Votre organisation adopte un modèle de hiérarchisation AD : Tier 0 (contrôleurs de domaine, services au niveau de la forêt), Tier 1 (serveurs/applications membres) et Tier 2 (postes de travail des utilisateurs). Vous devez empêcher l'exposition des informations d'identification des administrateurs de Tier 0 sur les appareils de Tier 1 et Tier 2 et assurer l'isolation des informations d'identification entre les tiers. Quelles sont les deux actions qui s'alignent sur ce modèle ?

L'émission de comptes administratifs distincts par niveau et l'exigence que les administrateurs de Tier 0 utilisent uniquement des stations de travail d'administration privilégiées (PAW) de Tier 0 pour l'administration des contrôleurs de domaine est une pratique fondamentale de la hiérarchisation AD. Cela garantit que les informations d'identification les plus sensibles (Tier 0) ne sont jamais exposées sur des systèmes de niveaux inférieurs potentiellement compromis. Configurer des GPO sur Tier 1 et Tier 2 pour refuser la connexion locale et l'accès à cet ordinateur depuis le réseau aux groupes d'administrateurs de Tier 0 renforce l'isolement en empêchant explicitement l'utilisation des comptes de Tier 0 sur des systèmes de niveaux inférieurs. L'activation de la délégation non contrainte ou l'ajout d'administrateurs de Tier 0 aux groupes d'administrateurs locaux de Tier 1 compromettrait l'isolement. Le mode administrateur restreint RDP est utile pour la sécurité RDP, mais ne résout pas directement l'exposition des informations d'identification entre les niveaux.