将域内用户的权限委派给服务账号

将域内用户的权限委派给服务账号，使得服务账号能以用户权限开展域内活动，接受委派的用户只能是服务账户或者主机账户。

域委派存在三种类型，非约束委派、约束委派、基于资源的约束委派。

Client 需要通过HTTP访问sqlserver服务器，但HTTP并没有访问sqlserver的权限，这时候HTTP就需要Client的身份去访问sqlserver ，然后再将请求返回给Client。

服务账号可以获取被委派用户的TGT，并将TGT缓存到LSASS进程中，从而服务账号可使用该TGT，模拟用户访问任意服务。配置了非约束委派的账户的userAccountControl 属性有个FLAG位TRUSTED_FOR_DELEGATION。非约束委派的设置需要SeEnableDelegation特权，该特权通常仅授予域管理员 (注：域控主机账户默认配置非约束委派属性)。

非约束委派(Unconstrained Delegation)是一种风险性极大的委派方式，它通过TGT转发使服务器具有模拟用户的能力。服务账户根据用户发给自己的可转发的TGT代表用户请求其他任何服务，由此可知，一旦开启了无约束委派的服务账户被攻陷，用户身份将被滥用。

约束委派可以作为变种黄金票据，用作后门权限维持。