Définition
La délégation Kerberos contrainte autorise un service à déléguer l’identité d’un utilisateur uniquement vers des services explicitement approuvés.
Fonctionnement et architecture
Les cibles sont définies par des SPN ; les modes avec ou sans transition de protocole présentent des risques et contraintes distincts. Une configuration erronée peut provoquer des refus d’accès ou accroître les privilèges d’un service.
Exemple pratique
Un frontal web accède à SQL Server au nom d’un utilisateur sans obtenir une délégation générale vers tous les services du domaine.
Limites et bonnes pratiques
Limiter les SPN et les comptes concernés, auditer les changements, protéger les comptes sensibles et vérifier les cas de double saut.
Point technique à retenir
Lors du « double saut », un frontal doit accéder à un service tiers avec l’identité de l’utilisateur. Vérifier les SPN, la configuration de délégation, la transition de protocole éventuelle et l’appartenance des comptes aux groupes protégés avant de modifier les autorisations.