用途：该技能是 ctf-sandbox-orchestrator 的下游专项技能，仅在编排器已激活并已确定沙箱假设、节点归属与证据优先级后使用；否则应先回到 ctf-sandbox-orchestrator。适用于难点不在“是否存在 Kerberos”，而在于判断存在哪条委派边、正在签发哪种票据、以及哪个服务真正接受该票据的场景。默认用简体中文回复，除非用户明确要求英文。
主要能力：区分约束委派、非约束委派、基于资源的约束委派（RBCD）、协议转换等信任边；追踪票据签发与接受过程，记录 TGT/TGS 类型、S4U 步骤、委派标志、PAC/组数据、加密类型、缓存位置与目标 SPN；证明哪个服务实际接受票据及接受后获得的能力；将链路压缩为一条可重放的路径，区分候选边与真正落地权限的边。
使用方式：先写出信任链——主体 -> 委派边 -> 票据类型 -> 目标 SPN -> 接受服务 -> 最终权限；将“持有票据”与“被接受的权限”分开；把 SPN、委派模式、PAC/组数据、加密类型与服务接受情况放在同一紧凑证据块中；先复现一条最小委派链再扩展到变体；每条权限声明都要绑定到具体被接受的票据或服务端效果。仅在影响当前路径时检查 SPN、ACL、服务账户、SIDHistory、证书模板与复制权限。可加载 references/kerberos-delegation.md 获取委派检查清单、需保留的票据字段与常见证明错误。
需保留的证据：SPN、票据类型、委派模式、PAC/组数据、加密类型、缓存位置、接受服务；服务端日志、事件 ID、登录会话变化或组变化；使票据可重放的确切信任边。
限制：资料未提供具体命令、工具名称、平台支持范围与收费信息，暂未提供。