Search

セキュリティガイド

セキュリティガイド

10.5.1
- 10.5.2
- 10.5
- 10.4.1
- 10.1.1
- 10.1

前へ次へ

S4U2Selfを使用したリソースベースの制約付き委任の有効化

S4U2Selfを使用したリソースベースの制約付き委任の有効化

krb5.confファイルのlibdefaultsセクションでforwardableフラグがtrueに設定されていることを確認してください。

リソースベースの制約付き委任は、PowerShellコマンドを介してのみ設定できます。KDCアカウントのプロパティを変更するために必要な権限を持つユーザー、できればKDC管理者がPowerShellを起動していることを確認してください。

S4U2Selfを使用してリソースベースの制約付き委任を有効にするには、KDCサーバー上のすべてのInformaticaキータブアカウントに対して次の手順を実行します。

ユーザーアカウントを右クリックして、

［プロパティ］

を選択します。

［プロパティ］

ダイアログボックスが表示されます。

［委任］

タブで、

［このコンピューターを委任に対して信頼しない］

を選択します。

［適用］

をクリックします。

次のコマンドを実行して、

PrincipalsAllowedToDelegateToAccount

属性を設定します:

$IntermediateService = Get-ADUser -Identity <中間サーバーアカウントのsamAccountName> -Properties *

Set-ADUser -Identity <ターゲットサーバーアカウントのsamAccountName> -PrincipalsAllowedToDelegateToAccount $IntermediateService1, $IntermediateService2, $IntermediateService3

カンマ区切りの値を使用して、

PrincipalsAllowedToDelegateToAccount

属性に複数のアカウントを追加できます。

PrincipalsAllowedToDelegateToAccount

属性の設定を解除する場合は、次のコマンドを実行します。

Set-ADUser -Identity <ターゲットサーバーアカウントのsamAccountName> PrincipalsAllowedToDelegateToAccount $null

PrincipalsAllowedToDelegateToAccount

リストで既存のプリンシパルを表示するには、次のコマンドを実行します。

$FormatEnumerationLimit=-1

Get-ADUser -Identity <samアカウント名> -properties

PrincipalsAllowedToDelegateToAccount

デフォルトでは、PowerShellコマンドの出力には、出力内のサービスプリンシパルリストに4つの値が表示されます。プリンシパルの完全なリストを表示するには、このパラメータを-1に設定します。

ガイドをダウンロード

ページをウォッチ

フィードバックを送信

コミュニティ