MAQ - это тоже про AD

Чем глубже погружаешься в изучение Active Directory - тем больше кажется, что это ещё не до конца освоенная человечеством вселенная.

Делимся очередной статьей о "фишечках" AD.
В этот раз речь пойдет о MAQ (MachineAccountQuota) - атрибут, который указывает число учётных записей компьютеров, которые непривилегированный пользователь может создать в домене.

Угу.
Пользователь, обычный, без привилегий - создаёт учётные записи компьютеров в домене. Ну действительно, зачем тогда разграничения вообще нужны?

В общем суть в том, что MAQ - атрибут уровня доменного администратора и по умолчанию, при создании AD, для каждого пользователя домена ставится значение 10. Т.е. каждый пользователь может создавать по 10 учётных записей компьютера.

Созданная таким образом учётная запись автоматически добавляется в группу "компьютеры домена", у которой есть дополнительные привилегии.
Также имеется возможность на редактирование каких-то атрибутов учётной записи.

А это значит, что есть возможность делегирование полномочий - ну а там уже можно использовать атаку неограниченного делегирования Kerberos.

В общем статья интересная
Рекомендуем

https://blog.netspi.com/machineaccountquota-is-useful-sometimes/