Eine Webanwendung auf WEB1 (Windows Server 2022) läuft unter einem gMSA namens gmsaWeb und muss über die Delegierung von Benutzeranmeldeinformationen auf CIFS-Freigaben auf FILE1 (Windows Server 2022) zugreifen. Die Sicherheit erfordert, dass der Ressourcenbesitzer (FILE1) kontrolliert, welche Dienste in seinem Namen agieren dürfen, und eine uneingeschränkte Delegierung vermieden wird. Was sollten Sie tun? (Wählen Sie zwei)

Die ressourcenbasierte eingeschränkte Delegierung (Resource-based Constrained Delegation, RBCD) ist die empfohlene Methode, wenn der Ressourcenbesitzer (hier FILE1) kontrollieren soll, welche Dienste (hier gmsaWeb) in seinem Namen agieren dürfen. Durch das Setzen von PrincipalsAllowedToDelegateToAccount auf FILE1, um das gmsaWeb-Konto einzuschließen, wird dies erreicht. Damit die Webanwendung auf WEB1 Kerberos-Tickets für den Benutzer erhalten kann, muss der HTTP SPN für den Dienst (gmsaWeb) registriert sein, damit Clients Kerberos-Tickets für den Dienst auf WEB1 anfordern können. Die Konfiguration der eingeschränkten Delegierung auf WEB1 ist nicht die bevorzugte Methode, da sie vom Dienstkonto (WEB1) und nicht vom Ressourcenbesitzer (FILE1) gesteuert wird. Uneingeschränkte Delegierung ist ein Sicherheitsrisiko und sollte vermieden werden. Die Aktivierung der Protokollübergabe ist keine Delegierungsart, sondern eine Voraussetzung für bestimmte Delegierungsszenarien und löst das Problem der Delegierungskontrolle nicht.