MachineAccountQuota
Inställningen som låter vilken domänanvändare som helst skapa tio datorkonton. Står på tio som standard sedan 2000 och är förutsättningen för flera angreppskedjor.
Avsikten var praktisk: en anställd skulle kunna ansluta sin nya dator till domänen utan att en administratör behövde göra det. Konsekvensen är att varje användare kan skapa ett objekt med ett SPN som den själv kontrollerar lösenordet till — och det är precis vad flera angrepp behöver som utgångspunkt. Resursbaserad delegering kräver ett kontrollerat konto att peka ut. Sårbarheterna kring sAMAccountName-förfalskning byggde på att skapa och byta namn på ett datorkonto. Shadow Credentials-kedjor använder det på liknande sätt. Nästan ingen organisation behöver funktionen. Att sätta värdet till noll och delegera anslutningsrätten till en särskild grupp stänger flera vägar med en enda ändring, och är standardrekommendation nummer ett i varje granskning.