用途：在获得授权的域环境中识别并利用 Active Directory Kerberos 委派配置缺陷，实现权限提升与域内横向。仅限授权测试。
主要能力：
- 非约束委派：被攻陷主机缓存认证者的 TGT，配合 printerbug.py 或 PetitPotam 强制域控认证，再用 Rubeus 捕获 TGT 并 DCSync。
- 约束委派：利用 msDS-AllowedToDelegateTo，通过 S4U2Self/S4U2Proxy 冒充任意用户；服务类可被改写（如 time/dc01 可改为 ldap/dc01）。
- RBCD：对目标计算机对象具备 GenericWrite/GenericAll/WriteDacl/WriteProperty 即可，用 addcomputer.py 创建机器账户、rbcd.py 写入属性、getST.py 冒充用户。
枚举：findDelegation.py、PowerView 的 Get-DomainComputer -Unconstrained / -TrustedToAuth、Get-DomainUser -TrustedToAuth；RBCD 建议用 BloodHound 边。
限制：Protected Users 成员及标记 NOT_DELEGATED 的账户无法被委派；MachineAccountQuota 为 0 时无法新建机器账户，但可用已有带 SPN 的账户替代。证书服务滥用、Kerberoasting、Entra ID 等应使用其他技能。
防御审查：检查非约束委派账户、特权账户保护标记、MachineAccountQuota、计算机对象写权限、S4U 与机器账户创建（4741）遥测。