您管理一個名為 Tier0 的 OU，其中包含在實體硬體上執行的 Windows Server 2022 網域控制器。所有機器目前都以舊版 BIOS 模式開機。您的安全團隊要求啟用並鎖定 Windows Defender Credential Guard，以便本機管理員無法停用它。您將使用群組原則部署變更。您必須執行哪兩項操作才能滿足要求？

Windows Defender Credential Guard 需要特定硬體和軟體配置。啟用並鎖定 Credential Guard 的先決條件包括：伺服器必須使用 UEFI 韌體和安全開機啟動，並且在韌體中啟用具有 SLAT（第二層位址轉譯）的硬體虛擬化。這些是 Credential Guard 運作所必需的底層安全性功能。此外，您必須在群組原則物件 (GPO) 中啟用「開啟虛擬化型安全性」，並將 Credential Guard 設定為「已啟用並鎖定 UEFI」，將平台安全性層級設為「安全開機」。這確保了 Credential Guard 被強制執行且無法被本機管理員停用。僅設定 RunAsPPL=1 只能啟用 LSA 保護，但不足以啟用 Credential Guard。Credential Guard 不需要安裝 Hyper-V 角色，它是一個獨立的虛擬化型安全性功能。啟用「允許使用僅限 NTLM 伺服器驗證委派儲存的憑證」與 Credential Guard 的啟用無關。