Un'applicazione web su WEB1 (Windows Server 2022) viene eseguita con un gMSA denominato gmsaWeb e deve accedere alle condivisioni CIFS su FILE1 (Windows Server 2022) delegando le credenziali utente. La sicurezza richiede che il proprietario della risorsa (FILE1) controlli quali servizi possono agire per suo conto e che eviti la delega non vincolata. Cosa dovresti fare? (Scegli due)

La delega vincolata basata su risorsa (RBCD) è la soluzione più sicura per questo scenario perché consente al proprietario della risorsa (FILE1) di specificare quali account possono delegare ad essa, evitando la delega non vincolata. Impostando PrincipalsAllowedToDelegateToAccount su FILE1 per includere gmsaWeb, si autorizza esplicitamente il gMSA a delegare le credenziali a FILE1. Per la delega Kerberos, il client deve ottenere un ticket di servizio per il servizio web (WEB1) utilizzando il suo SPN. Se l'SPN HTTP è registrato per gmsaWeb, i client possono autenticarsi correttamente con l'applicazione web, consentendo poi a WEB1 di delegare le credenziali a FILE1. Configurare la delega vincolata su WEB1 usando "Trust this computer for delegation to specified services only" è una delega vincolata tradizionale, meno sicura della RBCD perché la configurazione è sul delegante (WEB1) e non sul delegato (FILE1). Abilitare la delega non vincolata su WEB1 è un rischio per la sicurezza. Abilitare la transizione di protocollo su WEB1 non è sufficiente da solo e non risolve il requisito di sicurezza.