AD CS, o Active Directory Certificate Services, è il componente di Microsoft per l'autorità di certificazione e l'infrastruttura a chiave pubblica (PKI). Emissione e gestione di certificati digitali attendibili per utenti, computer e servizi, consentendo ai sistemi di dimostrare la propria identità e stabilire connessioni crittografate. In un ambiente Active Directory, AD CS spesso supporta autenticazione, smart card, VPN, TLS e altri flussi di lavoro basati sulla fiducia.
È importante perché i certificati sono potenti token di identità. Se AD CS è configurato in modo errato o compromesso, un attaccante potrebbe riuscire a richiedere un certificato per un altro account, abusare di modelli eccessivamente permissivi o firmare materiale di autenticazione che il dominio considererà attendibile. I difensori trattano AD CS come una risorsa di Livello 0: limitare l'accesso amministrativo, esaminare i modelli di certificato e le autorizzazioni di registrazione, proteggere il server CA e monitorare l'emissione dei certificati per richieste anomale. Una registrazione efficace aiuta a individuare abusi dei certificati che altrimenti potrebbero sembrare normale amministrazione.