Веб-приложение на WEB1 (Windows Server 2022) работает под учетной записью gMSA с именем gmsaWeb и должно получать доступ к общим ресурсам CIFS на FILE1 (Windows Server 2022) путем делегирования учетных данных пользователя. Требования безопасности предписывают владельцу ресурса (FILE1) контролировать, какие службы могут действовать от его имени, и избегать неограниченного делегирования. Что следует сделать? (Выберите два варианта)

Для удовлетворения требований безопасности и обеспечения делегирования учетных данных пользователя, необходимо использовать ограниченное делегирование на основе ресурсов (Resource-based Constrained Delegation - RBCD). Это позволяет владельцу целевого ресурса (FILE1) контролировать, какие учетные записи могут делегировать к нему. Поэтому следует настроить PrincipalsAllowedToDelegateToAccount на FILE1, включив в него gmsaWeb. Также, чтобы клиент мог получить сервисный билет Kerberos для WEB1 и инициировать процесс делегирования, необходимо убедиться, что HTTP SPN зарегистрирован на учетной записи gmsaWeb. Неограниченное делегирование для WEB1 не соответствует требованиям безопасности. Настройка ограниченного делегирования на WEB1 для CIFS SPN FILE1 с опцией 'Trust this computer for delegation to specified services only' является устаревшим методом и не позволяет владельцу ресурса (FILE1) контролировать делегирование. Включение Protocol Transition без пользовательских билетов Kerberos не решает проблему делегирования учетных данных пользователя и не соответствует требованиям безопасности.