User u1 phân quyền NTFS bị cấm truy xuất tới thư mục Data. Biết thư mục Data được chia sẻ cho nhóm Everyone với quyền Read. Lúc này u1 có quyền:

Tài khoản hạn chế, như tên gọi, có ít quyền hơn so với tài khoản quản trị. Trong các tùy chọn được cung cấp, chỉ có quyền đăng nhập vào hệ thống là phù hợp với tài khoản hạn chế. Các quyền như xóa tài khoản, thêm tài khoản mới hoặc sửa mật khẩu tài khoản khác thường dành cho tài khoản có quyền quản trị cao hơn.

Trong Active Directory (AD), "vật chứa" là các đối tượng có thể chứa các đối tượng khác. Trong các lựa chọn được đưa ra:

* Group: Được sử dụng để quản lý và gán quyền cho nhiều người dùng cùng một lúc, nhưng không phải là vật chứa theo nghĩa đen.
* OU (Organizational Unit): Là vật chứa chính trong AD, được sử dụng để tổ chức và quản lý các đối tượng như người dùng, nhóm, máy tính và các OU khác.
* Shared Folder: Mặc dù là thư mục dùng chung, nhưng trong ngữ cảnh AD, nó không được coi là một vật chứa theo định nghĩa của các đối tượng AD.
* Contact: Đại diện cho thông tin liên hệ, không phải là vật chứa.
* InetOrgPerson: Đại diện cho người dùng Internet Organization, một kiểu người dùng đặc biệt, không phải là vật chứa.
* MSMQ Queue Alias: Liên quan đến Message Queuing, không phải là vật chứa.

Như vậy, đáp án đúng nhất phải bao gồm Group, OU và Shared Folder. Tuy nhiên, cần lưu ý rằng Shared Folder không phải là object của AD mà là một tài nguyên mạng. Do đó đáp án chính xác nhất là Group, OU, Shared Folder, MSMQ Queue Alias, bởi vì MSMQ Queue Alias có thể chứa các message. Tuy nhiên, vì không có đáp án nào bao gồm cả OU và MSMQ Queue Alias mà không có các đối tượng khác, nên ta chọn đáp án gần đúng nhất là Group, OU, Shared Folder, bỏ qua việc Shared Folder không phải là object của AD và MSMQ Queue Alias không được đề cập trong hình.

Tuy nhiên, cần phải nói rõ rằng câu hỏi này không hoàn toàn chính xác vì Shared Folder không phải là object của AD, và các object khác như Contact, InetOrgPerson không phải là vật chứa.

Khi tùy chọn 'Limit local account use of blank passwords to console logon only' được bật (Enable), nó ngăn chặn các tài khoản local không có mật khẩu đăng nhập từ xa. Khi tùy chọn này bị tắt (Disable), hệ thống cho phép các tài khoản local không có mật khẩu đăng nhập từ xa. Do đó, đáp án đúng là 'Có thể logon từ xa bằng một local user không có password'.