Définition
La délégation Kerberos permet à un service de solliciter l’accès à une autre ressource au nom d’un utilisateur authentifié.
Fonctionnement et architecture
Elle répond au scénario du double saut, mais les formes non contraintes peuvent accroître considérablement les risques. Les variantes contrainte et basée sur la ressource restreignent les services ou identités autorisés.
Exemple pratique
Une application web s’authentifie auprès d’un service SQL avec l’identité de l’utilisateur : une délégation correctement configurée évite d’accorder un compte technique universel.
Limites et bonnes pratiques
Éviter la délégation non contrainte, protéger les comptes privilégiés et tester les SPN et tickets. Auditer les comptes et ordinateurs autorisés à déléguer.