Nel dominio contoso.com (FFL: Windows Server 2016) esistono due policy per password a granularità fine: PSO_User (msDS-PasswordSettingsPrecedence=10) è applicata direttamente all'utente Alice e PSO_GG (msDS-PasswordSettingsPrecedence=20) è applicata al gruppo di sicurezza globale GG_Sales. Alice è un membro di GG_Sales. La sicurezza richiede che la PSO_GG basata sul gruppo diventi la policy per password effettiva per Alice senza rimuovere l'assegnazione diretta della PSO. È inoltre necessario verificare la PSO risultante per Alice. Quali due azioni è necessario eseguire?

La precedenza delle Password Settings Object (PSO) è determinata dal valore msDS-PasswordSettingsPrecedence: un valore numerico inferiore indica una precedenza maggiore. Per fare in modo che PSOGG (precedenza 20) prevalga su PSOUser (precedenza 10) per Alice, è necessario abbassare il valore msDS-PasswordSettingsPrecedence di PSOGG a un numero inferiore a 10. Questo assicura che la PSO basata sul gruppo diventi effettiva. Per verificare la PSO risultante per Alice, si utilizza il cmdlet PowerShell Get-ADUserResultantPasswordPolicy -Identity Alice. Questo cmdlet calcola e mostra la PSO effettiva applicata a un utente specifico, tenendo conto di tutte le assegnazioni dirette e di gruppo e delle regole di precedenza. Le opzioni di collegare PSOGG a un'OU o aggiungere Alice a un gruppo predefinito non sono corrette perché le PSO non sono collegate alle OU come le GPO, né esiste un gruppo predefinito che alteri il comportamento di precedenza delle PSO in questo modo.