Il Privilege Attribute Certificate (PAC) è il blocco di dati di autorizzazione incluso in molti ticket Kerberos nei domini Windows. Può includere l'identità dell'utente, l'appartenenza ai gruppi, l'ora di accesso e altre attestazioni che i servizi usano per decidere a cosa può accedere il possessore del ticket. Il KDC e il servizio possono firmare o verificare i dati PAC in modo che il ticket non sia solo autenticato, ma anche collegato ai dettagli di autorizzazione attesi.
I PAC sono importanti perché Kerberos è spesso considerato attendibile da file server, applicazioni e servizi di dominio senza ricontrollare una password. In attacchi come l'abuso del Golden Ticket, un intruso può falsificare un ticket con un PAC che dichiara gruppi ad alto privilegio, aiutando l'identità contraffatta a confondersi nelle normali decisioni di accesso. I difensori controllano incongruenze nei PAC, insiemi di gruppi insoliti, firme mancanti o non valide e contenuti del ticket che non corrispondono ai dati della directory. Questi segnali possono esporre materiale Kerberos falsificato o manomesso prima che venga usato su larga scala.