Cisco ISEの「PassiveID」機能において、WMIを使用してADからログを取得する際、ISE（またはPIC Agent）が必要とする最小限のAD権限はどれか。

FlexVPNにおいて、IKEv2プロファイルで「virtual-template 1」を指定したが、AAAサーバからも「ip:interface-config=virtual-template 2」という属性が返された場合、どちらが優先されるか。