我已经在 SO 上发布了这个问题，但它的本质是在编程和服务器配置之间，所以我也会在这里重新发布。
我正在尝试编写一个执行 Kerberos 委托的概念验证应用程序。我已经编写了所有代码，并且它似乎可以正常工作（我的身份验证很好），但是生成的安全上下文没有设置 ISC_REQ_DELEGATE 标志。
所以我在想也许端点之一（客户端或服务器）被禁止委托。但是，我没有针对 SPN 进行身份验证。只有一个域用户对抗另一个域用户。作为 SPN，InitializeSecurityContext()我将传递“[email protected]”（这是运行服务器应用程序的用户帐户）。据我了解，域用户默认启用委派。无论如何，我要求管理员检查，并且“帐户敏感且不能委派”复选框已关闭。
我知道如果我的服务器作为网络服务运行并且我使用 SPN 连接到它，那么我需要 AD 中的计算机帐户选中“信任计算机以进行委派”复选框（默认情况下关闭），但是……事实并非如此，对吧？或者是吗？
另外 - 当计算机帐户中的复选框被设置时，更改会立即发生，还是我必须重新启动服务器 PC 或等待一段时间？
根据我使用应用程序和 Kerberos 委派的经验，服务帐户（执行应用程序）需要为您要执行委派的服务配置一个 SPN，并且必须将其设置为受信任的委派（所有 SPN 或仅特定的 SPN，否则称为约束委派）。