RBCD — ограниченное делегирование Kerberos, при котором на стороне целевого ресурса задают, каким служебным учетным записям разрешено обращаться к нему от имени пользователей. В отличие от классической настройки списка целей на делегирующей стороне, решение контролирует владелец ресурса. Ошибочные права изменения этих настроек создают риск злоупотребления.
Что такое RBCD — Resource-Based Constrained Delegation?
Ресурсно-ограниченное делегирование Kerberos: кто задает доверие, как сервис действует от имени пользователя и почему важны права изменения объекта ресурса.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Делегирование нужно, когда один сервис должен обратиться к другому от имени пользователя, а не просто под собственной служебной идентичностью. Например, фронтенд обращается к внутреннему сервису в пользовательском контексте.
При Resource-Based Constrained Delegation разрешение на такое действие задается на объекте учетной записи целевого ресурса в Active Directory: какие исходные служебные идентичности могут делегировать к нему. В классическом constrained delegation ограничения задаются со стороны делегирующей службы. Эта смена стороны управления — ключевое отличие, описанное в документации Microsoft.
Kerberos использует предусмотренные расширения для получения сервисного билета к целевому сервису в контексте пользователя. Это не передача пользовательского пароля между приложениями и не разрешение обращаться к любому сервису домена. Возможны и междоменные сценарии при подходящей конфигурации.
RBCD помогает выразить границу доверия, но само название не гарантирует безопасность. Если неподходящий субъект может менять настройки делегирования ресурса, он получает возможность опасно расширить эту границу. Поэтому контролируют владельцев объектов, права изменения, разрешенные служебные учетные записи и события конфигурации.
На интервью полезно ответить на три вопроса: кто делегирует, к какому ресурсу и кто разрешает это делегирование. Нельзя описывать RBCD как безусловную передачу «всех полномочий» между сервисами или как обычную выдачу роли пользователю.