Um aplicativo web no WEB1 (Windows Server 2022) é executado sob um gMSA chamado gmsaWeb e deve acessar compartilhamentos CIFS no FILE1 (Windows Server 2022) delegando credenciais de usuário. A segurança exige que o proprietário do recurso (FILE1) controle quais serviços podem atuar em seu nome e evite a delegação irrestrita. O que você deve fazer? (Escolha duas)

Para permitir que o gMSA (gmsaWeb) no WEB1 delegue credenciais de usuário para o FILE1 de forma restrita e segura, você deve configurar a delegação restrita baseada em recurso. Isso é feito definindo o atributo PrincipalsAllowedToDelegateToAccount no FILE1 para incluir a conta gmsaWeb, garantindo que o proprietário do recurso (FILE1) controle quem pode delegar. Além disso, para que a delegação Kerberos funcione corretamente, o SPN (Service Principal Name) HTTP deve estar registrado no gmsaWeb. Isso permite que os clientes obtenham tickets de serviço Kerberos para o WEB1, que são necessários para a delegação. A opção de configurar a delegação restrita no WEB1 usando 'Trust this computer for delegation to specified services only' não é a abordagem correta para delegação baseada em recurso, que é controlada pelo recurso de destino. Habilitar a delegação irrestrita na conta de computador WEB1 é inseguro e não atende aos requisitos de segurança. Habilitar a transição de protocolo no WEB1 não é suficiente por si só e não substitui a necessidade de SPNs e configuração de delegação adequada.