WEB1 (Windows Server 2022) üzerindeki bir web uygulaması gmsaWeb adlı bir gMSA altında çalışır ve kullanıcı kimlik bilgilerini devrederek FILE1 (Windows Server 2022) üzerindeki CIFS paylaşımlarına erişmelidir. Güvenlik, kaynak sahibinin (FILE1) hangi hizmetlerin kendi adına hareket edebileceğini kontrol etmesini ve kısıtlanmamış delegasyonu önlemesini gerektirir. Ne yapmalısınız? (İki tane seçin)

Doğru cevaplar, kaynak tabanlı kısıtlı delegasyonun ve Kerberos biletlerinin doğru yapılandırılmasını sağlar. FILE1 üzerinde PrincipalsAllowedToDelegateToAccount ayarını gmsaWeb hesabını içerecek şekilde yapılandırmak, FILE1'in yalnızca gmsaWeb'in kendi adına hareket etmesine izin vermesini sağlayarak kaynak tabanlı kısıtlı delegasyonu uygular. Bu, güvenlik gereksinimini karşılar ve sınırsız delegasyonu önler. İstemcilerin WEB1'e Kerberos hizmet biletleri alabilmesi için HTTP SPN'sinin gmsaWeb üzerinde kayıtlı olduğundan emin olmak, Kerberos kimlik doğrulamasının düzgün çalışması ve gmsaWeb'in kullanıcı kimlik bilgilerini devredebilmesi için gereklidir. Yanlış seçenekler: WEB1 üzerinde kısıtlı delegasyonu FILE1'in CIFS SPN'sine yapılandırmak, eski tip kısıtlı delegasyondur ve kaynak tabanlı kısıtlı delegasyonun yerini almıştır. Kaynak tabanlı delegasyon, kaynak sahibinin (FILE1) delegasyonu kontrol etmesini sağlar. WEB1 bilgisayar hesabında kısıtlanmamış delegasyonu etkinleştirmek güvenlik riski oluşturur ve sorunun gerektirdiği kısıtlı delegasyon ilkesine aykırıdır. WEB1 üzerinde protokol geçişini etkinleştirmek, Kerberos biletleri olmadan delegasyon yapılmasına izin vermez; protokol geçişi, Kerberos kimlik doğrulamasının bir parçasıdır ve Kerberos biletleri gerektirir.