Vous devez vous assurer que les membres du groupe Administrateurs du domaine peuvent s'authentifier uniquement sur deux stations de travail à accès privilégié (PAW1 et PAW2) et non sur tout autre ordinateur du domaine. Le niveau fonctionnel de la forêt est Windows Server 2012 R2, et tous les contrôleurs de domaine sont Windows Server 2019. Que devez-vous configurer pour répondre à l'exigence avec une application centralisée ?

La création d'une politique d'authentification et d'un silo de politique d'authentification est la solution la plus appropriée et centralisée pour restreindre l'authentification des administrateurs de domaine à des ordinateurs spécifiques. Cette fonctionnalité, introduite avec Windows Server 2012 R2, permet de définir précisément où les comptes privilégiés peuvent s'authentifier. En ajoutant les comptes d'administrateur de domaine au silo et en spécifiant PAW1 et PAW2 comme ordinateurs autorisés, vous garantissez que ces comptes ne peuvent s'authentifier que sur ces machines. Les autres options sont moins efficaces ou ne répondent pas entièrement à l'exigence : Lier une GPO avec "Refuser l'ouverture de session locale" et "Refuser l'accès à cet ordinateur depuis le réseau" est une approche par déni qui peut être complexe à gérer et ne couvre pas toutes les méthodes d'authentification. Une politique de mot de passe à grain fin gère la complexité et l'expiration des mots de passe, pas les restrictions d'authentification des comptes. Le mode Administrateur restreint pour RDP restreint l'utilisation des informations d'identification sur l'ordinateur cible, mais ne limite pas l'endroit où un compte peut s'authentifier initialement.