RBCD Resource-Based Constrained Delegation
Delegering där resursen själv anger vem som får agera i användarnas namn mot den. Kräver ingen domänadministratör att sätta upp — vilket är hela problemet.
I den klassiska modellen konfigureras den delegerande kontot med en lista över tillåtna mål, och det kan bara en domänadministratör göra. Windows Server 2012 vände på det: attributet msDS-AllowedToActOnBehalfOfOtherIdentity sätts på målobjektet och räknar upp vilka som får delegera dit. Den som har skrivrätt till ett datorobjekt kan alltså peka ut ett konto den själv kontrollerar. Skrivrätten kommer ofta från en felaktig ACL, och kontot skapar man själv — standardinställningen låter varje domänanvändare lägga till tio maskinkonton. Därefter ger kombinationen S4U2Self och S4U2Proxy en tjänstebiljett som vilken användare som helst mot den maskinen, inklusive administratören.