S4U2Proxy
Kısıtlı yetki devrini (constrained delegation) uygulayan Kerberos uzantısı: bir hizmet kullanıcı adına başka bir hizmete bilet ister, ama yalnızca kendisi için listelenmiş hedeflere.
Düzenek, bir web sunucusunun kullanıcıyla veritabanı arasında doğrudan konuşma olmadan veriyi kullanıcı olarak çekmesi gereken meşru durum için vardır. Hizmet kullanıcıdan aldığı bileti sunar ve ileriye dönük bir bilet ister; alan denetleyicisi yalnızca hedef hizmetin listesinde yer alıyorsa onaylar. Eşlik eden S4U2Self işlevi, bir hizmetin keyfi bir kullanıcı için kendisine bilet almasını sağlar; kullanıcı başka yoldan oturum açmış olsa bile yetkilendirme verisine ulaşabilmesi için vardır. Tehlikeli olan bu ikilidir: yönetici dahil herhangi bir kullanıcı için bir bilet, ardından yetki devrine beslenir — kaynak tabanlı yetki devri saldırılarının son adımı tam olarak budur.