Un ticket-granting ticket è la credenziale Kerberos che un client riceve dopo aver dimostrato la propria identità al Key Distribution Center (KDC). Il TGT non viene usato per accedere direttamente a un file, a un database o a un'app. Viene invece presentato di nuovo al KDC per richiedere ticket di servizio per servizi specifici.
Questo è importante perché il TGT si trova al centro della fiducia di Kerberos. Se un attaccante ruba, falsifica o riutilizza un TGT, può impersonare un utente e richiedere accesso nel dominio senza inserire ripetutamente una password. Per questo l'abuso del TGT è spesso collegato agli attacchi Golden Ticket e ad altre tecniche di furto d'identità. I difensori monitorano durate anomale dei ticket, tipi di crittografia insoliti e modelli sospetti di richiesta dei ticket sui domain controller. Proteggere il KDC, il segreto KRBTGT e i log di autenticazione aiuta a limitare l'impatto di una compromissione del TGT.