MachineAccountQuota
Le paramètre qui permet à n'importe quel utilisateur du domaine de créer dix comptes d'ordinateur. Valeur par défaut depuis 2000, et prérequis de plusieurs chaînes d'attaque.
L'intention était pragmatique : qu'un employé puisse joindre son nouveau poste au domaine sans avoir à solliciter un administrateur. La conséquence : chaque utilisateur peut créer un objet doté d'un SPN dont il maîtrise le mot de passe — exactement le point de départ dont plusieurs attaques ont besoin. La délégation basée sur les ressources exige un compte contrôlé à désigner. Les vulnérabilités d'usurpation de sAMAccountName reposaient sur la création puis le renommage d'un compte d'ordinateur. Les chaînes Shadow Credentials s'en servent de façon comparable. Presque aucune organisation n'a besoin de cette fonction. Passer la valeur à zéro et déléguer le droit de jonction à un groupe dédié ferme plusieurs voies d'un seul coup ; c'est la recommandation numéro un de tout audit.