説明/参照:
Explanation:
フォレスト内のルートドメインは、Windows Server 2012レベルにある必要があります。最初にDC1をこのレベルにアップグレードし(A)、次にcontoso.comドメインの機能レベルをWindows Server 2012に上げます(D)。
(A)クレームベースのアクセス制御を使用するリソースをサポートするには、主体のドメインが次のいずれかを実行している必要があります。
すべてのWindows Server 2012ドメインコントローラー

すべてのWindows 8デバイス認証を処理するのに十分なWindows Server 2012ドメインコントローラー

リクエスト
すべてのWindows Server 2012リソースを処理するのに十分なWindows Server 2012ドメインコントローラー

Windows 8以外のデバイスをサポートするためのプロトコル移行要求。
参照:Kerberos認証の新機能
https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/ hh831747(v = ws.11)