Musisz upewnić się, że członkowie grupy Administratorzy Domeny (Domain Admins) mogą uwierzytelniać się tylko na dwóch stacjach roboczych z uprzywilejowanym dostępem (PAW1 i PAW2), a nie na żadnym innym komputerze w domenie. Poziom funkcjonalności lasu to Windows Server 2012 R2, a wszystkie kontrolery domeny to Windows Server 2019. Co należy skonfigurować, aby spełnić wymagania z scentralizowanym wymuszaniem?

Prawidłowa odpowiedź to utworzenie zasad uwierzytelniania i silosu zasad uwierzytelniania. Zasady uwierzytelniania (Authentication Policies) w połączeniu z silosami zasad uwierzytelniania (Authentication Policy Silos) są mechanizmem Active Directory, który pozwala na precyzyjne ograniczenie, gdzie konta uprzywilejowane mogą się uwierzytelniać. Można w nich określić, że członkowie grupy Administratorzy Domeny mogą logować się tylko na określonych komputerach (PAW1 i PAW2), co jest zgodne z zasadą "clean source" dla kont uprzywilejowanych. Poziom funkcjonalności lasu Windows Server 2012 R2 i kontrolery domeny Windows Server 2019 wspierają tę funkcjonalność. Pozostałe opcje są nieprawidłowe: Konfiguracja GPO "Odmów logowania lokalnego" i "Odmów dostępu do tego komputera z sieci" byłaby trudna do zarządzania i mogłaby prowadzić do nieprzewidzianych problemów, a także nie jest to scentralizowane wymuszanie oparte na tożsamości. Szczegółowe zasady haseł (fine-grained password policy) dotyczą złożoności i cyklu życia haseł, a nie ograniczeń logowania. Tryb Restricted Admin dla RDP dotyczy uwierzytelniania RDP i nie zapewnia kompleksowego ograniczenia logowania dla wszystkich scenariuszy uwierzytelniania w domenie.