Debe asegurarse de que los miembros del grupo Domain Admins puedan autenticarse solo en dos estaciones de trabajo de acceso privilegiado (PAW1 y PAW2) y no en ningún otro equipo del dominio. El nivel funcional del bosque es Windows Server 2012 R2 y todos los DC son Windows Server 2019. ¿Qué debe configurar para cumplir el requisito con una aplicación centralizada?

La creación de una política de autenticación (Authentication Policy) y un silo de política de autenticación (Authentication Policy Silo) es la solución más adecuada y centralizada para restringir el inicio de sesión de los miembros de Domain Admins a equipos específicos (PAW1 y PAW2). Esta característica de Active Directory, disponible desde Windows Server 2012 R2, permite controlar dónde pueden autenticarse las cuentas de usuario y equipo. Al añadir las cuentas de Domain Admins al silo y especificar los PAW como equipos permitidos, se aplica la restricción de forma efectiva y gestionable. Las otras opciones son incorrectas porque: Configurar GPO para "Deny log on locally" y "Deny access to this computer from the network" requeriría una gestión compleja y descentralizada en todos los equipos que NO son PAW, siendo propenso a errores. Las políticas de contraseñas de grano fino (FGPP) gestionan la complejidad y caducidad de las contraseñas, no las restricciones de inicio de sesión. El modo Restricted Admin para RDP es una medida de seguridad para proteger las credenciales durante las sesiones RDP, no para restringir el inicio de sesión a equipos específicos.