Sie müssen sicherstellen, dass Mitglieder der Gruppe „Domain Admins“ sich nur an zwei privilegierten Zugriffs-Workstations (PAW1 und PAW2) authentifizieren können und nicht an anderen Computern in der Domäne. Die Gesamtstruktur-Funktionsebene ist Windows Server 2012 R2, und alle DCs sind Windows Server 2019. Was sollten Sie konfigurieren, um die Anforderung mit zentralisierter Durchsetzung zu erfüllen?

Die Erstellung einer Authentifizierungsrichtlinie und eines Authentifizierungsrichtlinien-Silos ist die korrekte Methode zur zentralisierten Durchsetzung von Anmeldebeschränkungen für privilegierte Konten in einer Domäne. Diese Funktion, die mit Windows Server 2012 R2 eingeführt wurde, ermöglicht es, genau zu definieren, von welchen Computern sich bestimmte Benutzer oder Gruppen anmelden dürfen. Indem Sie die Domain Admins dem Silo hinzufügen und PAW1 und PAW2 als zulässige Computer festlegen, stellen Sie sicher, dass Anmeldeversuche von anderen Computern blockiert werden. Die Option, ein GPO zu verknüpfen, um die lokale Anmeldung oder den Netzwerkzugriff zu verweigern, ist nicht zentralisiert und müsste auf alle Nicht-PAW-Computer angewendet werden, was aufwändig und fehleranfällig wäre. Eine detaillierte Kennwortrichtlinie ist für Kennwortanforderungen und nicht für Anmeldebeschränkungen zuständig. Der Modus „Eingeschränkter Administrator“ für RDP betrifft nur RDP-Sitzungen und nicht alle Anmeldearten, und er würde die Anforderung nicht global durchsetzen.