tier und die Anforderung, dass Tier-0-Administratoren nur Tier-0-PAWs (Privileged Access Workstations) für die DC-Administration verwenden, stellt sicher, dass Anmeldeinformationen der höchsten Stufe niemals auf weniger vertrauenswürdigen Geräten verwendet oder offengelegt werden. Dies ist ein Eckpfeiler des AD-Tiering-Modells. Das Konfigurieren von GPOs auf Tier 1 und Tier 2, um Tier-0-Administratorgruppen das „lokale Anmelden“ und den „Zugriff auf diesen Computer über das Netzwerk“ zu verweigern, verhindert, dass Tier-0-Anmeldeinformationen auf diesen niedrigeren Tiers verwendet werden, selbst wenn sie kompromittiert wären. Das Aktivieren der uneingeschränkten Delegierung oder das Hinzufügen von Tier-0-Administratoren zu lokalen Gruppen auf Tier-1-Servern würde das Tiering-Modell untergraben und die Isolation gefährden. Der RDP Restricted Admin Mode ist zwar nützlich, aber das Zulassen der Verbindung zu jedem Gerät würde die Isolationsprinzipien des Tiering-Modells verletzen.