Vous gérez une unité d'organisation (OU) nommée Tier0 qui contient des contrôleurs de domaine Windows Server 2022 exécutés sur du matériel physique. Toutes les machines démarrent actuellement en mode BIOS hérité. Votre équipe de sécurité exige que Windows Defender Credential Guard soit activé et verrouillé afin que les administrateurs locaux ne puissent pas le désactiver. Vous allez déployer la modification à l'aide d'une stratégie de groupe. Quelles sont les deux actions que vous devez effectuer pour répondre à cette exigence ?

Pour activer Windows Defender Credential Guard, les serveurs doivent démarrer en mode UEFI avec Secure Boot activé et la virtualisation matérielle (SLAT) doit être activée dans le firmware. Credential Guard s'appuie sur la sécurité basée sur la virtualisation (VBS) pour isoler les secrets, ce qui nécessite ces prérequis matériels. Ensuite, une stratégie de groupe doit être configurée pour activer VBS et définir la configuration de Credential Guard sur "Enabled with UEFI lock" et le niveau de sécurité de la plateforme sur "Secure Boot". L'option "Enabled with UEFI lock" empêche les administrateurs locaux de désactiver Credential Guard. L'activation de la protection LSA via RunAsPPL=1 est une mesure de sécurité complémentaire mais ne remplace pas l'activation de Credential Guard. L'installation du rôle Hyper-V n'est pas nécessaire pour Credential Guard, car il utilise VBS, qui est une fonctionnalité distincte. La politique "Allow delegating saved credentials with NTLM-only server authentication" est sans rapport avec l'activation de Credential Guard.