RBCD
Delegação em que o próprio recurso declara quem pode agir em nome dos usuários contra ele. Não exige administrador de domínio para configurar — e esse é justamente o problema.
No modelo clássico, a conta que delega é configurada com uma lista de destinos permitidos, e só um administrador de domínio pode fazer isso. O Windows Server 2012 inverteu a lógica: o atributo msDS-AllowedToActOnBehalfOfOtherIdentity é definido no objeto de destino e enumera quem pode delegar a ele. Assim, qualquer pessoa com permissão de escrita em um objeto de computador pode indicar uma conta que ela controla. Essa permissão de escrita costuma vir de uma ACL equivocada, e a conta você mesmo cria — a configuração padrão deixa qualquer usuário do domínio adicionar dez contas de máquina. Dali, a combinação de S4U2Self e S4U2Proxy gera um ticket de serviço como qualquer usuário contra aquela máquina, inclusive o administrador.