Вам необходимо убедиться, что члены группы Domain Admins могут проходить аутентификацию только на двух рабочих станциях с привилегированным доступом (PAW1 и PAW2), а не на любом другом компьютере в домене. Уровень функциональности леса — Windows Server 2012 R2, и все контроллеры домена — Windows Server 2019. Что следует настроить для выполнения этого требования с централизованным применением?

Правильный ответ — создание политики аутентификации и хранилища политики аутентификации. Этот метод позволяет централизованно ограничить, с каких компьютеров члены группы Domain Admins могут входить в систему, что является ключевым требованием для обеспечения безопасности привилегированных учетных записей. Указание PAW1 и PAW2 как разрешенных компьютеров в политике аутентификации, примененной к хранилищу, содержащему учетные записи Domain Admins, эффективно блокирует вход с других машин. Привязка GPO на уровне домена для запрета входа в систему и доступа к компьютеру из сети для Domain Admins на всех компьютерах, не являющихся PAW, является непрактичной и сложной в управлении, так как требует постоянного обновления и может привести к непредвиденным блокировкам. Детализированная политика паролей не имеет отношения к ограничению входа в систему с определенных компьютеров. Включение режима Restricted Admin для RDP не решает проблему ограничения входа в систему с помощью других протоколов или локального входа.