Définition simple
La délégation Kerberos contrainte autorise un service à agir au nom d’un utilisateur uniquement auprès de services précisément désignés.
Définition technique
Dans Active Directory, la délégation contrainte limite les SPN de destination auxquels un service peut présenter l'identité d'un utilisateur. Elle réduit l'étendue de la délégation non contrainte, mais une compromission du compte de service conserve un impact important.
À quoi cela sert ?
Réduire le risque par rapport à une délégation non contrainte.
Exemple concret
Un serveur web peut être autorisé à déléguer uniquement vers un service SQL précis.
Problèmes fréquents
- Service cible oublié
- SPN incorrect
- Configuration héritée non revue
Termes associés
Concepts associés
À retenir : les comportements et commandes précises peuvent varier selon les versions, produits et architectures.