W domenie contoso.com (FFL: Windows Server 2016) istnieją dwie szczegółowe zasady haseł (fine-grained password policies): PSO_User (msDS-PasswordSettingsPrecedence=10) jest bezpośrednio przypisana do użytkownika Alice, a PSO_GG (msDS-PasswordSettingsPrecedence=20) jest przypisana do globalnej grupy zabezpieczeń GG_Sales. Alice jest członkiem GG_Sales. Wymagania bezpieczeństwa nakazują, aby grupowa zasada PSO_GG stała się efektywną zasadą haseł dla Alice, bez usuwania bezpośredniego przypisania PSO. Musisz również zweryfikować wynikową zasadę PSO dla Alice. Które dwie czynności należy wykonać?

Prawidłowe odpowiedzi to: Zmniejsz wartość msDS-PasswordSettingsPrecedence dla PSOGG tak, aby była mniejsza niż 10, aby PSOGG miało pierwszeństwo oraz Uruchom Get-ADUserResultantPasswordPolicy -Identity Alice z zarządzającej stacji roboczej przyłączonej do domeny. W Windows Server, zasady haseł szczegółowych (Fine-Grained Password Policies - FGPP) są stosowane na podstawie atrybutu msDS-PasswordSettingsPrecedence. Niższa wartość tego atrybutu oznacza wyższy priorytet. Aby PSOGG stała się efektywną zasadą dla Alice, mimo bezpośredniego przypisania PSOUser, należy zmienić jej priorytet na niższy niż 10 (np. 5). Polecenie Get-ADUserResultantPasswordPolicy -Identity Alice jest używane do weryfikacji, która zasada haseł jest faktycznie stosowana do danego użytkownika, co jest kluczowe po wprowadzeniu zmian. Pozostałe opcje są nieprawidłowe: Połączenie PSO z jednostką organizacyjną (OU) nie ma wpływu na FGPP, ponieważ są one przypisywane bezpośrednio do użytkowników lub grup, a nie do OU. Nie ma wbudowanej grupy, która zmienia logikę pierwszeństwa FGPP.