RBCD
Delega in cui è la risorsa stessa a dichiarare chi può agire per conto degli utenti nei suoi confronti. Non richiede un amministratore di dominio per essere configurata — ed è proprio questo il problema.
Nel modello classico l'account che delega è configurato con un elenco di destinazioni consentite, e solo un amministratore di dominio può farlo. Windows Server 2012 lo ha invertito: l'attributo msDS-AllowedToActOnBehalfOfOtherIdentity è impostato sull'oggetto di destinazione ed elenca chi può delegare verso di esso. Chiunque abbia accesso in scrittura a un oggetto computer può quindi designare un account che controlla. Quel permesso di scrittura deriva spesso da una ACL sbagliata, e l'account lo si crea da sé — l'impostazione predefinita consente a ogni utente di dominio di aggiungere dieci account macchina. Da lì, la combinazione di S4U2Self e S4U2Proxy produce un ticket di servizio come qualunque utente verso quella macchina, amministratore compreso.