委派为什么敏感
委派是让服务代替用户去访问其他资源的机制，涉及凭据在服务之间的流转。非约束委派的授权范围最宽，拿到该服务的主机就可能获取到登录其上的其他账号凭据；约束委派把目标限定在指定服务；基于资源的委派则把控制权放在目标资源一侧。检查要回答：哪些对象启用了委派、范围有多大、是否仍然必要。
基本信息
| 类型 | 非约束委派、约束委派、基于资源的委派 |
|---|---|
| 核查对象 | 启用委派的账号与计算机清单 |
| 重点关注 | 非约束委派对象，风险面明显更大 |
| 收敛方向 | 收紧到具体服务，或改用基于资源的委派 |
| 验证要求 | 调整需联调验证，避免服务间调用中断 |
典型使用场景
- 目录服务加固：清点启用委派的对象并评估必要性
- 权限路径分析：解释凭据为何能在服务之间流转
- 迁移与升级：应用迁移后确认委派配置是否随之一并收敛
- 服务账号治理：核对服务账号是否过度授权
- 复测：确认收敛后委派范围与预期一致
检查要点
检查要点
1. 导出启用委派的账号与计算机清单
2. 标注非约束委派对象，风险面最大，优先处理
3. 核对约束委派的目标服务列表是否收敛
4. 确认基于资源的委派是否被正确使用
5. 输出：对象清单、范围说明与收敛建议委派类型对照
| 类型 | 授权范围 | 风险与处置 |
|---|---|---|
| 非约束委派 | 任意目标服务 | 范围最宽，优先收紧或移除 |
| 约束委派 | 指定目标服务清单 | 核对清单是否仍必要 |
| 基于资源的委派 | 由目标资源侧控制 | 重点关注授权主体范围 |
| 协议转换类 | 扩展委派场景 | 按业务需要逐项确认 |
委派调整需联调验证：把非约束改为约束会影响服务间调用，改动要与应用团队一起安排测试。
服务账号往往多年未变：委派配置可能承载着已无人记得的老业务依赖，清理前先确认使用方。