Usted administra una OU llamada Tier0 que contiene controladores de dominio de Windows Server 2022 que se ejecutan en hardware físico. Todas las máquinas actualmente arrancan en modo BIOS heredado. Su equipo de seguridad requiere que Windows Defender Credential Guard esté habilitado y bloqueado para que los administradores locales no puedan deshabilitarlo. Implementará el cambio usando la Política de grupo. ¿Qué dos acciones debe realizar para cumplir con el requisito?

Para habilitar Credential Guard con bloqueo UEFI, los servidores deben arrancar en modo UEFI con Secure Boot habilitado y la virtualización de hardware con SLAT debe estar activada en el firmware. Credential Guard utiliza la seguridad basada en virtualización (VBS), que requiere estas características de hardware. Luego, debe configurar una GPO para "Activar la seguridad basada en virtualización" con la "Configuración de Credential Guard" establecida en "Habilitado con bloqueo UEFI" y el "Nivel de seguridad de la plataforma" en "Arranque seguro". El bloqueo UEFI evita que los administradores deshabiliten Credential Guard. Configurar RunAsPPL=1 solo habilita la protección LSA, no Credential Guard. Credential Guard no requiere la instalación del rol Hyper-V, aunque usa componentes de virtualización. La política "Permitir delegar credenciales guardadas con autenticación de servidor solo NTLM" no está relacionada con la habilitación de Credential Guard.