È necessario garantire che i membri del gruppo Domain Admins possano autenticarsi solo a due workstation ad accesso privilegiato (PAW1 e PAW2) e non a nessun altro computer nel dominio. Il livello di funzionalità della foresta è Windows Server 2012 R2 e tutti i DC sono Windows Server 2019. Cosa si dovrebbe configurare per soddisfare il requisito con l'applicazione centralizzata?

La creazione di una Authentication Policy e di un Authentication Policy Silo è la soluzione più appropriata e centralizzata per questo requisito. Le Authentication Policy, introdotte con Windows Server 2012 R2, consentono di limitare l'autenticazione degli account a specifici computer o risorse. Aggiungendo i membri del gruppo Domain Admins a un silo e specificando PAW1 e PAW2 come computer consentiti, si garantisce che questi account possano autenticarsi solo da quelle workstation, bloccando l'accesso da qualsiasi altro computer del dominio. Le altre opzioni sono meno efficaci o non soddisfano il requisito di centralizzazione e sicurezza: La configurazione di GPO per "Nega accesso locale" e "Nega accesso a questo computer dalla rete" sarebbe complessa da gestire su tutti i computer non-PAW e meno robusta per prevenire l'autenticazione. Una policy password granulare gestisce solo i requisiti delle password, non le restrizioni di accesso ai computer. La modalità Restricted Admin per RDP limita le credenziali passate, ma non impedisce l'autenticazione iniziale da un computer non autorizzato.