Kerberos資格情報を取得して2回委任する方法はありますか？何故なの？

8

私のオタク生活の中で、私はWindowsドメインのこの制限に対処しました

この動作を変更する構成はありますか？多くの場合、3ホップは驚くほど便利です。

資格情報を2回委任してはならない具体的な理由は何ですか（クライアント->サーバー->サーバー）。

active-directory kerberos delegation

— 降水量
ソース

8

絶対に-これはKerberos委任であり、非常に強力です。

最初にいくつかのTechNet記事を読む必要があります。

そして、Kerberosに関するKen Schaeferの素晴らしいブログ投稿を読んでください。

ただし、基本的には、SPNがセットアップされ、Kerberosが機能していることがわかったら、Active Directoryのコンピューターオブジェクトに移動し、[委任]タブの[このコンピューターを委任に対して信頼する]ラジオボタンを選択します。

From：ディレクトリサービスチームに質問する

単純な委任に関するケンの記事は、必要なすべてを網羅しているはずです。

ところで、あなたは正しい検索に非常に近かったです。「ダブルホップ認証」は、Ask the Directory Services Teamブログのこの記事にあなたを導くでしょう：Kerberosダブルホップの理解

— クリストファー・G・ルイス
ソース

素晴らしい-ありがとう！私がこれが解決されたのをよく見なかった理由は、コードの連中がsysadminの連中と話をしていないためだと思います。ほとんどのアプリは、ダブルホップを回避するだけです。

— 降水

1

Windows（Linux / UNIXの人）の答えはわかりませんが、内部で確認する必要があるのは、転送可能なチケットを要求することです。