Una aplicación web en WEB1 (Windows Server 2022) se ejecuta bajo una gMSA llamada gmsaWeb y debe acceder a recursos compartidos CIFS en FILE1 (Windows Server 2022) delegando credenciales de usuario. La seguridad requiere que el propietario del recurso (FILE1) controle qué servicios pueden actuar en su nombre y evitar la delegación no restringida. ¿Qué debe hacer? (Elija dos)

La delegación restringida basada en recursos (RBCD) es la opción correcta para que el propietario del recurso (FILE1) controle qué servicios pueden actuar en su nombre. Al configurar PrincipalsAllowedToDelegateToAccount en FILE1 para incluir gmsaWeb, se permite que gmsaWeb delegue credenciales solo a los servicios especificados en FILE1. Esto evita la delegación no restringida. El registro del SPN HTTP en gmsaWeb es crucial para que los clientes puedan obtener tickets de servicio Kerberos para gmsaWeb, lo que permite que la delegación funcione. Sin un SPN adecuado, la autenticación Kerberos fallaría. La delegación restringida en WEB1 (Trust this computer for delegation to specified services only) no es la mejor opción aquí porque la seguridad requiere que el propietario del recurso (FILE1) controle la delegación, no el servidor de origen (WEB1). Habilitar la delegación no restringida es un riesgo de seguridad y no cumple con el requisito. La transición de protocolo no elimina la necesidad de tickets Kerberos de usuario para la delegación.