S4U2Proxy

これは、Web サーバーがユーザーの権限でデータベースからデータを取りたい、しかしユーザーがデータベースに直接接続するわけではない、という正当なケースのために作られた。サービスはユーザーから受け取ったチケットを提示して転送用チケットを要求し、ドメインコントローラーは宛先がサービスの許可リストにある場合にのみ承認する。対になる S4U2Self は、ユーザーが別の方法でログインした場合でも、サービスが任意のユーザーについて自分自身宛のチケットを取得できる機能で、ユーザーの認可情報を得るために存在する。危険なのはこの組み合わせだ。管理者を含む任意のユーザーのチケットを作り、それを委任に流し込める。リソースベース制約付き委任（RBCD）攻撃の最終段階がまさにこれである。