Domain Admins 그룹의 구성원이 두 개의 권한 있는 액세스 워크스테이션(PAW1 및 PAW2)에만 인증할 수 있고 도메인의 다른 컴퓨터에는 인증할 수 없도록 해야 합니다. 포리스트 기능 수준은 Windows Server 2012 R2이고 모든 DC는 Windows Server 2019입니다. 중앙 집중식 적용으로 요구 사항을 충족하려면 무엇을 구성해야 합니까?

정답은 인증 정책 및 인증 정책 사일로를 생성하고, Domain Admin 계정을 사일로에 추가하고, PAW1 및 PAW2를 허용된 컴퓨터로 지정하고, 정책을 적용하는 것입니다. 이 방법은 Windows Server 2012 R2 이상에서 도입된 기능으로, 권한 있는 계정이 특정 호스트에만 인증하도록 제한하는 데 사용됩니다. 인증 정책 사일로는 특정 사용자 계정을 그룹화하고, 인증 정책은 해당 사일로의 계정이 로그온할 수 있는 컴퓨터를 정의합니다. 이 설정은 중앙 집중식으로 적용되며, 도메인 관리자가 PAW(권한 있는 액세스 워크스테이션)에만 로그인하도록 강제하여 "Pass-the-Hash" 공격과 같은 자격 증명 도용 공격의 위험을 줄입니다. 오답인 '로컬 로그온 거부' 및 '네트워크에서 이 컴퓨터 액세스 거부' GPO는 Domain Admins 계정이 다른 컴퓨터에 로그인하는 것을 막을 수 있지만, 이는 모든 비 PAW 컴퓨터에 대해 수동으로 구성해야 하며, 중앙 집중식 인증 정책만큼 효율적이고 안전하지 않습니다. 세분화된 암호 정책은 암호 복잡성 및 만료와 관련이 있으며 로그인 제한과는 무관합니다. 제한된 관리자 모드는 RDP 세션의 자격 증명 전달을 방지하지만, 계정이 로그인할 수 있는 컴퓨터를 직접 제한하지는 않습니다.