In het contoso.com-domein (FFL: Windows Server 2016) bestaan twee fine-grained password policies: PSO_User (msDS-PasswordSettingsPrecedence=10) wordt direct toegepast op gebruiker Alice, en PSO_GG (msDS-PasswordSettingsPrecedence=20) wordt toegepast op de globale beveiligingsgroep GG_Sales. Alice is lid van GG_Sales. Beveiliging vereist dat de groepsgebaseerde PSO_GG de effectieve wachtwoordpolicy voor Alice wordt zonder de directe PSO-toewijzing te verwijderen. Je moet ook de resulterende PSO voor Alice verifiëren. Welke twee acties moet je uitvoeren?

De correcte antwoorden zijn het verlagen van de msDS-PasswordSettingsPrecedence-waarde van PSOGG en het uitvoeren van Get-ADUserResultantPasswordPolicy -Identity Alice. Fine-grained password policies (FGPPs) worden toegepast op basis van de msDS-PasswordSettingsPrecedence-waarde. De policy met de laagste numerieke waarde krijgt voorrang. Om PSOGG (precedentie 20) voorrang te geven boven PSOUser (precedentie 10) voor Alice, moet de precedentiewaarde van PSOGG lager worden gemaakt dan 10. Om de effectieve wachtwoordpolicy voor een gebruiker te verifiëren, gebruik je de PowerShell-cmdlet Get-ADUserResultantPasswordPolicy -Identity <gebruikersnaam. Dit commando toont welke FGPP daadwerkelijk van toepassing is op de opgegeven gebruiker. Het koppelen van PSOGG aan een OU overschrijft de directe PSO niet, omdat directe toewijzingen en groepslidmaatschappen voorrang hebben op OU-toewijzingen bij FGPP's. Er is geen ingebouwde groep die groepsgebaseerde PSO's directe PSO's laat overschrijven; de precedentiewaarde is de bepalende factor.