Délégation contrainte Kerberos
generalDéfinition
La délégation contrainte Kerberos est une fonctionnalité du protocole Kerberos dans Active Directory permettant à un service d'agir au nom d'un utilisateur authentifié pour accéder à un second service, tout en limitant strictement la liste des services cibles autorisés, contrairement à la délégation non contrainte qui accorde un pouvoir d'usurpation illimité. Elle répond à un besoin fonctionnel courant, par exemple un serveur web devant interroger une base de données au nom de l'utilisateur connecté, sans exposer ses identifiants complets. Techniquement, elle repose sur l'attribut msDS-AllowedToDelegateTo configuré sur le compte de service, qui définit précisément quels services peuvent recevoir des tickets délégués, et peut s'appuyer sur les extensions S4U2Self et S4U2Proxy pour obtenir un ticket au nom de l'utilisateur sans authentification directe préalable. Bien que plus sécurisée que la délégation non contrainte, elle demeure une cible d'attaque documentée dans MITRE ATT&CK sous la technique T1558.005, où un attaquant ayant compromis un compte de service disposant de cette délégation peut usurper l'identité de tout utilisateur listé dans les services autorisés, y compris des comptes à privilèges élevés. La configuration de cette fonctionnalité doit donc être auditée régulièrement, limitée au strict besoin métier et surveillée, dans le cadre du durcissement du contrôleur de domaine et de la gestion des comptes à privilèges.
Articles liés
Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.
Services
- Audit Infrastructure
- Audit Kubernetes
- Audit Microsoft 365
- Audit Sécurité Réseau
- Analyse de Risques
- Audit Active Directory
- Audit Application Web
- Audit Cloud (AWS/Azure/GCP)
- Audit Messagerie
- Audit API (OWASP Top 10)
- Audit DevSecOps & CI/CD
- Audit Code Source (SAST)
- Audit Postes de Travail
- Audit Sauvegarde & Résilience
- Audit OT/SCADA (IEC 62443)
- Développement IA
- Formations
Ressources
Projets & Outils
© 2026 Ayi NEDJIMI Consultants. Tous droits réservés.
Un projet cybersécurité ?
Expert dispo · Réponse 24h