Constrained Delegation (KCD)

Una cuenta con msDS-AllowedToDelegateTo puede suplantar a cualquier usuario hacia un servicio listado.

​

Constrained Delegation (KCD)

Una cuenta con msDS-AllowedToDelegateTo puede suplantar a cualquier usuario hacia un servicio listado.

Categoría: Active Directory · Vectores avanzados

🎯 Trinchera — Una cuenta con msDS-AllowedToDelegateTo puede suplantar a cualquier usuario hacia un servicio listado. Si comprometes esa cuenta y el SPN apunta a un DC, eres Domain Admin.

🔗 Kill chain — Requisito: control sobre cuenta con KCD configurado

• uno de sus SPNs delegados. Movimiento siguiente: getST.py → ticket impersonando admin → DCSync.

📡 Huella defensiva — Event ID 4769 con campo S4U2Self / S4U2Proxy seguidos. Anomalía si el actor no es típicamente delegado.

⚠️ Falso amigo — Confundir Unconstrained y Constrained. Unconstrained da TGT completo (más fácil); Constrained sólo da TGS al servicio listado.

🛡️ Remediación — Migrar a RBCD documentada o eliminar delegación; nunca delegar a cifs/dc01 o servicios admin.

impacket-getST -spn cifs/dc01.corp.local -impersonate Administrator \
  corp.local/svc_kcd:Pass

---

← Volver al glosario completo

Última actualización: 2026-06-11