איך זה עובד
(האצלה) מאפשרת לשירות לפעול בשם המשתמש שהתחבר אליו. דוגמה קלאסית: שרת Web מקבל בקשה מהמשתמש, וצריך לגשת בשמו לשרת SQL. בלי Delegation שרת ה־Web ניגש ל־SQL בזהות שלו עצמו — וההרשאות של המשתמש לא נאכפות.
- — השרת מקבל את ה־ המלא של המשתמש ויכול להתחזות לו מול כל שירות. הסוג הישן והמסוכן ביותר.
- (KCD) — השרת יכול להתחזות למשתמש רק מול רשימת מוגדרת מראש (msDS-AllowedToDelegateTo).
- Resource-Based () — משאב היעד מחליט מי רשאי להתחזות אליו (msDS-AllowedToActOnBehalfOfOtherIdentity).
כלל אצבע: ככל שההאצלה רחבה יותר — כך הסיכון גדול יותר. עדיף על פני Constrained, ו־Constrained על פני Unconstrained.