MachineAccountQuota
A configuração que permite a qualquer usuário do domínio criar dez contas de computador. Vem com o padrão dez desde 2000 e é pré-requisito de várias cadeias de ataque.
A intenção era prática: um funcionário deveria poder ingressar a própria máquina nova no domínio sem depender de um administrador. A consequência é que todo usuário pode criar um objeto com SPN cuja senha ele controla — exatamente o ponto de partida de que vários ataques precisam. A delegação baseada em recursos exige uma conta controlada para indicar. As vulnerabilidades de falsificação de sAMAccountName dependiam de criar e renomear uma conta de computador. As cadeias de Shadow Credentials a usam de forma parecida. Quase nenhuma organização precisa desse recurso. Definir o valor como zero e delegar o direito de ingresso a um grupo dedicado fecha vários caminhos com uma só mudança, e é a recomendação número um de qualquer revisão.