Domain Admins グループのメンバーが、PAW1 と PAW2 の2つの特権アクセスワークステーション (PAW) にのみ認証でき、ドメイン内の他のコンピューターには認証できないようにする必要があります。フォレストの機能レベルは Windows Server 2012 R2 であり、すべての DC は Windows Server 2019 です。一元的な適用で要件を満たすには、何を構成する必要がありますか？

正しい選択肢は、認証ポリシーと認証ポリシーサイロを使用して、Domain Admins グループのメンバーが特定のワークステーションにのみ認証できるように制限する方法です。認証ポリシーサイロは、特定のユーザーアカウントを特定のコンピューターへの認証に制限するために設計されています。Domain Admin アカウントをサイロに追加し、PAW1 と PAW2 を許可されたコンピューターとして指定することで、この要件を一元的に満たすことができます。 他の選択肢は不適切です。 GPO で「ローカルでのログオンを拒否」や「ネットワークからのこのコンピューターへのアクセスを拒否」を設定する方法は、管理が複雑になり、意図しない影響を与える可能性があります。 きめ細かいパスワードポリシーはパスワードの複雑さや有効期間を管理するためのものであり、認証元のコンピューターを制限する目的には使用できません。 RDP の制限付き管理者モードは、RDP 接続時の資格情報の委任を制限するものですが、ドメイン全体の認証を制限するものではありません。