S4U2Proxy
La extensión de Kerberos que implementa la delegación restringida: un servicio pide un ticket para otro servicio en nombre del usuario, pero solo hacia los destinos para los que tiene permiso.
La construcción existe para el caso legítimo en el que un servidor web necesita consultar una base de datos como si fuera el usuario, sin que este hable directamente con la base de datos. El servicio presenta el ticket que recibió del usuario y pide un ticket adicional, y el controlador de dominio solo lo aprueba si el destino figura en la lista del servicio. La función hermana S4U2Self permite a un servicio obtener un ticket hacia sí mismo para un usuario cualquiera, y existe para poder acceder a la información de autorización del usuario incluso cuando este inició sesión por otro medio. Lo peligroso es la combinación: un ticket para cualquier usuario, incluido el administrador, que luego se introduce en la delegación — exactamente el paso final de los ataques de delegación basada en recursos.