Définition
La délégation Kerberos contrainte basée sur la ressource (RBCD) autorise un service cible à définir quelles identités peuvent déléguer vers lui.
Fonctionnement et architecture
Cette configuration s’appuie sur les autorisations de la ressource cible dans Active Directory, plutôt que sur la seule configuration du compte frontal. Les droits permettant de la modifier sont sensibles.
Exemple pratique
Une équipe gérant un serveur applicatif peut autoriser précisément un frontal approuvé à déléguer les identités vers ce serveur, sans autoriser d’autres cibles.
Limites et bonnes pratiques
Surveiller les modifications des attributs de délégation, protéger les comptes machine et restreindre les permissions d’écriture sur les objets AD. Une mauvaise délégation peut faciliter des déplacements latéraux.