U moet ervoor zorgen dat leden van de groep Domain Admins alleen kunnen authenticeren op twee privileged access workstations (PAW1 en PAW2) en niet op een andere computer in het domein. Het forest functional level is Windows Server 2012 R2 en alle DC's zijn Windows Server 2019. Wat moet u configureren om aan de vereiste te voldoen met gecentraliseerde handhaving?

De correcte optie is het maken van een Authentication Policy en een Authentication Policy Silo. Dit is de aanbevolen methode voor het beperken van aanmeldingen van privileged accounts tot specifieke hosts, vooral in omgevingen met een forest functional level van Windows Server 2012 R2 of hoger en Windows Server 2012 R2 of hogere domeincontrollers. Authentication Policies bieden gecentraliseerde controle over hoe en waar serviceaccounts, gebruikersaccounts en computeraccounts kunnen authenticeren. De Authentication Policy Silo groepeert de privileged accounts en koppelt deze aan het beleid dat de toegestane broncomputers (PAW1 en PAW2) definieert. De andere opties zijn minder geschikt of onjuist: Het configureren van GPO's op domeinniveau voor 'Deny log on locally' en 'Deny access to this computer from the network' op alle niet-PAW-computers is complex en foutgevoelig, omdat het vereist dat u alle niet-PAW-computers identificeert en het beleid correct toepast en bijhoudt. Een fine-grained password policy is bedoeld voor wachtwoordinstellingen, niet voor het beperken van aanmeldingslocaties. Restricted Admin-modus voor RDP is gericht op het voorkomen van het doorgeven van referenties via RDP, niet op het beperken van waar een account zich kan aanmelden.