איך זה עובד
ב־ מגדירים במפורש לאילו מותר לשרת להתחזות, דרך התכונה msDS-AllowedToDelegateTo. זה הרבה יותר בטוח מ־Unconstrained, אבל עדיין לא חף מסיכונים.
- Use only — נדרש שהמשתמש יתאמת מול השירות ב־Kerberos (S4U2Proxy בלבד).
- Use any authentication protocol (Protocol Transition) — השירות יכול להנפיק כרטיס בשם המשתמש גם בלי שהמשתמש התאמת ב־ (S4U2Self). זהו המצב המסוכן.
הסיכון: ה־ ברשימה מגדיר שירות, אבל לא באמת נאכף רכיב השירות בכרטיס. תוקף ששולט בחשבון עם ו־Protocol Transition יכול להחליף את שם השירות (Service Name Substitution) ולגשת לשירותים נוספים על אותו שרת יעד.