איך זה עובד
ב־ ההחלטה עוברת אל המשאב: המחשב היעד מגדיר בתכונה msDS-AllowedToActOnBehalfOfOtherIdentity מי רשאי להתחזות אליו. היתרון הניהולי: אין צורך בהרשאות Admin כדי להגדיר האצלה — מספיקה שליטה על אובייקט היעד.
- כברירת מחדל כל משתמש בדומיין יכול לצרף עד 10 מחשבים () וליצור חשבון מחשב בשליטתו.
- אם לתוקף יש הרשאת כתיבה על אובייקט המחשב היעד — הוא מגדיר עליו לטובת החשבון שיצר.
- אחר כך הוא מבקש כרטיס S4U ומתחזה ל־Administrator מקומי מול אותו מחשב.