Je domeincontrollers draaien Windows Server 2019. Beveiliging wil voorkomen dat helpdeskbeheerdersaccounts authenticeren met NTLM, credentialdelegatie blokkeren en Kerberos beperken tot sterke encryptie, terwijl de normale aanmelding behouden blijft. Wat moet je doen voor deze helpdeskaccounts? (Kies twee)

De Protected Users-beveiligingsgroep voorkomt NTLM-authenticatie, blokkeert credentialdelegatie en vermindert de levensduur van Kerberos-tickets, wat de beveiliging van gevoelige accounts verhoogt. Dit komt overeen met de vereisten om NTLM en delegatie te voorkomen. Het inschakelen van AES128HMACSHA1 en AES256HMACSHA1 Kerberos-encryptietypen en het afdwingen van een wachtwoordwijziging zorgt ervoor dat Kerberos alleen sterke encryptie gebruikt, wat een andere gestelde eis is. De optie 'Account is sensitive and cannot be delegated' voorkomt alleen delegatie, niet NTLM of zwakke Kerberos-encryptie. Het instellen van 'Network security: Restrict NTLM: Deny all' zou NTLM voor het hele domein uitschakelen, niet alleen voor de helpdeskaccounts, en kan onbedoelde gevolgen hebben. Het uitschakelen van Kerberos RC4-ondersteuning op domeincontrollers via GPO is een bredere instelling die de functionaliteit van oudere clients kan beïnvloeden en niet specifiek gericht is op de helpdeskaccounts.