Validação de PAC
Um ticket Kerberos prova quem você é; o PAC dentro dele afirma o que você pode fazer. A validação é a verificação de que essa parte veio mesmo de um controlador de domínio.
O Privilege Attribute Certificate é um acréscimo da Microsoft dentro do ticket e carrega os identificadores e as associações a grupos do usuário. É ele, e não o ticket em si, que decide a autorização — o que o torna o alvo interessante: altere-o e você vira administrador sem nunca mexer em um grupo. A estrutura é assinada com a chave do serviço e a do controlador de domínio, e validar significa o serviço perguntar a um controlador de domínio se essa segunda assinatura confere. Historicamente a validação era opcional e vivia desativada por desempenho, e é exatamente por isso que os Silver Tickets funcionam. Os patches de 2021 e os novos requisitos de assinatura do fim de 2022 foram a Microsoft fechando essa porta, num rollout notoriamente trabalhoso.