用途：这是 ctf-sandbox-orchestrator 的内部下游专项技能，仅在 $ctf-sandbox-orchestrator 已激活、并已确立沙箱假设、节点归属与取证优先级后使用；否则应先回到 $ctf-sandbox-orchestrator。适用于关键身份攻击路径基于证书，且难点在于证明模板或 CA 策略如何转化为被接受的权限时。
主要能力：梳理 CA 与模板信任关系，记录模板名称、注册权限、管理员审批、授权签名、EKU、主体要求与 SAN 行为；证明证书到权限的接受路径，包括 PKINIT、智能卡登录、Schannel 认证、服务映射或显式证书映射；将路径压缩为最小可复现的攻击链：注册权或错误配置 -> 签发证书 -> 被接受的映射 -> 最终权限；区分模板可注册性与基于证书的认证或权限接受；判断薄弱点位于模板配置、CA 策略、映射逻辑、中继路径还是注册权限。若问题实质是 PKINIT 后的委派或票据转换，应改用更贴合的 Kerberos 技能。
使用方式：先识别 CA、模板、注册主体与接受服务，再深入证书细节；以紧凑区块记录 EKU、主体或 SAN 控制、签发要求、注册权限与映射行为；将签发的证书绑定到一条被接受路径；复现最小的签发到接受链。回复默认使用简体中文，除非用户明确要求英文。可加载 references/ad-certificate-abuse.md 获取 AD CS 清单、模板清单与证据打包。
需保留：CA 名称、模板名称、权限、EKU、签发标志、SAN 控制与映射细节；已签发证书字段、序列号、主体、SAN 及接受服务或登录路径；最小可复现的注册到权限链。
限制：资料未提供具体命令、工具安装步骤、收费或平台信息。