Resource-Based Constrained Delegation (RBCD)

ב־RBCD ההחלטה עוברת אל המשאב: המחשב היעד מגדיר בתכונה msDS-AllowedToActOnBehalfOfOtherIdentity מי רשאי להתחזות אליו. היתרון הניהולי: אין צורך בהרשאות Domain Admin כדי להגדיר האצלה — מספיקה שליטה על אובייקט היעד.

למה תוקפים אוהבים RBCD

• כברירת מחדל כל משתמש בדומיין יכול לצרף עד 10 מחשבים (MachineAccountQuota) וליצור חשבון מחשב בשליטתו.
• אם לתוקף יש הרשאת כתיבה על אובייקט המחשב היעד — הוא מגדיר עליו RBCD לטובת החשבון שיצר.
• אחר כך הוא מבקש כרטיס S4U ומתחזה ל־Administrator מקומי מול אותו מחשב.

# בדיקה מי רשאי להתחזות למחשב מסוים
Get-ADComputer TARGET-PC -Properties PrincipalsAllowedToDelegateToAccount

# ניקוי הגדרת RBCD חשודה
Set-ADComputer TARGET-PC -PrincipalsAllowedToDelegateToAccount $null

הגנה

• להוריד את MachineAccountQuota ל־0 ולהאציל צירוף מחשבים לצוות ייעודי.
• לבדוק הרשאות כתיבה (GenericWrite / WriteDACL) על אובייקטי מחשב — BloodHound עוזר למפות זאת.
• לנטר שינויים בתכונה msDS-AllowedToActOnBehalfOfOtherIdentity (Event ID 5136).
• לשים חשבונות רגישים ב־Protected Users ולסמן אותם כלא ניתנים להאצלה.

# הגדרה לגיטימית
Set-ADComputer FILE01 -PrincipalsAllowedToDelegateToAccount (Get-ADComputer WEB01)

# ביקורת - מי מורשה לפעול בשם מי
Get-ADComputer -Filter * -Properties PrincipalsAllowedToDelegateToAccount |
  Where-Object { $_.PrincipalsAllowedToDelegateToAccount }

# חסימת יצירת מחשבים על ידי משתמשים רגילים
Set-ADDomain -Identity corp.com -Replace @{'ms-DS-MachineAccountQuota'='0'}