Een webapplicatie op WEB1 (Windows Server 2022) draait onder een gMSA genaamd gmsaWeb en moet toegang krijgen tot CIFS shares op FILE1 (Windows Server 2022) door gebruikersreferenties te delegeren. Beveiliging vereist dat de resource-eigenaar (FILE1) bepaalt welke services namens hem mogen optreden en dat onbeperkte delegatie wordt vermeden. Wat moet u doen? (Kies twee)

De correcte antwoorden zijn het configureren van resource-based geconstraineerde delegatie en het registreren van de HTTP SPN. Resource-based geconstraineerde delegatie (RBCD) is de aanbevolen methode voor Kerberos-delegatie wanneer de resource-eigenaar (FILE1) wil bepalen welke services namens hem mogen optreden, wat voldoet aan de beveiligingseis. Dit wordt geconfigureerd op het doelsysteem (FILE1) door PrincipalsAllowedToDelegateToAccount in te stellen. De HTTP SPN moet geregistreerd zijn op het gMSA-account (gmsaWeb) zodat clients Kerberos-tickets kunnen verkrijgen voor de webapplicatie op WEB1, wat een voorwaarde is voor Kerberos-delegatie. Het configureren van geconstraineerde delegatie op WEB1 met 'Trust this computer for delegation to specified services only' is de oudere, account-gebaseerde methode en wordt geconfigureerd op de service-account (WEB1), niet op de resource-eigenaar. Onbeperkte delegatie inschakelen is een beveiligingsrisico en wordt vermeden. Protocolovergang is een onderdeel van geconstraineerde delegatie, maar is geen opzichzelfstaande configuratiestap voor dit scenario.