MachineAccountQuota

意図は実務的で、新しいPCをドメインに参加させるのに、管理者の手を借りなくて済むようにするというものだった。結果として、すべてのユーザーが、パスワードを自分で決められるSPN付きオブジェクトを作れてしまう。これはいくつもの攻撃が必要とする出発点そのものである。リソースベースの委任には、指名できる制御下のアカウントが要る。sAMAccountNameのなりすまし脆弱性は、コンピューターアカウントの作成と名前変更に依存していた。Shadow Credentialsのチェーンも同様に使う。この機能を必要とする組織はほとんどない。値を0にして、参加権限を専用グループに委任すれば、一度の変更で複数の経路を塞げる。どの診断でも推奨の第一位に挙がる項目である。