Machine Account Quota
adDéfinition
Attribut ms-DS-MachineAccountQuota définissant le nombre de comptes machines créables par utilisateur (défaut : 10). Vecteur critique pour les attaques RBCD.
Les comptes machines créés peuvent servir pour RBCD, relais NTLM ou mouvement latéral. Le créateur peut modifier les attributs du compte (SPN, mot de passe). Recommandation : positionner à 0 via Set-ADDomain -Replace @{"ms-DS-MachineAccountQuota"=0}. Déléguer la jonction via permissions sur les OUs.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis