RBCD Resource-Based Constrained Delegation
Delegación en la que es el propio recurso quien declara quién puede actuar en nombre de los usuarios frente a él. No requiere que un administrador de dominio la configure — y ese es precisamente el problema.
En el modelo clásico, la cuenta que delega se configura con una lista de destinos permitidos, y eso solo puede hacerlo un administrador de dominio. Windows Server 2012 le dio la vuelta: el atributo msDS-AllowedToActOnBehalfOfOtherIdentity se fija en el objeto destino y enumera quién puede delegar hacia él. Así que cualquiera con permiso de escritura sobre un objeto de equipo puede designar una cuenta que controla. Ese permiso de escritura suele venir de una ACL mal configurada, y la cuenta se la crea uno mismo —la configuración por defecto deja que cualquier usuario del dominio añada hasta diez cuentas de equipo—. A partir de ahí, la combinación de S4U2Self y S4U2Proxy produce un ticket de servicio como cualquier usuario frente a esa máquina, administrador incluido.