U beheert een OU genaamd Tier0 die Windows Server 2022 domeincontrollers bevat die draaien op fysieke hardware. Alle machines booten momenteel in legacy BIOS-modus. Uw beveiligingsteam vereist dat Windows Defender Credential Guard wordt ingeschakeld en vergrendeld, zodat lokale beheerders het niet kunnen uitschakelen. U zult de wijziging implementeren met behulp van Groepsbeleid. Welke twee acties moet u uitvoeren om aan de vereiste te voldoen?

Credential Guard vereist specifieke hardware- en softwareconfiguraties. Ten eerste moeten de servers opstarten in UEFI-modus met Secure Boot ingeschakeld, en hardwarevirtualisatie (met SLAT) moet zijn ingeschakeld in de firmware. Dit biedt de noodzakelijke beveiligingsbasis voor Virtualization-Based Security (VBS). Ten tweede moet u een Groepsbeleidsobject (GPO) configureren om VBS in te schakelen, met Credential Guard ingesteld op "Enabled with UEFI lock" om te voorkomen dat lokale beheerders het uitschakelen, en het Platform Security Level ingesteld op "Secure Boot". Het instellen van RunAsPPL=1 in het register is voor LSA-beveiliging en is niet voldoende voor Credential Guard. De Hyper-V-rol is niet vereist op de domeincontrollers zelf voor Credential Guard. Het beleid "Allow delegating saved credentials with NTLM-only server authentication" is niet direct gerelateerd aan het inschakelen van Credential Guard.