> ## Documentation Index
> Fetch the complete documentation index at: https://rootea.es/llms.txt
> Use this file to discover all available pages before exploring further.

# Resource-Based Constrained Delegation (RBCD)

> Si controlas un computer object con msDS-AllowedToActOnBehalfOfOtherIdentity modificable, escribes el SID del atacante en ese atributo y suplantas a cua…

# Resource-Based Constrained Delegation (RBCD)

<p className="glossary-answer">Si controlas un computer object con msDS-AllowedToActOnBehalfOfOtherIdentity modificable, escribes el SID del atacante en ese atributo y suplantas a cualquier usuario contra el computer.</p>

**Categoría:** [Active Directory · Vectores avanzados](/glosario)

🎯 **Trinchera** — Si controlas un computer object con
`msDS-AllowedToActOnBehalfOfOtherIdentity` modificable, escribes el
SID del atacante en ese atributo y suplantas a cualquier usuario
contra el computer.

🔗 **Kill chain** — Requisito: GenericWrite sobre el computer object
(común en operadores con quotas). Movimiento siguiente: añadir
machine account propia → modificar atributo → S4U → admin.

📡 **Huella defensiva** — Cambio del atributo
`msDS-AllowedToActOnBehalfOfOtherIdentity` (Event ID 5136). Creación
de machine account por usuario raso (Event ID 4741).

⚠️ **Falso amigo** — Necesitas SPN en la machine account atacante; sin
SPN el flujo S4U falla silenciosamente.

🛡️ **Remediación** — `MachineAccountQuota = 0` en la GPO del dominio;
auditar Write\* sobre computers críticos; Protected Users group.

```bash theme={null}
impacket-rbcd -delegate-from 'attacker$' -delegate-to 'TARGET$' \
  -action write 'corp.local/user:Pass'
```

***

← [Volver al glosario completo](/glosario)

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"DefinedTerm","name":"Resource-Based Constrained Delegation (RBCD)","description":"Si controlas un computer object con msDS-AllowedToActOnBehalfOfOtherIdentity modificable, escribes el SID del atacante en ese atributo y suplantas a cualquier usuario contra el computer.","inDefinedTermSet":{"@type":"DefinedTermSet","name":"Glosario táctico de pentesting","url":"https://rootea.es/glosario"},"url":"https://rootea.es/glosario/resource-based-constrained-delegation-rbcd"}`}
</script>

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://rootea.es"},{"@type":"ListItem","position":2,"name":"Glosario táctico","item":"https://rootea.es/glosario"},{"@type":"ListItem","position":3,"name":"Resource-Based Constrained Delegation (RBCD)","item":"https://rootea.es/glosario/resource-based-constrained-delegation-rbcd"}]}`}
</script>

*Última actualización: 2026-06-11*