Вы управляете OU под названием Tier0, которое содержит контроллеры домена Windows Server 2022, работающие на физическом оборудовании. Все машины в настоящее время загружаются в режиме устаревшего BIOS. Ваша команда безопасности требует, чтобы Windows Defender Credential Guard был включен и заблокирован, чтобы локальные администраторы не могли его отключить. Вы будете развертывать изменение с помощью групповой политики. Какие два действия вы должны выполнить, чтобы удовлетворить требование?

Для включения Credential Guard необходимы две основные конфигурации. Во-первых, физическое оборудование должно поддерживать и использовать UEFI с Secure Boot, а также иметь включенную аппаратную виртуализацию с SLAT (Second Level Address Translation) в прошивке. Это обеспечивает необходимую базовую безопасность и изоляцию. Во-вторых, в групповой политике необходимо включить "Turn On Virtualization Based Security", установить для Credential Guard Configuration значение "Enabled with UEFI lock" (чтобы предотвратить отключение локальными администраторами) и для Platform Security Level значение "Secure Boot". Включение защиты LSA (RunAsPPL=1) является отдельной мерой безопасности, не связанной напрямую с Credential Guard. Установка роли Hyper-V не требуется для Credential Guard, так как она использует функции виртуализации, встроенные в Windows, а не полную роль Hyper-V. Политика "Allow delegating saved credentials with NTLM-only server authentication" не имеет отношения к включению Credential Guard.