MachineAccountQuota
Die Einstellung, die es jedem Domänenbenutzer erlaubt, zehn Computerkonten anzulegen. Steht seit 2000 standardmäßig auf zehn und ist Voraussetzung für mehrere Angriffsketten.
Die Absicht war praktisch: Ein Mitarbeiter sollte seinen neuen Rechner der Domäne beitreten lassen können, ohne dass ein Administrator eingreifen muss. Die Folge: Jeder Benutzer kann ein Objekt mit einem SPN anlegen, dessen Passwort er selbst kontrolliert — genau der Ausgangspunkt, den mehrere Angriffe brauchen. Resource-Based Delegation braucht ein kontrolliertes Konto, das sie benennen kann. Die sAMAccountName-Spoofing-Schwachstellen beruhten darauf, ein Computerkonto anzulegen und umzubenennen. Shadow-Credentials-Ketten nutzen es ähnlich. Fast keine Organisation braucht das Feature. Den Wert auf null zu setzen und das Beitrittsrecht an eine dedizierte Gruppe zu delegieren, schließt mit einer einzigen Änderung mehrere Wege — Empfehlung Nummer eins in jedem Review.