MachineAccountQuota
El ajuste que permite a cualquier usuario del dominio crear diez cuentas de equipo. Está fijado en diez por defecto desde el año 2000 y es el requisito previo de varias cadenas de ataque.
La intención era práctica: que un empleado pudiera unir su equipo nuevo al dominio sin que un administrador tuviera que hacerlo. La consecuencia es que cualquier usuario puede crear un objeto con un SPN cuya contraseña controla él mismo, y eso es exactamente el punto de partida que necesitan varios ataques. La delegación basada en recursos requiere una cuenta controlada que designar. Las vulnerabilidades de suplantación de sAMAccountName se apoyaban en crear y renombrar una cuenta de equipo, y las cadenas de Shadow Credentials la usan de forma parecida. Casi ninguna organización necesita esta función: poner el valor a cero y delegar el derecho de unión a un grupo concreto cierra varias vías con un solo cambio, y es la recomendación número uno en cualquier auditoría.