Twoja organizacja przyjmuje model warstwowy AD: Warstwa 0 (kontrolery domeny, usługi na poziomie lasu), Warstwa 1 (serwery/aplikacje członkowskie) i Warstwa 2 (stacje robocze użytkowników). Musisz zapobiec ujawnieniu poświadczeń administratorów Warstwy 0 na urządzeniach Warstwy 1 i Warstwy 2 oraz zapewnić izolację poświadczeń między warstwami. Które dwie akcje są zgodne z tym modelem?

Prawidłowe odpowiedzi koncentrują się na izolacji poświadczeń, co jest kluczowe w modelu warstwowym. Wydanie oddzielnych kont administracyjnych dla każdej warstwy i wymaganie od administratorów Warstwy 0 używania wyłącznie stacji roboczych z uprzywilejowanym dostępem (PAW) Warstwy 0 do zarządzania kontrolerami domeny zapobiega narażeniu poświadczeń Warstwy 0 na mniej bezpiecznych urządzeniach Warstwy 1 i Warstwy 2. Konfiguracja GPO na Warstwie 1 i Warstwie 2, aby odmówić grupom administratorów Warstwy 0 uprawnień „log on locally” i „access this computer from the network”, również uniemożliwia administratorom Warstwy 0 bezpośrednie logowanie się do tych warstw, co dodatkowo chroni ich poświadczenia. Włączenie nieograniczonego delegowania na kontach administratorów Warstwy 0 jest niebezpieczne, ponieważ może prowadzić do kradzieży poświadczeń. Dodawanie administratorów Warstwy 0 do lokalnej grupy Administrators na serwerach Warstwy 1 narusza izolację warstw i zwiększa ryzyko eskalacji uprawnień. Włączenie trybu RDP Restricted Admin nie jest wystarczające, aby zapewnić pełną izolację, a zezwalanie administratorom Warstwy 0 na łączenie się z dowolnym urządzeniem jest sprzeczne z zasadami modelu warstwowego.