MS_Delegation

委任

• 戻る（リソース アクセス ストラテジ、ベース クライアント セキュリティ モデル）
  • 委任
  • SPN

概要

「偽装」（サービス・タスク系のアカウント問題: MS_ServiceAndTaskAccountIssues.md）を
さらに強力にしたものが「委任」で、「委任」を許可することにより、
「ベース クライアント」の権限でリモート リソースにアクセスできる（サーバからのリモート アクセス）。

詳細

「委任」と「制約付き委任」

前提

「委任」を使用する場合、Active Directoryドメイン環境と
ケルベロス認証が必須である。

• Windows 2000 Serverに於ける「委任」については、制限が無かったが、
• 潜在的なセキュリティ脅威を含んでいたため、
  Windows Server 2003 に於ける「委任」は、「制約付き委任」と区別される。
• 参考

  • Windows Server 2003 の制約付き委任 (IIS 6.0)

    Windows 2000 では委任がサポートされていますが、システム上の特定のサービスに
    委任を制約することはできないため、この機能を安全に実装することは困難です。
    Windows Server 2003 ネイティブ ドメインでは、制約付き委任
    （"Service4User2Proxy" と呼ばれることもあります）が使用されます。

「委任」

• 概要
  • 「委任」によりアクセスできるサービスのリストは、
    A2D2（msDS-AllowedToDelegateTo）という属性で Active Directory に保持されている。
  • 「委任」を許可していない場合、このリモート アクセスには、
    「ベース クライアント」の権限が与えられず、
    通常、「サーバからのリモート アクセス」は拒否される
    （これを、一般的にはダブルホップ問題と呼ぶ）。

移行メモ（正誤）: msDS-AllowedToDelegate は正しくは msDS-AllowedToDelegateTo。 またこの属性は「制約付き委任」の許可先リストであり、 無制約委任（Trust this computer for delegation to any service）では使われない。 原文は「委任」の節に置いていたが、正確には制約付き委任側の説明。

「制約付き委任」

• 概要
  管理者はアカウントの委任先となることができるサービス プリンシパル名（SPN）を指定できる。
  この委任は、ドメイン管理者によって明示的に指定された特定のサービス グループに限定される。
• 設定（制限された委任の構成）
  • コンピュータに特定のサービスに対する委任時の信頼を付与する
  • ユーザーに特定のサービスに対する委任時の信頼を付与する

補足（最新化）: Windows Server 2012 以降、 リソースベースの制約付き委任（RBCD） が追加された。 従来（KCD）は「委任する側」のオブジェクトに許可先を書いたが、 RBCD では「委任される側（リソース側）」の msDS-AllowedToActOnBehalfOfOtherIdentity に許可元を書く。 ドメインをまたぐ委任が可能になり、リソース側の管理者だけで設定できる。

なお 無制約委任は現在では強く非推奨。 委任先サーバが侵害されると、そこへアクセスした全ユーザの TGT が窃取される。 特権アカウントには「アカウントは重要なので委任できない」フラグ、 または Protected Users グループを使う。

プロトコル トランジションと制約付き委任

「プロトコル トランジションと制約付き委任」を構成することで、

• 種々のCookie認証チケット
• SAMLセキュリティートークン
• 証明書認証

をケルベロス認証に切り替えることができる。

※ プロトコル トランジション（S4U2Self）は、Kerberos 以外で認証したユーザに
成り代わってサービス チケットを取得する仕組み。強力なので付与先は最小限にする。

参考

• Kerberos の制限された委任を構成する
• Kerberos 制約付き委任の概要 - Microsoft Learn

ベース クライアント セキュリティ モデル

ベース クライアント セキュリティ モデル

• SPN
• ケルベロス認証
• ドメイン アカウント

---

Tags: セキュリティ, 認証基盤, アカウント, Windows, Active Directory