您需要確保 Domain Admins 群組的成員只能驗證到兩台特權存取工作站 (PAW1 和 PAW2)，而不能驗證到網域中的任何其他電腦。樹系功能等級是 Windows Server 2012 R2，所有 DC 都是 Windows Server 2019。您應該如何設定才能透過集中式強制執行來滿足此要求？

正確答案是建立驗證策略和驗證策略儲存桶，因為這是 Windows Server 中專為限制高權限帳戶登入特定資源而設計的功能。驗證策略儲存桶允許您將一組帳戶（例如 Domain Admins）與一個或多個驗證策略相關聯。驗證策略可以指定這些帳戶只能從特定的來源電腦（例如 PAW1 和 PAW2）進行驗證。這種方法提供了集中式的強制執行，並且是實現此類限制的最佳實踐。 其他選項不正確的原因： 在網域層級連結 GPO 並設定「拒絕本機登入」和「拒絕從網路存取這台電腦」會過於廣泛，可能影響 Domain Admins 在 PAW 上的合法登入，且難以精確排除 PAW 電腦。 建立細微密碼策略與限制登入來源無關，它主要用於設定不同的密碼和帳戶鎖定策略。 在 PAW1 和 PAW2 上啟用 RDP 的受限管理員模式與限制 Domain Admins 登入其他電腦無關，它主要用於防止憑證竊取攻擊。