用途：该技能是 ctf-sandbox-orchestrator 的下游专项技能，仅在编排器已激活并确立沙箱假设、节点归属与证据优先级后使用；否则应先回到 ctf-sandbox-orchestrator。适用于围绕身份流、可重放凭据、Windows 主机痕迹、企业邮件或横向移动的挑战。默认用简体中文回复，除非用户明确要求英文。
主要能力：先梳理身份或跳板链，再深入主机痕迹；区分“持有凭据”与“被接受的特权”；把身份证据、主机证据与邮件证据关联到同一时间线；用紧凑证据块保存票据、SID、事件 ID、邮箱规则与跳板主机；以最小可行链复现特权边界或邮件效果。
工作流：一、身份与 AD，追踪主体来源、同步路径、令牌或票据签发、声明转换、组解析与接受服务；涉及 Kerberos 时记录票据类型、SPN、委派模式、PAC 或组数据、加密类型与缓存位置。二、Windows 主机与跳板，将 SAM、SECURITY、SYSTEM、NTDS、DPAPI、LSA secrets、ETW、Sysmon、PowerShell、服务、任务、WMI、WinRM、SMB、RDP 关联为一张跳板图，并以“立足点→恢复的痕迹→重放路径→跳板主机→获得能力”的具体链表达移动。三、企业消息，将钓鱼诱饵、同意日志、邮箱规则与身份提供方事件绑定，保持邮件路径与特权路径相连。
参考与分流：加载 references/identity-windows.md 获取票据、主机与企业消息清单。若任务主要是主机到主机跳板、Kerberos 重放或 Windows 特权链，优先 $competition-windows-pivot；若涉及约束/非约束委派、RBCD、S4U 或票据接受证明，优先 $competition-kerberos-delegation；若涉及 AD CS、证书模板、EKU、注册权限、PKINIT 或基于证书的特权，优先 $competition-ad-certificate-abuse；若涉及 OAuth/OIDC 声明、回调流、作用域、同意或接受的登录身份，优先 $competition-oauth-oidc-chain；若涉及 DPAPI 主密钥、保管库 blob、浏览器或保管库机密、备份密钥使用，优先 $competition-dpapi-credential-chain；若涉及 LSASS 内存、票据缓存、LUID 关联材料、DPAPI 上下文或可重放主机凭据痕迹，优先 $competition-lsass-ticket-material；若涉及邮箱规则、转发、OAuth 同意、委派访问或传输层邮件滥用，优先 $competition-mailbox-abuse；若涉及强制认证、中继目标或证明哪个服务接受中继认证，优先 $competition-relay-coercion-chain。
需保留：SID、SPN、票据字段、事件 ID、邮箱规则与重放点；精确的主机到主机跳板顺序及接受凭据或票据的服务；原始痕迹、解析摘要与派生时间线应作为独立输出。限制：资料未提供具体安装命令、收费与平台信息。