Wat is RBCD (Resource-Based Constrained Delegation)?

Resource-Based Constrained Delegation (RBCD) is een mechanisme in Windows waarmee een service zijn bevoegdheden kan delegeren aan een andere service, maar met beperkingen gebaseerd op specifieke bronnen (doelservices). In tegenstelling tot klassieke delegatie, waarbij de delegatie op het niveau van het gebruikersaccount wordt ingesteld, stelt RBCD een service in staat om rechten alleen te delegeren aan bepaalde services die in de eigenschappen van het resource-object worden vermeld.

Dit verhoogt de veiligheid doordat het de delegatie-omgeving beperkt en het risico op misbruik van bevoegdheden vermindert. RBCD wordt vaak gebruikt in scenario's met Kerberos, wanneer een service zich namens een gebruiker moet authenticeren bij een andere service, maar alleen bij bepaalde.

Voorbeeld: een webserver kan bevoegdheden delegeren voor toegang tot een database, maar niet tot andere services in het netwerk, wat wordt ingesteld via beveiligingsattributen in Active Directory.