Un template AD CS è un profilo di certificato in Microsoft Active Directory Certificate Services. Definisce chi può effettuare l'enrollment, quali usi della chiave e usi estesi della chiave sono consentiti, se il richiedente può fornire un nome soggetto e quali identità il certificato risultante può rappresentare. In pratica, il template controlla come vengono emessi i certificati e quale livello di fiducia essi portano all'interno di un dominio Windows.
È importante perché un template debole può diventare un percorso di escalation. Se utenti con privilegi limitati possono richiedere un certificato attendibile per l'autenticazione, potrebbero essere in grado di impersonare un altro utente o computer, aggirando i controlli basati sulla password. Gli aggressori cercano diritti di enrollment troppo ampi, approvazione senza supervisione e template che consentono nomi alternativi del soggetto o EKU di autenticazione. I difensori dovrebbero rivedere regolarmente i template, rimuovere gli enrollment non necessari e limitare i template usati per identità privilegiate, in modo che i certificati non possano essere trasformati in token di accesso riutilizzabili.