RBCD
Делегирование, при котором сам ресурс объявляет, кто может действовать от имени пользователей против него. Для настройки не нужен администратор домена — в этом и вся проблема.
В классической модели делегирующей учётной записи назначают список разрешённых целей, и сделать это может только администратор домена. Windows Server 2012 перевернула схему: атрибут msDS-AllowedToActOnBehalfOfOtherIdentity задаётся на целевом объекте и перечисляет тех, кто вправе делегировать к нему. Поэтому любой, у кого есть право записи на объект компьютера, может назначить учётную запись под своим контролем. Такое право часто возникает из-за ошибочного ACL, а учётную запись можно создать самому — настройка по умолчанию позволяет каждому пользователю домена добавить десять машинных учётных записей. Дальше связка S4U2Self и S4U2Proxy даёт сервисный билет от имени любого пользователя к этой машине, включая администратора.