实现基于资源的约束委派答案

【问题标题】：Implementing Resource Based Constrained Delegation实现基于资源的约束委派
【发布时间】：2014-10-20 10:53:50
【问题描述】：

我希望在 C++ 中实现基于资源的约束委派，这是 Windows Server 2012 的新功能。

编辑：执行此操作的 IIS 模块的代码也很棒。

与允许帐户委托给特定 SPN 的经典 KCD 不同，这里的帐户可以被允许委托给由特定用户帐户运行的任何程序。通过修改运行被委派服务的用户的“-PrincipalsAllowedToDelegateToAccount”属性来授予权限。

谁能给我提供实现这个或有用资源的代码示例？

即使是对使用此新功能的商业产品的引用也可能很有用。

谢谢，

戴夫

【问题讨论】：

@BЈовић，关于高度复杂的网络内容。
@Dave，你读过吗：msdn.microsoft.com/en-us/magazine/cc188757.aspx
@Michael-O 我有，但它真的很旧，并且没有提到 Win 2012 中的新功能。我有代码可以或多或少地在你提到的文章中描述。我现在要做的是创建类似的代码，允许我以单向信任跨域使用 KCD。
@Dave，我总是遇到来自 Microsoft 的可行文档/示例的问题。我已经放弃了。记录太差了。

【解决方案1】：

要配置资源服务以允许代表用户访问前端服务，请使用 Windows PowerShell cmdlet。

要检索主体列表，请使用带有 –Properties 的 Get-ADComputer、Get-ADServiceAccount 和 Get-ADUser cmdlet PrincipalsAllowedToDelegateToAccount 参数。
要配置资源服务，请使用 New-ADComputer、New-ADServiceAccount、New-ADUser、Set-ADComputer、
Set-ADServiceAccount 和 Set-ADUser cmdlet
–PrincipalsAllowedToDelegateToAccount 参数。

【讨论】：

有关这些扩展的实现信息，请参阅 [MS-SFU]：Kerberos 协议扩展：MSDN 中的用户服务和约束委派协议规范。有关使用转发的票证授予票证 (TGT) 的 Kerberos 委派的基本消息序列与用户服务 (S4U) 扩展相比的更多信息，请参阅 [MS-SFU] 中的 1.3.3 协议概述部分：Kerberos 协议扩展: 用户服务和受约束的委托协议规范。