Su organización adopta un modelo de niveles de AD: Nivel 0 (DCs, servicios a nivel de bosque), Nivel 1 (servidores/aplicaciones miembro) y Nivel 2 (estaciones de trabajo de usuario). Debe evitar que las credenciales de administrador del Nivel 0 se expongan en dispositivos del Nivel 1 y Nivel 2, y asegurar el aislamiento de credenciales entre niveles. ¿Qué dos acciones se alinean con el modelo?

Emitir cuentas administrativas separadas por nivel y requerir que los administradores del Nivel 0 usen solo PAWs del Nivel 0 para la administración de DC es correcto porque el modelo de niveles de AD se basa en el principio de que las credenciales de un nivel superior nunca deben usarse en un nivel inferior. Las PAWs (Privileged Access Workstations) dedicadas al Nivel 0 garantizan que las credenciales más sensibles estén protegidas en un entorno seguro y aislado. Configurar GPOs en el Nivel 1 y Nivel 2 para denegar 'log on locally' y 'access this computer from the network' a los grupos de administradores del Nivel 0 es correcto porque impide que las credenciales del Nivel 0 se expongan o se utilicen en sistemas de niveles inferiores, reforzando el aislamiento de credenciales. Habilitar la delegación no restringida es incorrecto porque crea un riesgo de robo de credenciales (pass-the-hash) y va en contra del aislamiento. Agregar administradores del Nivel 0 a grupos locales del Nivel 1 es incorrecto porque expone las credenciales del Nivel 0 a sistemas de menor confianza. Habilitar el modo RDP Restricted Admin para que los administradores del Nivel 0 se conecten a cualquier dispositivo es incorrecto porque, si bien mejora la seguridad de RDP, permitir la conexión a cualquier dispositivo del Nivel 1 o 2 aún expone las credenciales del Nivel 0 a esos entornos.