Delegação Kerberos Competitiva

Use esta habilidade apenas como uma especialização downstream depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando a parte difícil não for "existe Kerberos aqui", mas sim qual aresta de delegação existe, qual ticket está sendo emitido e qual serviço realmente o aceita.

Responda em português do Brasil, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Escreva a cadeia de confiança primeiro: principal -> aresta de delegação -> tipo de ticket -> SPN de destino -> serviço aceitador -> privilégio resultante.
2. Separe a posse do ticket do privilégio aceito.
3. Mantenha SPNs, modo de delegação, dados PAC/grupo, tipo de criptografia e aceitação do serviço em um bloco de evidências compacto.
4. Reproduza uma cadeia de delegação mínima antes de expandir para variantes.
5. Vincule cada reivindicação de privilégio a um ticket aceito específico ou efeito do lado do serviço.

Fluxo de Trabalho

1. Identificar A Aresta de Delegação

• Determine se o caminho é delegação restrita, delegação irrestrita, delegação restrita baseada em recursos, transição de protocolo ou outra aresta de confiança.
• Inspecione SPNs, ACLs, contas de serviço, SIDHistory, modelos de certificado e direitos de replicação apenas quando eles afetarem o caminho ativo.

2. Rastrear Emissão e Aceitação de Ticket

• Registre o tipo TGT/TGS, etapas S4U quando relevantes, sinalizadores de delegação, dados PAC ou de grupo, tipo de criptografia, local de cache e SPN de destino.
• Prove qual serviço realmente aceita o ticket e qual capacidade aparece após a aceitação.

3. Relatar A Aresta Efetiva

• Comprima a cadeia em um caminho reproduzível, não em uma declaração vaga de "comprometimento de domínio".
• Separe as arestas candidatas da aresta que realmente concede privilégio.

Leia Esta Referência

• Carregue references/kerberos-delegation.md para a lista de verificação de delegação, campos de ticket a serem preservados e erros comuns de prova.

O Que Preservar

• SPN, tipo de ticket, modo de delegação, dados PAC/grupo, tipo de criptografia, local de cache, serviço aceitador
• Logs do lado do serviço, IDs de evento, alterações de sessão de logon ou alterações de grupo provando privilégio efetivo
• A aresta de confiança exata que torna o ticket reproduzível