물리적 하드웨어에서 실행되는 Windows Server 2022 도메인 컨트롤러를 포함하는 Tier0이라는 OU를 관리합니다. 모든 머신은 현재 레거시 BIOS 모드로 부팅됩니다. 보안 팀은 로컬 관리자가 비활성화할 수 없도록 Windows Defender Credential Guard를 활성화하고 잠글 것을 요구합니다. 그룹 정책을 사용하여 변경 사항을 배포할 것입니다. 요구 사항을 충족하기 위해 수행해야 하는 두 가지 작업은 무엇입니까?

Windows Defender Credential Guard를 사용하려면 가상화 기반 보안(VBS)이 필요하며, 이는 UEFI 펌웨어, 보안 부팅(Secure Boot), 그리고 SLAT(Second Level Address Translation)를 포함한 하드웨어 가상화 기능을 요구합니다. 따라서 서버를 UEFI 및 Secure Boot 모드로 재구성하고 펌웨어에서 SLAT가 활성화되어 있는지 확인하는 것이 필수적입니다. 이 설정이 완료되면, 그룹 정책에서 "가상화 기반 보안 켜기"를 활성화하고 Credential Guard를 "UEFI 잠금으로 사용"으로 구성하며, 플랫폼 보안 수준을 "보안 부팅"으로 설정하여 Credential Guard를 활성화하고 로컬 관리자가 비활성화할 수 없도록 잠글 수 있습니다. 다른 옵션들은 Credential Guard 요구 사항을 충족하지 못합니다. HKLM\SYSTEM\CurrentControlSet\Control\Lsa에서 RunAsPPL=1을 설정하는 것은 LSA 보호를 활성화하지만 Credential Guard 자체를 활성화하지는 않습니다. Hyper-V 역할은 Credential Guard에 필수는 아니며, Credential Guard는 Hyper-V 없이도 작동할 수 있습니다. "NTLM 전용 서버 인증으로 저장된 자격 증명 위임 허용" 정책은 Credential Guard와 직접적인 관련이 없습니다.