Унікальний ідентифікатор екземпляра сервісу в Kerberos/AD, напр. MSSQLSvc/db01.corp.local:1433. SPN прив'язаний до акаунта, під яким працює сервіс, і дозволяє клієнтам запитати квиток саме для цього сервісу.
Якщо SPN зареєстровано на звичайному користувацькому акаунті, той акаунт стає ціллю для Kerberoasting.