Glosario
Cuota de cuentas de equipo (MachineAccountQuota)
ms-DS-MachineAccountQuota es la configuración del dominio que, de forma predeterminada, permite a cualquier usuario autenticado crear hasta diez cuentas de equipo en AD.
El atributo ms-DS-MachineAccountQuota del objeto de dominio define cuántas cuentas de equipo puede crear un usuario autenticado normal sin ningún permiso delegado. El valor predeterminado es 10, una comodidad heredada para que los usuarios pudieran unir sus propios equipos al dominio. El usuario que crea la cuenta queda registrado en el atributo ms-DS-CreatorSID del objeto y conserva el control sobre su contraseña y sobre varios atributos, entre ellos los nombres de entidad de seguridad de servicio.
Es importante porque una cuenta de equipo es una entidad de seguridad completa que los atacantes pueden crear a voluntad. Las cuentas de equipo controladas por el atacante son un ingrediente clave del abuso de la delegación restringida basada en recursos, de varias rutas de escalada de AD CS y de diversas cadenas de retransmisión, y proporcionan una identidad de apoyo incluso después de deshabilitar al usuario original. Establezca la cuota en 0 y delegue explícitamente los derechos para unir equipos al dominio en un grupo o una cuenta de servicio dedicados, limitados a las OU concretas donde deben crearse los nuevos equipos. Antes de cambiarla, revise el evento 4741 y ms-DS-CreatorSID para averiguar quién depende actualmente de la unión por autoservicio.
Consulte Establecer ms-DS-MachineAccountQuota en 0 y Delegación restringida y RBCD de forma segura.