Une application web sur WEB1 (Windows Server 2022) s'exécute sous un gMSA nommé gmsaWeb et doit accéder aux partages CIFS sur FILE1 (Windows Server 2022) en déléguant les informations d'identification de l'utilisateur. La sécurité exige que le propriétaire de la ressource (FILE1) contrôle les services qui peuvent agir en son nom et évite la délégation non contrainte. Que devez-vous faire ? (Choisissez deux)

La délégation contrainte basée sur les ressources (RBCD) est la méthode préférée pour la délégation Kerberos dans ce scénario, car elle permet au propriétaire de la ressource (FILE1) de contrôler quels comptes (gmsaWeb) peuvent déléguer en son nom, répondant ainsi à l'exigence de sécurité. La configuration de PrincipalsAllowedToDelegateToAccount sur FILE1 avec gmsaWeb autorise cette délégation. Pour que le gMSA puisse déléguer les informations d'identification de l'utilisateur, un SPN HTTP doit être enregistré sur le compte gmsaWeb. Cela permet aux clients d'obtenir des tickets de service Kerberos pour WEB1, qui peuvent ensuite être utilisés pour la délégation. La configuration de la délégation contrainte sur WEB1 n'est pas la solution la plus sécurisée car elle ne permet pas au propriétaire de la ressource de contrôler la délégation. L'activation de la délégation non contrainte sur WEB1 est une faille de sécurité majeure et est explicitement évitée par l'énoncé. L'activation de la transition de protocole sur WEB1 est nécessaire pour la délégation, mais elle ne résout pas la question de la configuration de la délégation elle-même ni l'enregistrement du SPN.