Active Directory Certificate Services (AD CS) è il ruolo di Windows di Microsoft per emettere, gestire e convalidare certificati digitali all'interno di un dominio. È una componente fondamentale della Public Key Infrastructure (PKI), e fornisce servizi di registrazione, rinnovo e trust dei certificati per utenti, dispositivi e servizi. In pratica, AD CS consente agli ambienti Windows di usare i certificati per l'accesso, la crittografia, la firma del codice e l'autenticazione reciproca.
AD CS è importante perché i certificati possono fungere da prova di identità. Se i modelli di certificato, le autorizzazioni di registrazione o le regole di autorizzazione della CA sono configurati in modo errato, un utente con privilegi limitati potrebbe riuscire a ottenere un certificato che rappresenta un'identità con privilegi più elevati. Gli aggressori cercano questi errori di trust per elevare i privilegi o aggirare l'autenticazione, mentre i difensori considerano AD CS un'infrastruttura di Tier 0 e la proteggono con una revisione rigorosa dei modelli, privilegi minimi di registrazione, auditing e amministrazione separata.